Dantes UDP-svarregler vänder på from/to-riktningen
Använd Dantes svarregler i riktningen utifrån→inifrån i stället för att kopiera den utgående klientens adressantaganden.
Klienten är autentiserad och UDP-associationen är tillåten. Svarena misslyckas ändå. I Dante bör du undersöka riktningen på regeln som hanterar returtrafiken.
Dante skiljer på initierande kommandon och svarshantering:
| Regelkommandon | from | to |
|---|---|---|
connect, bind, udpassociate | Intern klient | Extern destination |
bindreply, udpreply | Extern värd | Intern klient |
Att kopiera klientens subnätsbegränsning oförändrad till båda riktningarna kan därför träffa fel sida i svarsregeln. Granska de avsedda externa avsändarna och interna mottagarna, inte bara om ordet UDP förekommer i en pass-regel.
Autentisering har en närbesläktad gräns. Den externa tjänst som svarar på ett UDP-datagram är inte en SOCKS-klient som kan slutföra ditt användarnamn/lösenordsutbyte. Dantes dokumentation förklarar att svarsoperationer uppstår från klientens tidigare BIND- eller UDP-association; autentisera den initierande operationen och tillämpa lämplig policy för associerade svar.
Detta rättfärdigar inte obegränsad oönskad inkommande trafik. UDP-associationen, destinationspolicyn, relayadressen och brandväggsvägen spelar fortfarande roll. Att aktivera bindreply gör inte heller UDP-associationen till en allmän offentlig portvidarebefordranstjänst.
Håll SOCKS-utbytet på klientsidan och den faktiska UDP-returvägen synliga var för sig. En lyckad TCP-inloggning verifierar varken adressriktningen i svars-ACL:en eller att UDP-relayns ändpunkt går att nå.