Legg til brukernavnautentisering i Dante

I Dante 1.4.4 tillater klientreglene forbindelsen før SOCKS-forhandlingen, mens SOCKS-reglene avgjør hvilke autentiserte forespørsler som får fortsette. En forbindelse fra en tillatt kilde kan fortsatt kreve et brukernavn i andre trinn.

Ved autentisering med operativsystemets brukernavn må du gjennomgå tjenesteidentitetene i tillegg til metoden. Lesing av kontodatabasen kan kreve en privilegert identitet:

clientmethod: none
socksmethod: username
user.privileged: root
user.unprivileged: danteproxy

Bruk den faktiske tjenestekontoen med lave rettigheter som er installert for Dante. Opprett eller velg en autorisert klientkonto som passer til brukernavnssystemet; tjenesteidentiteten og klientinnloggingen har forskjellige roller.

Behold grensene for forespørsler

Etter den eksisterende, snevre klientregelen krever du kontoen på den tillatte SOCKS-ruten:

socks pass {
    from: 198.51.100.27/32 to: 203.0.113.20/32 port = 443
    command: connect
    socksmethod: username
    user: proxyuser
    log: connect error
}

Adressene og kontonavnet er eksempelverdier. Dette tillater én kilde, ett mål, én kommando og den angitte autentiserte brukeren. Ikke erstatt denne grensen med ubegrensede kilder bare fordi et passord er lagt til.

De globale og regelspesifikke metodeinnstillingene må stemme overens. Se etter en gammel regel som bare tillater none og er igjen fra et oppsett basert utelukkende på kilde. Behold også de tiltenkte lytter- og brannmurbegrensningene.

Test forhandling og tilgang hver for seg

Kontroller filen med den installerte serverens konfigurasjonssjekk før du starter den. Bruk deretter en autorisert klient som faktisk støtter SOCKS5-forhandling med brukernavn og passord. Test manglende og feil innloggingsopplysninger, og en tillatt konto som ber om et forbudt mål.

Underforhandlingen med brukernavn og passord definert i RFC 1929 krypterer ikke passordet. En senere HTTPS-økt til målet beskytter ikke den tidligere proxyutvekslingen. Bruk en passende beskyttet vei fra klient til server.

En vellykket konfigurasjonssjekk bekrefter syntaks og identiteter, ikke kontodatabasen eller nettverksveien. Se i serverloggene hvilket trinn som avviste en reell test.