Pam mae DNAT i 127.0.0.1 angen gofal arbennig

Mae gwasanaeth yn gwrando ar 127.0.0.1:1080. Mae rheol DNAT yn cyfeirio traffig sy'n dod i mewn at y cyfeiriad hwnnw, ond mae'r cysylltiad yn methu. Gall y gwasanaeth fod yn iach a gall y rheol NAT gyfateb: mae cyfeiriadau loopback IPv4 yn cael triniaeth llwybro arbennig.

Mae route_localnet Linux yn rheoli a yw cyfeiriadau 127/8 yn cael eu trin fel cyfeiriadau Marsaidd wrth lwybro. Mae ei werth diofyn yn cadw'r ffin loopback arferol. Gall eithriad sy'n benodol i ryngwyneb fod yn berthnasol i ddyluniad ailgyfeirio lleol bwriadol.

Mae hynny'n egluro pam y gall rheol sy'n gweithio ar beiriant arall ddibynnu ar sysctl na wnaethoch ei chopïo. Nid yw'n cyfiawnhau galluogi'r opsiwn ym mhobman.

Mae'r rhagdybiaeth ddiogelwch yn newid gyda'r llwybr

Defnyddir clymu i loopback yn aml oherwydd nad oes gan gymorthydd unrhyw ddilysu cleient annibynnol. Os gellir llwybro traffig sy'n dod o ryngwyneb arall ato, nid yw'r cyfeiriad clymu ar ei ben ei hun mwyach yn disgrifio'r gynulleidfa y gellir ei chyrraedd. Cyfyngwch y ffynonellau mynediad, y cyrchfan a'r porth yn y set rheolau wirioneddol, gan gynnwys traffig sy'n honni cyfeiriadau ffynhonnell neu gyrchfan loopback lle bo hynny'n berthnasol.

Adolygwch y gofod enw rhwydwaith sy'n cynnwys y gwasanaeth. Nid yw loopback cynhwysydd yr un fath â loopback y gwesteiwr, ac nid yw newid gosodiad rhyngwyneb gwesteiwr yn creu gwrandawr yn y cynhwysydd yn awtomatig.

Mae rp_filter yn ateb cwestiwn gwahanol am ddilysu llwybr ffynhonnell. Nid yw ei ddiffodd yn fyd-eang yn ddisodliad cyffredinol am ddeall llwybro loopback. Yn yr un modd, mae ip_nonlocal_bind yn ymwneud â chlymu socedi i gyfeiriadau ann lleol, yn hytrach na gwneud y llwybr DNAT hwn yn gywir.

Yn olaf, rhaid i'r protocol a ailgyfeirir weddu i'r gwrandawr. Mae anfon traffig HTTP neu TLS crai i borth SOCKS yn dal i fod angen cyfieithydd; ni all eithriad llwybro ddarparu'r trafodaeth sydd ar goll.