Dante-ова правила UDP одговора обрћу смер from/to
Примените Dante-ова правила одговора у смеру споља→унутра уместо да копирате претпоставке адреса одлазног клијента.
Клијент је аутентификован и UDP асоцијација је дозвољена. Одговори ипак не пролазе. У Dante-у проверите смер правила које обрађује повратни саобраћај.
Dante раздваја наредбе за покретање од обраде одговора:
| Наредбе правила | from | to |
|---|---|---|
connect, bind, udpassociate | Унутрашњи клијент | Спољно одредиште |
bindreply, udpreply | Спољни хост | Унутрашњи клијент |
Копирање клијентовог ограничења подмреже непромењено у оба смера стога на правилу одговора може погодити погрешну страну. Проверите намераване спољне пошиљаоце и унутрашње примаоце, а не само да ли се реч UDP појављује у правилу pass.
Аутентификација има повезану границу. Спољна услуга која одговара на UDP датаграм није SOCKS клијент који може да доврши вашу размену корисничког имена и лозинке. Dante документација објашњава да операције одговора произилазе из клијентове раније BIND или UDP асоцијације; аутентификујте ту почетну операцију и примените одговарајућу политику придружених одговора.
То не оправдава неограничен нежељени улазни саобраћај. UDP асоцијација, политика одредишта, адреса релеја и пут кроз заштитни зид и даље су важни. Ни омогућавање bindreply не претвара UDP асоцијацију у услугу јавног прослеђивања портова опште намене.
Држите клијентску SOCKS размену и стварни повратни UDP пут одвојено видљивима. Успешна TCP пријава не потврђује ни смер адреса у ACL-у за одговоре ни доступност UDP relay endpoint-а.