Pridajte do Dante overovanie používateľským menom

Zmeňte politiku SOCKS v Dante 1.4.4 z prístupu len podľa zdroja na výslovnú kontrolu účtu a zachovajte obmedzenia zdroja aj cieľa.

V Dante 1.4.4 klientske pravidlá povoľujú spojenie pred vyjednávaním SOCKS, kým pravidlá SOCKS rozhodujú, ktoré overené požiadavky môžu pokračovať. Spojenie z povoleného zdroja môže v druhej fáze stále vyžadovať používateľské meno.

Pri overovaní používateľským menom operačného systému skontrolujte okrem metódy aj identity služby. Čítanie databázy účtov môže vyžadovať privilegovanú identitu:

clientmethod: none
socksmethod: username
user.privileged: root
user.unprivileged: danteproxy

Použite skutočný účet služby s nízkymi oprávneniami nainštalovaný pre Dante. Vytvorte alebo vyberte oprávnený klientsky účet kompatibilný s backendom používateľských mien; identita služby a prihlásenie klienta majú odlišné úlohy.

Zachovajte hranice požiadaviek

Za existujúcim úzko vymedzeným klientskym pravidlom vyžadujte účet na povolenej trase SOCKS:

socks pass {
    from: 198.51.100.27/32 to: 203.0.113.20/32 port = 443
    command: connect
    socksmethod: username
    user: proxyuser
    log: connect error
}

Adresy a názov účtu sú zástupné hodnoty. Povoľuje sa jeden zdroj, jeden cieľ, jeden príkaz a uvedený overený používateľ. Nenahrádzajte túto hranicu neobmedzenými zdrojmi len preto, že bolo pridané heslo.

Globálne nastavenia metódy a nastavenia konkrétneho pravidla sa musia zhodovať. Skontrolujte, či nezostalo staré pravidlo iba s none z konfigurácie prístupu podľa zdroja. Zachovajte aj zamýšľané obmedzenia poslucháča a firewallu.

Vyjednávanie a prístup testujte samostatne

Pred spustením overte súbor režimom kontroly konfigurácie nainštalovaného servera. Potom použite oprávneného klienta, ktorý naozaj podporuje vyjednávanie SOCKS5 s používateľským menom a heslom. Skúste chýbajúce údaje, nesprávne údaje aj povolený účet žiadajúci zakázaný cieľ.

Podvyjednávanie používateľského mena a hesla podľa RFC 1929 heslo nešifruje. Neskoršia relácia HTTPS s cieľom nechráni túto skoršiu výmenu s proxy. Použite vhodne zabezpečenú cestu od klienta k serveru.

Úspešná kontrola konfigurácie potvrdzuje syntax a identity, nie databázu účtov alebo sieťovú cestu. V protokoloch servera zistite, ktorá fáza odmietla skutočný test.

Súvisiace články