Server SOCKS5 terbatas dengan Dante

Atur Dante 1.4.4 dengan listener tertentu, satu klien yang diizinkan dan satu tujuan, serta bedakan dua tahap aturannya.

Dante menerapkan dua pemeriksaan akses: aturan klien menerima sumber yang masuk, dan aturan SOCKS mengizinkan tujuan serta perintah yang diminta. Contoh Dante 1.4.4 ini membolehkan satu klien mengakses satu tujuan terkontrol pada port 443.

Identitas layanan dan alamat

Buat akun khusus berhak rendah jika instalasi tidak menyediakannya:

sudo useradd --system --no-create-home --shell /usr/sbin/nologin danteproxy

Kedua identitas dapat memakai akun ini untuk konfigurasi port tinggi dengan daftar sumber yang diizinkan di bawah. Autentikasi kata sandi atau fitur berhak khusus mengharuskan pengaturan itu ditinjau kembali. Ganti semua alamat dokumentasi sebelum dipakai.

logoutput: stderr
internal: 192.0.2.10 port = 1080
external: 192.0.2.10
clientmethod: none
socksmethod: none
user.privileged: danteproxy
user.unprivileged: danteproxy

client pass {
    from: 198.51.100.27/32 to: 192.0.2.10/32 port = 1080
    log: connect error
}

socks pass {
    from: 198.51.100.27/32 to: 203.0.113.20/32 port = 443
    command: connect
    log: connect error
}

internal memilih listener yang menghadap klien; external memilih alamat keluar. Server dengan satu antarmuka dapat memakai alamat terpasang yang sama untuk keduanya. Nama antarmuka juga dapat dipakai bila sesuai; periksa alamat apa saja yang diwakilinya.

Yang diizinkan kebijakan ini

Aturan pertama menerima sumber yang ditentukan ke listener. Aturan kedua hanya mengizinkan CONNECT ke target yang ditentukan. Permintaan yang tidak cocok tetap diblokir, termasuk BIND dan UDP ASSOCIATE.

Pengaturan metode tidak menyediakan autentikasi nama pengguna. Akses bergantung pada aturan sumber yang sempit dan batas jaringannya. Susunan ini hanya cocok jika sumber itu mengidentifikasi klien berwenang.

sockd -V -f /path/to/sockd.conf

Beberapa distribusi menamai executable sebagai danted. Periksa konfigurasi dengan perintah yang terpasang sebelum memulai layanan. Terapkan batasan sumber yang sesuai pada firewall, lalu uji target yang diizinkan dan target terkontrol yang seharusnya ditolak.

Artikel terkait