A Dante UDP-válaszszabályai megfordítják a from/to irányát
A Dante válaszszabályait kifelé néző irányból befelé alkalmazza ahelyett, hogy a kimenő ügyfél címfeltevéseit másolná.
Az ügyfél hitelesítve van, és az UDP-társítás engedélyezett. A válaszok mégsem mennek át. A Dante esetében vizsgálja meg a visszatérő forgalmat kezelő szabály irányát.
A Dante elválasztja a kezdeményező parancsokat a válaszkezeléstől:
| Szabályparancsok | from | to |
|---|---|---|
connect, bind, udpassociate | Belső ügyfél | Külső cél |
bindreply, udpreply | Külső gazdagép | Belső ügyfél |
Az ügyfél alhálózati korlátozásának változatlan átmásolása mindkét irányba tehát a válaszszabályon a rossz oldalt is illesztheti. A szándékolt külső feladókat és belső címzetteket vizsgálja meg, ne csak azt, hogy szerepel-e az UDP szó egy pass-szabályban.
A hitelesítésnek kapcsolódó határa van. Az UDP-datagramra válaszoló külső szolgáltatás nem olyan SOCKS-ügyfél, amely be tudja fejezni a felhasználónév/jelszó cseréjét. A Dante dokumentációja kifejti, hogy a válaszműveletek az ügyfél korábbi BIND- vagy UDP-társításából erednek; hitelesítse ezt a kezdeményező műveletet, és alkalmazza a megfelelő társított válaszszabályzatot.
Ez nem igazolja a korlátlan, nem kért bejövő forgalmat. Az UDP-társítás, a cél szabályzata, a relay címe és a tűzfalútvonal továbbra is számít. Az bindreply engedélyezése sem teszi az UDP-társítást általános célú nyilvános porttovábbító szolgáltatássá.
Tartsa külön láthatóan az ügyféloldali SOCKS-cserét és a tényleges UDP-visszaútvonalat. A sikeres TCP-bejelentkezés sem a válasz-ACL címirányát, sem az UDP-relay végpont elérhetőségét nem igazolja.