Un server SOCKS5 restricționat cu Dante

Configurează Dante 1.4.4 cu un punct de ascultare precis, un client permis și o destinație permisă, distingând cele două etape de reguli.

Dante aplică două verificări de acces: o regulă de client admite sursa de intrare, iar o regulă SOCKS permite destinația și comanda cerute. Acest exemplu Dante 1.4.4 lasă un client să ajungă la o destinație controlată pe portul 443.

Identitatea serviciului și adresele

Creează un cont dedicat cu privilegii reduse dacă instalarea nu oferă unul:

sudo useradd --system --no-create-home --shell /usr/sbin/nologin danteproxy

Ambele identități pot folosi acest cont pentru configurația de mai jos, cu port înalt și listă de surse permise. Autentificarea cu parolă sau funcțiile privilegiate cer reevaluarea acelor setări. Înlocuiește toate adresele de documentație înainte de utilizare.

logoutput: stderr
internal: 192.0.2.10 port = 1080
external: 192.0.2.10
clientmethod: none
socksmethod: none
user.privileged: danteproxy
user.unprivileged: danteproxy

client pass {
    from: 198.51.100.27/32 to: 192.0.2.10/32 port = 1080
    log: connect error
}

socks pass {
    from: 198.51.100.27/32 to: 203.0.113.20/32 port = 443
    command: connect
    log: connect error
}

internal selectează punctul de ascultare pentru clienți; external selectează adresa de ieșire. Un server cu o singură interfață poate folosi aceeași adresă atribuită pentru ambele. Se poate folosi și un nume de interfață unde e potrivit; verifică la ce adrese se extinde.

Ce permite această politică

Prima regulă admite sursa specificată la punctul de ascultare. A doua permite doar CONNECT la ținta specificată. Cererile fără potrivire rămân blocate, inclusiv BIND și UDP ASSOCIATE.

Setările metodelor nu oferă autentificare cu nume de utilizator. Accesul depinde de regula de sursă îngustă și de limita sa de rețea. Aranjamentul este potrivit doar acolo unde sursa identifică un client autorizat.

sockd -V -f /path/to/sockd.conf

Unele distribuții numesc executabilul danted. Verifică configurația cu comanda instalată înainte de a porni serviciul. Aplică restricții de sursă echivalente în firewall, apoi testează atât ținta permisă, cât și o țintă controlată care trebuie refuzată.

Articole similare