Dodajte preverjanje uporabniškega imena v Dante

Preklopite politiko SOCKS v Dante 1.4.4 z dostopa samo glede na vir na izrecno preverjanje računa ter ohranite omejitve vira in cilja.

V Dante 1.4.4 odjemalska pravila dovolijo povezavo pred pogajanjem SOCKS, pravila SOCKS pa odločijo, katere overjene zahteve se smejo nadaljevati. Povezava iz dovoljenega vira lahko v drugi fazi še vedno zahteva uporabniško ime.

Pri overjanju z uporabniškimi imeni operacijskega sistema poleg metode preverite tudi identitete storitve. Branje zbirke računov lahko zahteva privilegirano identiteto:

clientmethod: none
socksmethod: username
user.privileged: root
user.unprivileged: danteproxy

Uporabite dejanski storitveni račun z malo pravicami, nameščen za Dante. Ustvarite ali izberite pooblaščen odjemalski račun, združljiv z zaledjem za uporabniška imena; identiteta storitve in odjemalska prijava imata različni vlogi.

Ohranite meje zahtev

Za obstoječim ozkim odjemalskim pravilom zahtevajte račun na dovoljeni poti SOCKS:

socks pass {
    from: 198.51.100.27/32 to: 203.0.113.20/32 port = 443
    command: connect
    socksmethod: username
    user: proxyuser
    log: connect error
}

Naslovi in ime računa so vzorčne vrednosti. To dovoljuje en vir, en cilj, en ukaz in navedenega overjenega uporabnika. Te meje ne zamenjajte z neomejenimi viri samo zato, ker ste dodali geslo.

Globalne nastavitve metode in nastavitve posameznega pravila se morajo ujemati. Preverite, ali je iz nastavitve samo po viru ostalo staro pravilo, ki dovoljuje le none. Ohranite tudi predvidene omejitve poslušalnika in požarnega zidu.

Pogajanje in dostop preizkusite ločeno

Pred zagonom preverite datoteko z načinom preverjanja konfiguracije nameščenega strežnika. Nato uporabite pooblaščenega odjemalca, ki dejansko podpira pogajanje SOCKS5 z uporabniškim imenom in geslom. Preizkusite manjkajoče in napačne poverilnice ter dovoljen račun, ki zahteva prepovedan cilj.

Podpogajanje z uporabniškim imenom in geslom iz RFC 1929 ne šifrira gesla. Poznejša seja HTTPS s ciljem ne zaščiti te predhodne izmenjave s posrednikom. Uporabite ustrezno zaščiteno pot od odjemalca do strežnika.

Uspešno preverjanje konfiguracije potrjuje skladnjo in identitete, ne zbirke računov ali omrežne poti. V strežniških dnevnikih poiščite fazo, ki je zavrnila dejanski preizkus.

Sorodni članki