Reguły odpowiedzi UDP w Dante odwracają kierunek from/to
Stosuj reguły odpowiedzi Dante w kierunku zewnętrzny→wewnętrzny zamiast kopiować założenia adresowe klienta wychodzącego.
Klient jest uwierzytelniony, a asocjacja UDP dozwolona. Odpowiedzi nadal nie przechodzą. W Dante sprawdź kierunek reguły obsługującej ruch powrotny.
Dante rozdziela polecenia inicjujące od obsługi odpowiedzi:
| Polecenia reguły | from | to |
|---|---|---|
connect, bind, udpassociate | Klient wewnętrzny | Cel zewnętrzny |
bindreply, udpreply | Host zewnętrzny | Klient wewnętrzny |
Skopiowanie ograniczenia podsieci klienta bez zmian w obu kierunkach może więc dopasować niewłaściwą stronę w regule odpowiedzi. Przejrzyj zamierzonych nadawców zewnętrznych i odbiorców wewnętrznych, a nie tylko to, czy słowo UDP występuje w regule pass.
Uwierzytelnianie ma powiązaną granicę. Usługa zewnętrzna odpowiadająca na datagram UDP nie jest klientem SOCKS, który może zakończyć wymianę nazwy użytkownika i hasła. Dokumentacja Dante wyjaśnia, że operacje odpowiedzi wynikają z wcześniejszej asocjacji BIND lub UDP klienta; uwierzytelnij tę operację inicjującą i zastosuj odpowiednią politykę odpowiedzi powiązanych.
Nie usprawiedliwia to nieograniczonego, niechcianego ruchu przychodzącego. Asocjacja UDP, polityka celu, adres przekaźnika i ścieżka firewalla nadal mają znaczenie. Włączenie bindreply również nie czyni z asocjacji UDP uniwersalnej publicznej usługi przekierowania portów.
Utrzymuj wymianę SOCKS po stronie klienta i rzeczywistą ścieżkę powrotną UDP jako osobno widoczne. Udane logowanie TCP nie weryfikuje ani kierunku adresów w ACL odpowiedzi, ani osiągalności punktu końcowego przekaźnika UDP.