SOCKS5-authenticatiemethoden kiezen in Dante

Bij SOCKS5 wordt authenticatie onderhandeld voordat de client zijn bestemmingsverzoek verstuurt. Daardoor is een vroege fout in inloggegevens een ander gebeurtenis dan een FTP-, HTTPS- of andere applicatiefout achter de proxy.

De begroeting van de client somt de authenticatiemethoden op die deze ondersteunt. De server kiest één methode uit die lijst en stuurt de selectie terug. De waarde 0xff betekent dat geen enkele aangeboden methode acceptabel is en dat de verbinding moet sluiten. De client probeert niet simpelweg elke methode aan de serverkant nadat een wachtwoord is mislukt.

Wat de ordening van Dante beheert

Dante 1.4.x noemt de instelling op protocolniveau socksmethod. De documentatie zegt dat methoden in voorkeursvolgorde worden vermeld. Voor een beleid dat beide methoden toestaat, geeft deze declaratie de voorkeur aan gebruikersnaam/wachtwoord wanneer de client dat aanbiedt:

socksmethod: username none

De lijst omkeren geeft de voorkeur aan niet-geauthenticeerde toegang wanneer beide methoden worden aangeboden:

socksmethod: none username

Dit zijn alternatieve methodedeclaraties, geen volledige serverconfiguraties. Luisterinterfaces, toegestane clients, bestemmingsregels en eventuele regelspecifieke authenticatiebeperkingen blijven belangrijk.

none toestaan heeft een concreet gevolg: een client die alleen geen authenticatie aanbiedt, kan onder de toepasselijke regels worden geaccepteerd. username vooraan plaatsen maakt van een lijst met none geen vereiste dat iedereen een wachtwoord opgeeft.

Kies eerst de vereiste

Als elke toegestane client zich met gebruikersnaam/wachtwoord moet authenticeren, configureer die vereiste dan consistent in de globale en toepasselijke regels in plaats van none toe te voegen als algemene compatibiliteitsoplossing. Als anonieme toegang bewust is voor een beperkte clientgroep, maak de groep en de toegestane bestemmingen expliciet.

Dante heeft ook clientmethod, dat betrekking heeft op controles die worden uitgevoerd wanneer de TCP-client verbinding maakt, vóór de SOCKS-onderhandeling. Het is een aparte laag van de methoden die in de SOCKS5-begroeting worden uitgewisseld. Configuratiefragmenten met een ouder method-trefwoord moeten worden gelezen aan de hand van de handleiding van de geïnstalleerde Dante-versie.

Wanneer twee clients zich anders gedragen, vergelijk wat elk aanbiedt, wat Dante selecteert en of de subonderhandeling van de gekozen methode slaagt. Inspecteer daarna het SOCKS-bestemmingsantwoord. Deze volgorde identificeert een ontbrekende callback voor inloggegevens zonder elke fout aan FTP toe te schrijven of het authenticatiebeleid van de server blind te wijzigen.

Ten slotte versleutelt SOCKS5-authenticatie met gebruikersnaam/wachtwoord de uitwisseling van het wachtwoord niet. Gebruik een passend beschermd transport of netwerk wanneer die inloggegevens vertrouwelijkheid nodig hebben.