Miksi DNAT osoitteeseen 127.0.0.1 vaatii erityistä huolellisuutta
Ymmärrä route_localnet, kun ohjaat ulkoista liikennettä loopbackiin sidottuun välityspalvelinkomponenttiin.
Palvelu kuuntelee osoitteessa 127.0.0.1:1080. DNAT-sääntö ohjaa saapuvan liikenteen tuohon osoitteeseen, mutta yhteys epäonnistuu silti. Palvelu voi olla kunnossa ja NAT-sääntö voi täsmätä: IPv4:n loopback-osoitteita käsitellään reitityksessä erityisesti.
Linuxin route_localnet määrittää, kohdellaanko osoitteita 127/8 reitityksen aikana mars-osoitteina. Oletusarvo säilyttää tavanomaisen loopback-rajan. Yksittäiseen liitäntään liittyvä poikkeus voi olla merkityksellinen tarkoituksellisessa paikallisen uudelleenohjauksen suunnittelussa.
Tämä selittää, miksi toisella koneella toimiva sääntö voi riippua sysctl-asetuksesta, jota et kopioinut. Se ei oikeuta valitsimen kytkemistä päälle kaikkialla.
Turvaoletus muuttuu reitin mukana
Loopback-sidontaa käytetään usein siksi, että apuohjelmalla ei ole itsenäistä asiakastodennusta. Jos toiselta liitännältä saapuva liikenne voidaan reitittää sinne, sidontaosoite yksin ei enää kuvaa tavoitettavissa olevaa yleisöä. Rajoita todellisessa sääntöjoukossa saapumislähteet, kohde ja portti, mukaan lukien liikenne, joka väittää loopback-lähde- tai kohdeosoitteita silloin kun se on olennaista.
Käy läpi palvelun sisältävä verkkonimiavaruus. Säiliön loopback ei ole isäntäkoneen loopback, eikä isäntäkoneen liitännän asetuksen muuttaminen luo automaattisesti kuuntelijaa säiliöön.
rp_filter vastaa eri kysymykseen lähdepolun validoinnista. Sen kytkeminen pois päältä globaalisti ei ole yleinen korvike loopback-reitityksen ymmärtämiselle. Samoin ip_nonlocal_bind koskee socketien sitomista ei-paikallisiin osoitteisiin, ei tämän DNAT-reitin korjaamista.
Lopuksi uudelleenohjatun protokollan on sovittava kuuntelijaan. Raakan HTTP- tai TLS-liikenteen lähettäminen SOCKS-porttiin vaatii edelleen kääntäjän; reittipoikkeus ei voi tarjota puuttuvaa neuvottelua.