Miért igényel különleges figyelmet a DNAT a 127.0.0.1 címre

Egy szolgáltatás a 127.0.0.1:1080 címen figyel. Egy DNAT-szabály a bejövő forgalmat erre a címre irányítja, a kapcsolat mégis meghiúsul. A szolgáltatás lehet egészséges, és a NAT-szabály is illeszkedhet: az IPv4 loopback-címek különleges útválasztási kezelést kapnak.

A Linux route_localnet beállítása szabályozza, hogy a 127/8 címeket az útválasztás során marsi címként kezeli-e a rendszer. Az alapértéke megőrzi a szokásos loopback-határt. Egy adott interfészre vonatkozó kivétel releváns lehet egy szándékos helyi átirányítási tervnél.

Ez magyarázza, miért függhet egy másik gépen működő szabály olyan sysctl-től, amelyet nem másolt át. Ez azonban nem indokolja a beállítás mindenhol történő engedélyezését.

A biztonsági feltevés az útvonallal együtt változik

A loopbackhez kötést gyakran azért használják, mert egy segédprogramnak nincs önálló ügyfél-hitelesítése. Ha egy másik interfészről érkező forgalom odairányítható, a kötési cím önmagában már nem írja le az elérhető közönséget. Korlátozza a bejövő forrásokat, a célt és a portot a tényleges szabálykészletben, beleértve azokat a forgalmakat is, amelyek loopback forrás- vagy célcímet állítanak, ahol ez releváns.

Vizsgálja felül a szolgáltatást tartalmazó hálózati névteret. Egy konténer loopbackje nem a gazdagép loopbackje, és a gazdagép interfészbeállításának módosítása nem hoz létre automatikusan figyelőt a konténerben.

A rp_filter egy másik kérdésre válaszol, a forrásútvonal ellenőrzésére. Globális kikapcsolása nem általános helyettesítője a loopback-útválasztás megértésének. Hasonlóképpen a ip_nonlocal_bind a socketek nem helyi címekhez kötéséről szól, nem arról, hogy ez a DNAT-útvonal helyes legyen.

Végül az átirányított protokollnak illeszkednie kell a figyelőhöz. A nyers HTTP- vagy TLS-forgalom SOCKS-portra küldése továbbra is fordítót igényel; egy útválasztási kivétel nem pótolhatja a hiányzó egyeztetést.