Obmedzený server SOCKS5 s Dante

Nastavte Dante 1.4.4 s konkrétnym poslucháčom, jedným povoleným klientom a jedným cieľom a rozlišujte dve fázy pravidiel.

Dante vykonáva dve kontroly prístupu: klientske pravidlo vpustí prichádzajúci zdroj a pravidlo SOCKS povolí požadovaný cieľ a príkaz. Tento príklad pre Dante 1.4.4 dovolí jednému klientovi dosiahnuť jeden riadený cieľ na porte 443.

Identita služby a adresy

Vytvorte vyhradený účet s malými oprávneniami, ak ho inštalácia neposkytuje:

sudo useradd --system --no-create-home --shell /usr/sbin/nologin danteproxy

Obe identity môžu účet použiť v nasledujúcej konfigurácii s vysokým portom a zoznamom povolených zdrojov. Overovanie heslom alebo privilegované funkcie vyžadujú opätovné posúdenie týchto nastavení. Pred použitím nahraďte všetky dokumentačné adresy.

logoutput: stderr
internal: 192.0.2.10 port = 1080
external: 192.0.2.10
clientmethod: none
socksmethod: none
user.privileged: danteproxy
user.unprivileged: danteproxy

client pass {
    from: 198.51.100.27/32 to: 192.0.2.10/32 port = 1080
    log: connect error
}

socks pass {
    from: 198.51.100.27/32 to: 203.0.113.20/32 port = 443
    command: connect
    log: connect error
}

internal vyberá poslucháča pre klientov; external vyberá odchádzajúcu adresu. Server s jedným rozhraním môže pre obe použiť tú istú pridelenú adresu. Kde je to vhodné, možno použiť aj názov rozhrania; overte, na ktoré adresy sa rozvinie.

Čo táto politika povoľuje

Prvé pravidlo vpúšťa určený zdroj k poslucháčovi. Druhé povoľuje iba CONNECT k určenému cieľu. Nezodpovedajúce požiadavky zostávajú blokované vrátane BIND a UDP ASSOCIATE.

Nastavenia metód neposkytujú overovanie používateľským menom. Prístup závisí od úzkeho zdrojového pravidla a jeho sieťovej hranice. Toto usporiadanie je vhodné iba tam, kde zdroj identifikuje oprávneného klienta.

sockd -V -f /path/to/sockd.conf

Niektoré distribúcie nazývajú spustiteľný súbor danted. Pred spustením služby skontrolujte konfiguráciu nainštalovaným príkazom. Nastavte zodpovedajúce zdrojové obmedzenia na firewalle a potom otestujte povolený cieľ aj riadený cieľ, ktorý má byť odmietnutý.

Súvisiace články