Danteova pravila UDP odgovora obrću smjer from/to
Primijenite Danteova pravila odgovora u smjeru vanjski→unutrašnji umjesto kopiranja adresnih pretpostavki odlaznog klijenta.
Klijent je autentificiran i UDP asocijacija je dopuštena. Odgovori ipak ne prolaze. U Danteu provjerite smjer pravila koje obrađuje povratni promet.
Dante razdvaja naredbe za pokretanje od obrade odgovora:
| Naredbe pravila | from | to |
|---|---|---|
connect, bind, udpassociate | Unutrašnji klijent | Vanjsko odredište |
bindreply, udpreply | Vanjski host | Unutrašnji klijent |
Kopiranje klijentova ograničenja podmreže nepromijenjeno u oba smjera stoga na pravilu odgovora može pogoditi pogrešnu stranu. Provjerite namjeravane vanjske pošiljatelje i unutrašnje primaoce, a ne samo pojavljuje li se riječ UDP u pravilu pass.
Autentifikacija ima povezanu granicu. Vanjska usluga koja odgovara na UDP datagram nije SOCKS klijent koji može dovršiti vašu razmjenu korisničkog imena i zaporke. Danteova dokumentacija objašnjava da operacije odgovora proizlaze iz klijentove ranije BIND ili UDP asocijacije; autentificirajte tu početnu operaciju i primijenite odgovarajuću politiku pridruženih odgovora.
To ne opravdava neograničen nepoželjan ulazni promet. UDP asocijacija, odredišna politika, adresa releja i put kroz vatrozid i dalje su važni. Niti omogućavanje bindreply pretvara UDP asocijaciju u uslugu javnog prosljeđivanja portova opće namjene.
Držite klijentsku SOCKS razmjenu i stvarni povratni UDP put odvojeno vidljivima. Uspješna TCP prijava ne potvrđuje ni smjer adresa u ACL-u za odgovore ni dostupnost UDP relay endpointa.