Избор метода SOCKS5 аутентификације у Dante-у

Код SOCKS5 аутентификација се договара пре него што клијент пошаље свој захтев за одредиштем. Због тога је рани неуспех акредитива други догађај од неуспеха FTP-а, HTTPS-а или друге апликације иза проксија.

Клијентов поздрав наводи методе аутентификације које подржава. Сервер бира једну методу са тог списка и враћа избор. Вредност 0xff значи да ниједна понуђена метода није прихватљива и веза мора да се затвори. Клијент не једноставно испробава сваку методу на страни сервера након неуспеле лозинке.

Шта Dante-ов редослед контролише

Dante 1.4.x назива подешавање на нивоу протокола socksmethod. Његова документација каже да су методе наведене по редоследу приоритета. За политику која дозвољава обе методе, ова декларација преферира корисничко име/лозинку када је клијент понуди:

socksmethod: username none

Обрнути списак преферира приступ без аутентификације када се нуде обе методе:

socksmethod: none username

Ово су алтернативне декларације метода, а не потпуне конфигурације сервера. Интерфејси за слушање, дозвољени клијенти, правила одредишта и било каква ограничења аутентификације специфична за правило и даље су важни.

Дозвољавање none има конкретну последицу: клијент који нуди само без аутентификације може бити прихваћен према примењивим правилима. Стављање username на прво место не претвара списак који садржи none у захтев да сви дају лозинку.

Прво изаберите захтев

Ако сваки дозвољени клијент мора да се аутентификује корисничким именом/лозинком, конфигуришите тај захтев доследно у глобалним и примењивим правилима уместо да додате none као општу исправку компатибилности. Ако је анониман приступ намеран за ограничену групу клијената, учините групу и њена дозвољена одредишта експлицитним.

Dante има и clientmethod, који се односи на провере које се изводе када се TCP клијент повеже, пре SOCKS преговарања. То је одвојен слој од метода размењених у SOCKS5 поздраву. Конфигурационе исечке који користе старију кључну реч method треба читати према приручнику инсталиране верзије Dante-а.

Када се два клијента понашају различито, упоредите шта сваки нуди, шта Dante бира и да ли под-преговарање изабране методе успева. Затим прегледајте одговор одредишта SOCKS-а. Овај след препознаје недостајући повратни позив акредитива без приписивања сваког неуспеха FTP-у или слепог мењања политике аутентификације сервера.

Коначно, SOCKS5 аутентификација корисничким именом/лозинком не шифрује размену лозинке. Користите одговарајуће заштићен транспорт или мрежу када тим акредитивима треба поверљивост.