[ Pobierz całość w formacie PDF ]
1. Klient wysyła do serwera listę metod autoryzacji, które jest w stanie obsługiwać.
2. Serwer w odpowiedzi wysyła nazwę metody której klient powinien użyć. Metoda ta jest
określana na podstawie polityki bezpieczeństwa zdefiniowanej dla serwera, jeśli klient przesłał
metody których serwer nie akceptuje połączenie jest zrywane przez serwer.
- Rozpoznawanie adresów symbolicznych.
Serwer SOCKSv5 posiada również funkcjonalność serwera DNS, dlatego w poleceniach CONNECT
i BIND klient może przesyłać adresy symboliczne zamiast adresów IP. Ułatwia to znacznie
konfiguracjÄ™ serwera DNS.
- Obsługa protokołu UDP.
Do obsługi połączeń UDP serwer SOCKSv5 tworzy virtualny obwód. Istnieją dwie zasadnicze
różnice pomiędzy obsługą protokołów TCP i UDP.
- virtualny obwód dla połączenia UDP składa się z dwóch par adres-port określających
punkty końcowe połączenia
- nagłówki pakietów proxy UDP dokonują enkapsulacji przesyłanych danych (w tym adresu
docelowego pod który ma być przesłany datagram)
Ponieważ funkcjonalność serwera SOCKSv4 zawiera się w funkcjonalności serwera SOCKSv5, poniższy
opis dotyczył będzie serwera SOCKSv5.
4.1.1. Konfiguracja serwera SOCKS.
Konfiguracja serwera SOCKSv5 zawarta jest w pliku /etc/socks5.conf. Plik podzielony jest na sześć sekcji.
- Sekcja hostów zbanowanych .
Określa hosty do których zabroniony jest dostęp, wpisy w tej sekcji mają postać:
ban source_host source_port
host zródłowy i port zródłowy muszą być określone zgodnie ze wzorcem.
- Sekcja określająca metody autoryzacji
Określa metody autoryzacji dla poszczególnych hostów. Wpisy tej sekcji mają postać:
auth source_host source_port auth_methods
w przypadku pominięcia tej sekcji w pliku konfiguracyjnym mechanizm autoryzacji nie jest
stosowany przy obsłudze połączeń.
Plik: firewall Wersja: 0.1-82 z dnia 13.06.2002 Stron: 41 Długość: 307 kB
Copyright © 2002 Akademia Górniczo-Hutnicza Prowadzenie zajęć: mgr inż. BogusÅ‚aw Juza
25
Piotr Kopyt, Michał Kułakowski, Krzysztof Niemiec
- Sekcja konfiguracji interfejsów
Jest to sekcja wymagana jedynie dla serwerów SOCKS które posiadają więcej niż jeden interfejs
sieciowy (multi-homed serwers). Określa ona na którym interfejsie należy otwierać połączenie pod
określony adres. Zapobiega to podszywaniu się przez hosty z Internetu pod maszyny znajdujące się
w sieci lokalnej, ponadto określa interfejs którego należy użyć przy obsłudze polecenia BIND.
Wpisy w tej sekcji mają postać:
interface hostpattern portpattern interface_address
hostpattern może definiować zarówno zdalny jak i lokalny adres IP, jeśli jest to adres lokalny to wpis
oznacza że klient o tym adresie musi użyć określonego interfejsu przy połączeniu z serwerem
SOCKS w przeciwnym wypadku połączenie jest odrzucane, jeśli zaś jest to adres zdalny to określa
on interfejs pod którym dostępny jest ten adres (definiowany jest w ten sposób ruting ).
- Sekcja zmiennych
Pozwala nadawać wartości zmiennym, wpisy w tej sekcji mają postać:
set variable value
- Sekcja proxy
Określa hosty z którymi można się połączyć za pośrednictwem innych serwerów proxy. Wpisy tej
sekcji mają postać:
proxy_type dest_host dest_port proxy_list
proxy_type może przybierać jedną z trzech wartości: socks4, sock5, noproxy, proxy_list określa listę
serwerów proxy zgodnie ze wzorcem.
- Sekcja kontroli dostępu
W sekcji tej znajdują się reguły pozwalające na zdefiniowania zasad dostępu dla poszzcególnych
adresów. Wpisy w tej sekcji mogą mieć dwojaką postać:
permit auth cmd src_host dest_host src_port dest_port [user_list]
deny auth cmd src_host dest_host src_port dest_port [user_list]
gdzie:
auth określa listę metod autoryzacji koniecznych dla realizacji danego połączenia, parametr ten
musi być zgodny ze wzorcem.
cmd określa komendy jakie może wykonać klient spod adresu src_host na serwerze spod adresu
dest_host, parametr ten musi być zgodny ze wzorcem.
src_host, dest_host, dest_port określają odpowiednio adres zródłowy, adres docelowy i port
user_list określa użytkowników dla których dostępne jest to połączenie, używane w połączeniu z
parametrem auth
Wzorce używane w pliku konfiguracyjnym.
Plik: firewall Wersja: 0.1-82 z dnia 13.06.2002 Stron: 41 Długość: 307 kB
Copyright © 2002 Akademia Górniczo-Hutnicza Prowadzenie zajęć: mgr inż. BogusÅ‚aw Juza
26
Piotr Kopyt, Michał Kułakowski, Krzysztof Niemiec
Wzorce adresów IP.
- pasuje do każdego adresu
111. pasuje do adresów podsieci 111.0.0.0/255.0.0.0
111.111. pasuje do adresów podsieci 111.111.0.0/255.255.0.0
111.111.111. pasuje do adresów podsieci 111.111.111.0/255.255.255.0
.domain.name pasuje do adresów hostów kończących się na .domain.name
host.domain.name pasuje do hosta o podanym adresie
Wzorce portów.
ftp określa port usługi FTP (port 21)
[ Pobierz całość w formacie PDF ]