Սահմանափակ SOCKS5 սերվեր Dante-ով

Dante-ն մուտքի երկու ստուգում է կատարում․ հաճախորդի կանոնն ընդունում է մուտքային սկզբնաղբյուրը, իսկ SOCKS կանոնը թույլատրում է պահանջված նպատակակետն ու հրամանը։ Dante 1.4.4-ի այս օրինակը մեկ հաճախորդի թույլ է տալիս հասնել մեկ վերահսկվող նպատակակետի 443 պորտին։

Ծառայության ինքնությունը և հասցեները

Ստեղծեք առանձին ցածր արտոնություններով հաշիվ, եթե տեղադրումը չի տրամադրում․

sudo useradd --system --no-create-home --shell /usr/sbin/nologin danteproxy

Ստորև բերված՝ բարձր պորտ և թույլատրված աղբյուրների ցանկ օգտագործող կարգավորման մեջ երկու ինքնություններն էլ կարող են այս հաշիվն օգտագործել։ Գաղտնաբառային նույնականացումը կամ արտոնյալ գործառույթները պահանջում են այդ կարգավորումները վերանայել։ Օգտագործելուց առաջ փոխարինեք փաստաթղթավորման բոլոր հասցեները։

logoutput: stderr
internal: 192.0.2.10 port = 1080
external: 192.0.2.10
clientmethod: none
socksmethod: none
user.privileged: danteproxy
user.unprivileged: danteproxy

client pass {
    from: 198.51.100.27/32 to: 192.0.2.10/32 port = 1080
    log: connect error
}

socks pass {
    from: 198.51.100.27/32 to: 203.0.113.20/32 port = 443
    command: connect
    log: connect error
}

internal-ը ընտրում է հաճախորդներին ուղղված լսողը, external-ը՝ ելքային հասցեն։ Մեկ միջերեսով սերվերը երկուսի համար էլ կարող է նույն հատկացված հասցեն օգտագործել։ Հարմար դեպքում կարելի է միջերեսի անուն էլ օգտագործել․ ստուգեք՝ որ հասցեների է այն ընդլայնվում։

Ինչ է թույլատրում այս քաղաքականությունը

Առաջին կանոնը նշված աղբյուրին ընդունում է լսողի մոտ։ Երկրորդը միայն CONNECT է թույլատրում նշված թիրախին։ Չհամապատասխանող հարցումները մնում են արգելափակված՝ ներառյալ BIND-ը և UDP ASSOCIATE-ը։

Մեթոդների կարգավորումները օգտանվամբ նույնականացում չեն տալիս։ Մուտքը կախված է նեղ աղբյուրային կանոնից և դրա ցանցային սահմանից։ Այս դասավորությունը հարմար է միայն այնտեղ, որտեղ աղբյուրը ճանաչում է լիազորված հաճախորդին։

sockd -V -f /path/to/sockd.conf

Որոշ բաշխումներում գործարկվող ֆայլը կոչվում է danted։ Ծառայությունը սկսելուց առաջ կարգավորումը ստուգեք տեղադրված հրամանով։ Հրապատին կիրառեք համապատասխան աղբյուրային սահմանափակումներ, ապա փորձեք թե՛ թույլատրված թիրախը, թե՛ վերահսկվող թիրախը, որը պետք է մերժվի։