لماذا يحتاج DNAT إلى 127.0.0.1 إلى عناية خاصة

تستمع خدمة على 127.0.0.1:1080. تشير قاعدة DNAT إلى أن الحركة الواردة تذهب إلى ذلك العنوان، ومع ذلك يفشل الاتصال. قد تكون الخدمة سليمة وقد تطابق قاعدة NAT: عناوين الاسترجاع في IPv4 تحظى بمعالجة توجيه خاصة.

يتحكم route_localnet في لينكس فيما إذا كانت عناوين 127/8 تُعامل كعناوين دخيلة أثناء التوجيه. تحافظ قيمته الافتراضية على حدّ الاسترجاع المعتاد. وقد يكون الاستثناء الخاص بواجهة معينة ذا صلة بتصميم إعادة توجيه محلية متعمّد.

هذا يفسّر لماذا قد تعتمد قاعدة ناجحة من جهاز آخر على sysctl لم تنسخه. وهو لا يبرّر تفعيل الخيار في كل مكان.

يتغيّر افتراض الأمان مع المسار

غالبًا ما يُستخدم الربط بواجهة الاسترجاع لأن المساعد لا يملك مصادقة مستقلة للعملاء. وإذا أمكن توجيه حركة قادمة من واجهة أخرى إليه، فإن عنوان الربط وحده لم يعد يصف الجمهور القابل للوصول. قيّد مصادر الدخول والوجهة والمنفذ في مجموعة القواعد الفعلية، بما في ذلك الحركة التي تدّعي عناوين مصدر أو وجهة استرجاع حيث يكون ذلك مناسبًا.

راجع فضاء الشبكة الذي يحتوي الخدمة. فاسترجاع الحاوية ليس استرجاع المضيف، وتغيير إعداد واجهة المضيف لا ينشئ تلقائيًا مستمعًا داخل الحاوية.

يجيب rp_filter عن سؤال مختلف يتعلق بالتحقق من مسار المصدر. إيقافه عالميًا ليس بديلًا عامًا عن فهم توجيه الاسترجاع. وبالمثل، يتعلق ip_nonlocal_bind بربط المقابس بعناوين غير محلية، لا بجعل مسار DNAT هذا صحيحًا.

أخيرًا، يجب أن يناسب البروتوكول المُعاد توجيهه المستمع. فإرسال حركة HTTP أو TLS خام إلى منفذ SOCKS لا يزال يحتاج إلى مترجم؛ ولا يمكن لاستثناء توجيه أن يوفّر التفاوض المفقود.