Velge SOCKS5-autentiseringsmetoder i Dante

Med SOCKS5 forhandles autentisering før klienten sender destinasjonsforespørselen. Det gjør en tidlig legitimasjonsfeil til en annen hendelse enn en FTP-, HTTPS- eller annen applikasjonsfeil bak proxyen.

Klientens hilsen lister opp autentiseringsmetodene den støtter. Serveren velger én metode fra listen og sender valget tilbake. Verdien 0xff betyr at ingen tilbudt metode er akseptabel, og tilkoblingen må lukkes. Klienten prøver ikke bare hver metode på serversiden etter at et passord har feilet.

Hva Dantes rekkefølge styrer

Dante 1.4.x kaller protokollnivåinnstillingen socksmethod. Dokumentasjonen sier at metoder er listet i preferanserekkefølge. For en policy som tillater begge metodene, foretrekker denne deklarasjonen brukernavn/passord når klienten tilbyr det:

socksmethod: username none

Å snu listen foretrekker uautentisert tilgang når begge metodene tilbys:

socksmethod: none username

Dette er alternative metodedeklarasjoner, ikke fullstendige serverkonfigurasjoner. Lyttende grensesnitt, tillatte klienter, destinasjonsregler og eventuelle regelspecifikke autentiseringsbegrensninger betyr fortsatt noe.

Å tillate none har en konkret konsekvens: en klient som bare tilbyr ingen autentisering, kan godtas under de gjeldende reglene. Å sette username først gjør ikke en liste som inneholder none til et krav om at alle oppgir et passord.

Velg kravet først

Hvis hver tillatte klient må autentisere med brukernavn/passord, konfigurer det kravet konsekvent i de globale og gjeldende reglene i stedet for å legge til none som en generell kompatibilitetsretting. Hvis anonym tilgang er tilsiktet for en begrenset klientgruppe, gjør gruppen og dens tillatte destinasjoner eksplisitte.

Dante har også clientmethod, som gjelder kontroller som utføres når TCP-klienten kobler til, før SOCKS-forhandling. Det er et separat lag fra metodene som utveksles i SOCKS5-hilsenen. Konfigurasjonsutdrag som bruker et eldre method nøkkelord, bør leses mot håndboken for den installerte Dante-versjonen.

Når to klienter oppfører seg ulikt, sammenlign hva hver tilbyr, hva Dante velger, og om underforhandlingen av den valgte metoden lykkes. Undersøk deretter SOCKS-destinasjonssvaret. Denne sekvensen identifiserer en manglende legitimasjonscallback uten å tilskrive hver feil FTP eller blindt endre serverens autentiseringspolicy.

Til slutt krypterer ikke SOCKS5 autentisering med brukernavn/passord utvekslingen av passordet. Bruk en passende beskyttet transport eller nettverk når disse legitimasjonene trenger konfidensialitet.