Dante UDP atbildes noteikumi apgriež from/to virzienu
Piemērojiet Dante atbildes noteikumus virzienā no ārējā uz iekšējo, nevis kopējiet izejošā klienta adrešu pieņēmumus.
Klients ir autentificēts un UDP asociācija ir atļauta. Atbildes tomēr neiziet. Dante gadījumā pārbaudiet noteikuma, kas apstrādā atgriešanās trafiku, virzienu.
Dante atdala iniciējošās komandas no atbilžu apstrādes:
| Noteikuma komandas | from | to |
|---|---|---|
connect, bind, udpassociate | Iekšējais klients | Ārējais galamērķis |
bindreply, udpreply | Ārējais hostdators | Iekšējais klients |
Klienta apakštīkla ierobežojuma nepārveidotu kopēšana abos virzienos tādēļ atbildes noteikumā var saskanēt ar nepareizo pusi. Pārbaudiet paredzētos ārējos sūtītājus un iekšējos saņēmējus, nevis tikai to, vai pass noteikumā ir vārds UDP.
Autentifikācijai ir saistīta robeža. Ārējais pakalpojums, kas atbild uz UDP datagrammu, nav SOCKS klients, kurš var pabeigt jūsu lietotājvārda/paroles apmaiņu. Dante dokumentācija skaidro, ka atbildes operācijas izriet no klienta iepriekšējās BIND vai UDP asociācijas; autentificējiet šo iniciējošo operāciju un piemērojiet atbilstošo saistītās atbildes politiku.
Tas neattaisno neierobežotu nevēlamu ienākošo trafiku. UDP asociācija, galamērķa politika, relay adrese un ugunsmūra ceļš joprojām ir svarīgi. Arī bindreply iespējošana nepadara UDP asociāciju par vispārējas nozīmes publisku portu pāradresācijas pakalpojumu.
Turiet klienta puses SOCKS apmaiņu un faktisko UDP atgriešanās ceļu atsevišķi redzamus. Veiksmīga TCP pieteikšanās nepārbauda ne atbildes ACL adrešu virzienu, ne UDP relay endpointa sasniedzamību.