Pravidlá odpovede UDP v Dante obracajú smer from/to
Aplikujte pravidlá odpovede Dante v smere zvonku→vnútri namiesto kopírovania adresných predpokladov odchádzajúceho klienta.
Klient je autentifikovaný a asociácia UDP je povolená. Odpovede stále zlyhávajú. V Dante preverte smer pravidla, ktoré spracúva návratovú prevádzku.
Dante oddeľuje iniciujúce príkazy od spracovania odpovedí:
| Príkazy pravidla | from | to |
|---|---|---|
connect, bind, udpassociate | Vnútorný klient | Vonkajší cieľ |
bindreply, udpreply | Vonkajší hostiteľ | Vnútorný klient |
Kopírovanie obmedzenia podsiete klienta nezmenené do oboch smerov preto môže v pravidle odpovede zodpovedať nesprávnej strane. Preverte zamýšľaných vonkajších odosielateľov a vnútorných príjemcov, nielen to, či sa v pravidle pass vyskytuje slovo UDP.
Autentifikácia má súvisiacu hranicu. Vonkajšia služba odpovedajúca na datagram UDP nie je klient SOCKS, ktorý môže dokončiť vašu výmenu používateľského mena a hesla. Dokumentácia Dante vysvetľuje, že operácie odpovede vyplývajú z predchádzajúcej asociácie BIND alebo UDP klienta; autentifikujte túto iniciujúcu operáciu a použite príslušnú politiku pridružených odpovedí.
Neoprávňuje to neobmedzenú nežiaducu prichádzajúcu prevádzku. Asociácia UDP, politika cieľa, adresa relay a cesta firewallom sú stále dôležité. Ani povolenie bindreply nezmení asociáciu UDP na univerzálnu verejnú službu presmerovania portov.
Udržujte výmenu SOCKS na strane klienta a skutočnú návratovú cestu UDP oddelene viditeľné. Úspešné prihlásenie TCP neoveruje ani smer adries v ACL odpovedí, ani dostupnosť koncového bodu relay UDP.