Miks DNAT aadressile 127.0.0.1 nõuab erilist tähelepanu
Mõistke route_localnet-i, kui suunate välisliiklust loopbacki seotud puhverserveri komponendile.
Teenus kuulab aadressil 127.0.0.1:1080. DNAT-reegel suunab sissetuleva liikluse sellele aadressile, kuid ühendus siiski ebaõnnestub. Teenus võib olla terve ja NAT-reegel võib sobida: IPv4 loopback-aadresse töödeldakse marsruutimisel eriliselt.
Linuxi route_localnet määrab, kas aadresse 127/8 käsitletakse marsruutimisel marsiaadressidena. Vaikeväärtus säilitab tavapärase loopback-piiri. Konkreetse liidese erand võib olla asjakohane teadliku kohaliku ümbersuunamise kavandamisel.
See selgitab, miks teisel masinal töötav reegel võib sõltuda sysctl-ist, mida te ei kopeerinud. See ei õigusta valiku lubamist kõikjal.
Turvaeeldus muutub koos marsruudiga
Loopbacki sidumist kasutatakse sageli seetõttu, et abikomponendil puudub sõltumatu kliendi autentimine. Kui teiselt liideselt saabuv liiklus on sinna marsruuditav, ei kirjelda sidumisaadress üksi enam kättesaadavat sihtrühma. Piirake tegelikus reeglistikus sisenemisallikaid, sihtkohta ja porti, sealhulgas liiklust, mis väidab loopbacki lähte- või sihtaadresse, kui see on asjakohane.
Vaadake üle teenust sisaldav võrgu nimeruum. Konteineri loopback ei ole hosti loopback ja hosti liidese seade muutmine ei loo konteineris automaatselt kuulajat.
rp_filter vastab teisele küsimusele lähtetee valideerimise kohta. Selle globaalne väljalülitamine ei ole üldine asendus loopback-marsruutimise mõistmisele. Samuti puudutab ip_nonlocal_bind pistikute sidumist mittelokaalsete aadressidega, mitte selle DNAT-tee korrektseks muutmist.
Lõpuks peab ümbersuunatud protokoll kuulajaga sobima. Toores HTTP- või TLS-liikluse saatmine SOCKS-pordile nõuab endiselt tõlkijat; marsruudierand ei saa pakkuda puuduvat läbirääkimist.