Γιατί το DNAT προς 127.0.0.1 απαιτεί ιδιαίτερη προσοχή
Κατανοήστε το route_localnet όταν ανακατευθύνετε εξωτερική κίνηση σε στοιχείο proxy δεσμευμένο στο loopback.
Μια υπηρεσία ακούει στο 127.0.0.1:1080. Ένας κανόνας DNAT στέλνει την εισερχόμενη κίνηση σε αυτή τη διεύθυνση, ωστόσο η σύνδεση αποτυγχάνει. Η υπηρεσία μπορεί να είναι υγιής και ο κανόνας NAT να ταιριάζει: οι διευθύνσεις loopback του IPv4 έχουν ειδική μεταχείριση δρομολόγησης.
Το route_localnet του Linux ελέγχει αν οι διευθύνσεις 127/8 αντιμετωπίζονται ως αρειανές διευθύνσεις κατά τη δρομολόγηση. Η προεπιλεγμένη τιμή διατηρεί το συνηθισμένο όριο loopback. Μια εξαίρεση για συγκεκριμένη διεπαφή μπορεί να είναι σχετική με μια σκόπιμη σχεδίαση τοπικής ανακατεύθυνσης.
Αυτό εξηγεί γιατί ένας κανόνας που λειτουργεί σε άλλο μηχάνημα μπορεί να εξαρτάται από ένα sysctl που δεν αντιγράψατε. Δεν δικαιολογεί την ενεργοποίηση της επιλογής παντού.
Η παραδοχή ασφαλείας αλλάζει μαζί με τη διαδρομή
Η δέσμευση στο loopback χρησιμοποιείται συχνά επειδή ένα βοηθητικό πρόγραμμα δεν έχει ανεξάρτητη πιστοποίηση πελάτη. Αν κίνηση από άλλη διεπαφή μπορεί να δρομολογηθεί εκεί, η διεύθυνση δέσμευσης από μόνη της δεν περιγράφει πλέον το προσβάσιμο κοινό. Περιορίστε τις πηγές εισόδου, τον προορισμό και τη θύρα στο πραγματικό σύνολο κανόνων, συμπεριλαμβανομένης κίνησης που δηλώνει διευθύνσεις πηγής ή προορισμού loopback όπου αυτό είναι σχετικό.
Ελέγξτε τον χώρο ονομάτων δικτύου που περιέχει την υπηρεσία. Το loopback ενός container δεν είναι το loopback του κεντρικού υπολογιστή, και η αλλαγή ρύθμισης διεπαφής του κεντρικού υπολογιστή δεν δημιουργεί αυτόματα ακροατή μέσα στο container.
Το rp_filter απαντά σε διαφορετικό ερώτημα σχετικά με την επικύρωση της διαδρομής πηγής. Η καθολική απενεργοποίησή του δεν είναι γενικό υποκατάστατο της κατανόησης της δρομολόγησης loopback. Ομοίως, το ip_nonlocal_bind αφορά τη δέσμευση υποδοχών σε μη τοπικές διευθύνσεις, όχι το να γίνει σωστή αυτή η διαδρομή DNAT.
Τέλος, το ανακατευθυνόμενο πρωτόκολλο πρέπει να ταιριάζει με τον ακροατή. Η αποστολή ακατέργαστης κίνησης HTTP ή TLS σε θύρα SOCKS εξακολουθεί να απαιτεί μεταφραστή· μια εξαίρεση δρομολόγησης δεν μπορεί να παράσχει τη διαπραγμάτευση που λείπει.