Waarom DNAT na 127.0.0.1 spesiale sorg vereis
Verstaan route_localnet wanneer eksterne verkeer na 'n lusadres-gekoppelde proxy-komponent herlei word.
'n Diens luister op 127.0.0.1:1080. 'n DNAT-reel wys inkomende verkeer na daardie adres, maar die verbinding misluk. Die diens kan gesond wees en die NAT-reel kan pas: IPv4-lusadresse kry spesiale roetebehandeling.
Linux se route_localnet bepaal of 127/8-adresse tydens roetering as martiaanse adresse behandel word. Die verstekwaarde behou die gewone lusgrens. 'n Koppelvlak-spesifieke uitsondering kan relevant wees vir 'n doelbewuste plaaslike herleidingsontwerp.
Dit verduidelik waarom 'n werkende reel van 'n ander masjien van 'n sysctl kan afhang wat jy nie gekopieer het nie. Dit regverdig nie om die opsie oral te aktiveer nie.
Die sekuriteitsaanname verander saam met die roete
'n Luskoppeling word dikwels gebruik omdat 'n helper geen onafhanklike klienteverifikasie het nie. As verkeer van 'n ander koppelvlak daarheen gerouteer kan word, beskryf die koppeladres alleen nie meer die bereikbare gehoor nie. Beperk die inkomende bronne, bestemming en poort in die werklike reelstel, insluitend verkeer wat lusbron- of bestemmingsadresse voorgee waar van toepassing.
Hersien die netwerknaamruimte wat die diens bevat. 'n Houer se lus is nie die gasheer se lus nie, en die wysiging van 'n gasheerkoppelvlak-instelling skep nie outomaties 'n luisteraar in die houer nie.
rp_filter beantwoord 'n ander vraag oor bronpadvalidering. Om dit globaal af te skakel is nie 'n algemene plaasvervanger vir die begrip van lusroetering nie. Net so handel ip_nonlocal_bind oor die koppeling van sokkels aan nie-plaaslike adresse, eerder as om hierdie DNAT-pad korrek te maak.
Laastens moet die herleide protokol by die luisteraar pas. Die stuur van rou HTTP- of TLS-verkeer na 'n SOCKS-poort benodig steeds 'n vertaler; 'n roete-uitsondering kan nie die ontbrekende onderhandeling verskaf nie.