Velje SOCKS5-autentiseringsmetodar i Dante

Med SOCKS5 blir autentisering forhandla før klienten sender destinasjonsførespurnaden. Det gjer ein tidleg legitimasjonsfeil til ei anna hending enn ein FTP-, HTTPS- eller annan applikasjonsfeil bak proxyen.

Helsinga frå klienten listar opp autentiseringsmetodane han støttar. Tenaren vel éin metode frå lista og sender valet tilbake. Verdien 0xff betyr at ingen tilboden metode er akseptabel, og tilkoblinga må lukkast. Klienten prøver ikkje berre kvar metode på tenarsida etter at eit passord har feila.

Kva rekkjefølgja i Dante styrer

Dante 1.4.x kallar protokollnivåinnstillinga socksmethod. Dokumentasjonen seier at metodar er lista i preferanserekkjefølgje. For ein policy som tillèt begge metodane, føretrekkjer denne deklarasjonen brukarnamn/passord når klienten tilbyr det:

socksmethod: username none

Å snu lista føretrekkjer uautentisert tilgang når begge metodane blir tilbodne:

socksmethod: none username

Dette er alternative metodedeklarasjonar, ikkje fullstendige tenarkonfigurasjonar. Lyttande grensesnitt, tillatne klientar, destinasjonsreglar og eventuelle regelspecifikke autentiseringsavgrensingar betyr framleis noko.

Å tillate none har ein konkret konsekvens: ein klient som berre tilbyr inga autentisering, kan bli godteken under dei gjeldande reglane. Å setje username først gjer ikkje ei liste som inneheld none til eit krav om at alle oppgir eit passord.

Vel kravet først

Viss kvar tillaten klient må autentisere med brukarnamn/passord, konfigurer det kravet konsekvent i dei globale og gjeldande reglane i staden for å leggje til none som ei generell kompatibilitetsretting. Viss anonym tilgang er tilsikta for ei avgrensa klientgruppe, gjer gruppa og dei tillatne destinasjonane hennar eksplisitte.

Dante har òg clientmethod, som gjeld kontrollar som blir utførte når TCP-klienten koplar til, før SOCKS-forhandlinga. Det er eit separat lag frå metodane som blir utveksla i SOCKS5-helsinga. Konfigurasjonsutdrag som brukar eit eldre method nøkkelord, bør lesast mot handboka for den installerte Dante-versjonen.

Når to klientar oppfører seg ulikt, samanlikn kva kvar tilbyr, kva Dante vel, og om underforhandlinga av den valde metoden lykkast. Inspiser deretter SOCKS-destinasjonssvaret. Denne sekvensen identifiserer ein manglande legitimasjonscallback utan å skulde på FTP for kvar feil eller blindt endre autentiseringspolicyen til tenaren.

Til slutt, SOCKS5-autentisering med brukarnamn/passord krypterer ikkje utvekslinga av passordet. Bruk ein høveleg verna transport eller eit nettverk når desse legitimasjonane treng konfidensialitet.