Dante UDP atsakymų taisyklės apverčia from/to kryptį
Taikykite Dante atsakymų taisykles išorinės→vidinės kryptimi, o ne kopijuokite išeinančio kliento adresų prielaidas.
Klientas autentifikuotas, o UDP asociacija leidžiama. Atsakymai vis tiek nepraeina. Dante atveju patikrinkite taisyklės, apdorojančios grįžtamąjį srautą, kryptį.
Dante atskiria inicijavimo komandas nuo atsakymų apdorojimo:
| Taisyklės komandos | from | to |
|---|---|---|
connect, bind, udpassociate | Vidinis klientas | Išorinis tikslas |
bindreply, udpreply | Išorinis hostas | Vidinis klientas |
Kliento potinklio apribojimo perkėlimas nepakeistu į abi puses todėl atsakymo taisyklėje gali atitikti netinkamą pusę. Peržiūrėkite numatomus išorinius siuntėjus ir vidinius gavėjus, o ne tik tai, ar pass taisyklėje yra žodis UDP.
Autentifikacija turi susijusią ribą. Išorinė paslauga, atsakanti į UDP datagramą, nėra SOCKS klientas, galintis užbaigti jūsų vartotojo vardo/slaptažodžio mainus. Dante dokumentacija aiškina, kad atsakymo operacijos kyla iš ankstesnės kliento BIND arba UDP asociacijos; autentifikuokite tą inicijavimo operaciją ir taikykite atitinkamą susijusio atsakymo politiką.
Tai nepateisina neriboto nepageidaujamo įeinančio srauto. UDP asociacija, paskirties politika, relay adresas ir ugniasienės kelias vis dar svarbūs. bindreply įjungimas taip pat nepaverčia UDP asociacijos bendrosios paskirties viešojo prievadų persiuntimo paslauga.
Kliento pusės SOCKS mainus ir faktinį UDP grįžimo kelią laikykite atskirai matomus. Sėkmingas TCP prisijungimas netikrina nei atsakymo ACL adresų krypties, nei UDP relay endpointo pasiekiamumo.