127.0.0.1 ünvanına DNAT üçün xüsusi diqqət nə üçün lazımdır
Xarici trafiki loopback-ə bağlanmış proxy komponentinə yönləndirərkən route_localnet-i anlayın.
Bir xidmət 127.0.0.1:1080 ünvanında dinləyir. DNAT qaydası daxil olan trafiki həmin ünvana yönəldir, lakin bağlantı alınmır. Xidmət sağlam ola bilər və NAT qaydası uyğun gələ bilər: IPv4 loopback ünvanları xüsusi marşrutlaşdırma emalı alır.
Linux-un route_localnet parametri marşrutlaşdırma zamanı 127/8 ünvanlarının mars ünvanı kimi qəbul edilib-edilməyəcəyini idarə edir. Onun susmaya görə dəyəri adi loopback sərhədini qoruyur. Konkret interfeysə aid istisna qəsdən yerli yönləndirmə dizaynı üçün əhəmiyyətli ola bilər.
Bu, başqa maşında işləyən qaydanın köçürmədiyiniz bir sysctl-dən asılı ola bilməsini izah edir. Bu, seçimin hər yerdə aktivləşdirilməsini əsaslandırmır.
Təhlükəsizlik fərziyyəsi marşrutla birlikdə dəyişir
Loopback bağlaması çox vaxt köməkçi komponentin müstəqil müştəri autentifikasiyası olmadığı üçün istifadə edilir. Başqa interfeysdən gələn trafik oraya yönləndirilə bilirsə, yalnız bağlama ünvanı artıq əldə edilə bilən auditoriyanı təsvir etmir. Faktiki qaydalar toplusunda giriş mənbələrini, təyinatı və portu məhdudlaşdırın; lazım olduqda loopback mənbə və ya təyinat ünvanı iddia edən trafiki də daxil edin.
Xidməti saxlayan şəbəkə ad məkanını nəzərdən keçirin. Konteynerin loopback-i hostun loopback-i deyil və host interfeysinin parametrini dəyişmək konteynerdə avtomatik dinləyici yaratmır.
rp_filter mənbə-marşrut yoxlaması ilə bağlı fərqli suala cavab verir. Onu qlobal söndürmək loopback marşrutlaşdırmasını anlamağın ümumi əvəzi deyil. Eyni şəkildə ip_nonlocal_bind soketlərin qeyri-lokal ünvanlara bağlanmasına aiddir, bu DNAT yolunu düzgün etməyə deyil.
Nəhayət, yönləndirilən protokol dinləyiciyə uyğun olmalıdır. Xam HTTP və ya TLS trafikini SOCKS portuna göndərmək yenə də tərcüməçi tələb edir; marşrut istisnası çatışmayan razılaşmanı verə bilməz.