Felhasználónév-alapú hitelesítés hozzáadása a Dantéhoz

Állítsa át a Dante 1.4.4 SOCKS-házirendjét a csak forrás szerinti hozzáférésről kifejezett fiókellenőrzésre, a forrás- és célkorlátozások megtartásával.

A Dante 1.4.4-ben a kliensszabályok a SOCKS-egyeztetés előtt fogadják a kapcsolatot, a SOCKS-szabályok pedig eldöntik, mely hitelesített kérések folytatódhatnak. Egy engedélyezett forrásból érkező kapcsolat a második szakaszban továbbra is kérhet felhasználónevet.

Az operációs rendszer felhasználóneveivel végzett hitelesítésnél a módszer mellett a szolgáltatás identitásait is vizsgálja meg. A fiókadatbázis olvasásához kiemelt jogosultságú identitás kellhet:

clientmethod: none
socksmethod: username
user.privileged: root
user.unprivileged: danteproxy

A Dantéhoz telepített tényleges, alacsony jogosultságú szolgáltatásfiókot használja. Hozzon létre vagy válasszon a felhasználónév-kezelő háttérrendszerrel kompatibilis, engedélyezett kliensfiókot; a szolgáltatás identitása és a kliens bejelentkezése eltérő szerepet tölt be.

Tartsa meg a kérések korlátait

A meglévő szűk kliensszabály után követelje meg a fiókot az engedélyezett SOCKS-útvonalon:

socks pass {
    from: 198.51.100.27/32 to: 203.0.113.20/32 port = 443
    command: connect
    socksmethod: username
    user: proxyuser
    log: connect error
}

A címek és a fióknév helykitöltők. Ez egy forrást, egy célt, egy parancsot és a megadott hitelesített felhasználót engedélyezi. Ne cserélje ezt a korlátot korlátlan forrásokra pusztán azért, mert jelszót adott hozzá.

A globális és a szabályhoz tartozó módszerbeállításoknak egyezniük kell. Keressen a csak forrásalapú beállításból megmaradt, kizárólag none-t engedő régi szabályt. Tartsa meg a tervezett figyelő- és tűzfalkorlátozásokat is.

Külön tesztelje az egyeztetést és a hozzáférést

Indítás előtt ellenőrizze a fájlt a telepített kiszolgáló konfigurációellenőrző módjával. Ezután olyan engedélyezett klienst használjon, amely valóban támogatja a SOCKS5 felhasználónév/jelszó egyeztetést. Próbálja ki a hiányzó és hibás hitelesítő adatokat, valamint tiltott célt kérő engedélyezett fiókot.

Az RFC 1929 szerinti felhasználónév/jelszó alegyeztetés nem titkosítja a jelszót. A céllal később létrejövő HTTPS-munkamenet nem védi ezt a korábbi proxy-adatcserét. Használjon megfelelően védett kliens–kiszolgáló útvonalat.

A sikeres konfigurációellenőrzés a szintaxist és az identitásokat igazolja, nem a fiókadatbázist vagy a hálózati útvonalat. A kiszolgáló naplóiban keresse meg, mely szakasz utasította el a tényleges tesztet.

Kapcsolódó cikkek