Dante's UDP-antwoordregels draaien de from/to-richting om
Pas Dante's antwoordregels toe in de richting buiten→binnen in plaats van de adresaannames van de uitgaande client te kopiëren.
De client is geauthenticeerd en de UDP-associatie is toegestaan. Antwoorden mislukken toch. Onderzoek in Dante de richting van de regel die het retourverkeer afhandelt.
Dante scheidt initiërende opdrachten van de afhandeling van antwoorden:
| Regelopdrachten | from | to |
|---|---|---|
connect, bind, udpassociate | Interne client | Externe bestemming |
bindreply, udpreply | Externe host | Interne client |
Het ongewijzigd kopiëren van de subnetbeperking van een client naar beide richtingen kan daardoor de verkeerde kant raken in de antwoordregel. Controleer de bedoelde externe afzenders en interne ontvangers, niet alleen of het woord UDP in een pass-regel voorkomt.
Authenticatie heeft een bijbehorende grens. De externe dienst die op een UDP-datagram antwoordt, is geen SOCKS-client die uw gebruikersnaam/wachtwoord-uitwisseling kan voltooien. De Dante-documentatie legt uit dat antwoordbewerkingen voortkomen uit een eerdere BIND- of UDP-associatie van de client; authenticieer die initiërende bewerking en pas het juiste bijbehorende antwoordbeleid toe.
Dit rechtvaardigt geen onbeperkt ongevraagd inkomend verkeer. De UDP-associatie, het bestemmingsbeleid, het relayadres en het firewallpad blijven belangrijk. Het inschakelen van bindreply maakt van de UDP-associatie ook geen algemene openbare port-forwardingdienst.
Houd de SOCKS-uitwisseling aan clientzijde en het werkelijke UDP-retourpad afzonderlijk zichtbaar. Een geslaagde TCP-login verifieert noch de adresrichting van de antwoord-ACL noch de bereikbaarheid van het UDP-relay-eindpunt.