Por que DNAT a 127.0.0.1 require un coidado especial
Entende route_localnet ao redirixir tráfico externo cara a un compoñente proxy ligado ao loopback.
Un servizo escoita en 127.0.0.1:1080. Unha regra DNAT dirixe o tráfico entrante a ese enderezo, pero a conexión falla. O servizo pode estar san e a regra NAT pode coincidir: os enderezos de loopback IPv4 reciben un tratamento de encamiñamento especial.
O route_localnet de Linux controla se os enderezos 127/8 se tratan como enderezos marcianos durante o encamiñamento. O seu valor predeterminado conserva o límite habitual do loopback. Unha excepción específica dunha interface pode ser relevante para un deseño deliberado de redirección local.
Iso explica por que unha regra que funciona noutra máquina pode depender dun sysctl que non copiou. Non xustifica activar a opción en todas partes.
A suposición de seguridade cambia coa ruta
A vinculación ao loopback úsase a miúdo porque un auxiliar non ten autenticación de cliente independente. Se o tráfico que chega doutra interface pode encamiñarse cara alí, o enderezo de vinculación por si só xa non describe o público alcanzable. Restrinxe as fontes de entrada, o destino e o porto no conxunto de regras real, incluído o tráfico que afirma enderezos de orixe ou destino de loopback cando corresponda.
Revisa o espazo de nomes de rede que contén o servizo. O loopback dun contedor non é o do anfitrión, e cambiar un axuste de interface do anfitrión non crea automaticamente un oínte no contedor.
rp_filter responde a outra pregunta sobre a validación da ruta de orixe. Desactivalo globalmente non é un substituto xeral de entender o encamiñamento de loopback. Do mesmo xeito, ip_nonlocal_bind trata de vincular sockets a enderezos non locais, non de facer correcta esta ruta DNAT.
Por último, o protocolo redirixido debe encaixar co oínte. Enviar tráfico HTTP ou TLS en bruto a un porto SOCKS aínda require un tradutor; unha excepción de encamiñamento non pode achegar a negociación que falta.