Dantes UDP-svarregler snur from/to-retningen
Bruk Dantes svarregler i retningen utenfra→innenfor i stedet for å kopiere adresseforutsetningene til den utgående klienten.
Klienten er autentisert, og UDP-tilknytningen er tillatt. Svarene feiler likevel. I Dante må du undersøke retningen til regelen som håndterer returtrafikken.
Dante deler initierende kommandoer fra svarhåndtering:
| Regelkommandoer | from | to |
|---|---|---|
connect, bind, udpassociate | Intern klient | Ekstern destinasjon |
bindreply, udpreply | Ekstern vert | Intern klient |
Å kopiere klientens subnettbegrensning uendret til begge retninger kan derfor treffe feil side i svarregelen. Se gjennom de tiltenkte eksterne avsenderne og interne mottakerne, ikke bare om ordet UDP forekommer i en pass-regel.
Autentisering har en tilknyttet grense. Den eksterne tjenesten som svarer på et UDP-datagram, er ikke en SOCKS-klient som kan fullføre brukernavn-/passordutvekslingen din. Dantes dokumentasjon forklarer at svaroperasjoner skyldes klientens tidligere BIND- eller UDP-tilknytning; autentiser den initierende operasjonen, og bruk riktig policy for tilknyttede svar.
Dette rettferdiggjør ikke ubegrenset uønsket innkommende trafikk. UDP-tilknytningen, destinasjonspolicyen, relay-adressen og brannmurveien er fortsatt viktige. Å aktivere bindreply gjør heller ikke UDP-tilknytningen til en allmenn offentlig portvideresendingstjeneste.
Hold SOCKS-utvekslingen på klientsiden og den faktiske UDP-returveien synlig hver for seg. En vellykket TCP-innlogging verifiserer verken adresseretningen i svar-ACL-en eller at UDP-relay-endepunktet er tilgjengelig.