Dante UDP-правилата за одговор ја превртуваат насоката from/to
Применете ги правилата за одговор на Dante во насока надвор→внатре наместо да ги копирате претпоставките за адреси на клиентот што излегува.
Клиентот е автентифициран и UDP-асоцијацијата е дозволена. Одговорите сепак не поминуваат. Во Dante проверете ја насоката на правилото што го обработува повратниот сообраќај.
Dante ги одделува командите за иницирање од обработката на одговори:
| Команди на правилото | from | to |
|---|---|---|
connect, bind, udpassociate | Внатрешен клиент | Надворешна дестинација |
bindreply, udpreply | Надворешен домаќин | Внатрешен клиент |
Копирањето на ограничувањето на подмрежата на клиентот непроменето во двете насоки затоа може во правилото за одговор да погоди погрешна страна. Прегледајте ги предвидените надворешни испраќачи и внатрешни примачи, а не само дали зборот UDP се појавува во правило pass.
Автентикацијата има поврзана граница. Надворешната услуга што одговара на UDP датаграм не е SOCKS клиент што може да ја заврши вашата размена на корисничко име/лозинка. Документацијата на Dante објаснува дека операциите за одговор произлегуваат од претходната BIND или UDP-асоцијација на клиентот; автентифицирајте ја таа иницијална операција и применете ја соодветната политика за поврзан одговор.
Ова не го оправдува неограничениот несакан влезен сообраќај. UDP-асоцијацијата, политиката за дестинација, адресата на релето и патеката низ огнениот ѕид сè уште се важни. Ниту овозможувањето bindreply не ја претвора UDP-асоцијацијата во услуга за јавно препраќање порти од општа намена.
Држете ги одделно видливи размената на SOCKS на страната на клиентот и вистинската повратна UDP патека. Успешното најавување преку TCP не проверува ниту насоката на адресите во ACL-от за одговор, ниту достапноста на UDP relay endpoint-от.