Ինչու է 127.0.0.1 հասցեին DNAT-ը պահանջում հատուկ ուշադրություն
Հասկացեք route_localnet-ը, երբ արտաքին տրաֆիկը վերահղում եք loopback-ին կապված պրոքսի բաղադրիչին։
Ծառայությունը լսում է 127.0.0.1:1080 հասցեով։ DNAT կանոնը մուտքային տրաֆիկը ուղղում է այդ հասցեին, սակայն միացումը ձախողվում է։ Ծառայությունը կարող է առողջ լինել, և NAT կանոնը կարող է համընկնել. IPv4 loopback հասցեները երթուղավորման ժամանակ հատուկ վերաբերմունք են ստանում։
Linux-ի route_localnet-ը որոշում է՝ արդյոք 127/8 հասցեները երթուղավորման ընթացքում դիտարկվում են որպես մարսյան հասցեներ։ Դրա լռելյայն արժեքը պահպանում է սովորական loopback սահմանը։ Կոնկրետ ինտերֆեյսի համար բացառությունը կարող է արդիական լինել դիտավորյալ տեղական վերահղման նախագծի համար։
Դա բացատրում է, թե ինչու մեկ այլ մեքենայում աշխատող կանոնը կարող է կախված լինել sysctl-ից, որը դուք չեք պատճենել։ Բայց դա չի արդարացնում այդ պարամետրի միացումը ամենուր։
Անվտանգության ենթադրությունը փոխվում է երթուղու հետ
Loopback-ին կապումը հաճախ օգտագործվում է, որովհետև օժանդակ բաղադրիչը չունի ինքնուրույն հաճախորդի նույնականացում։ Եթե այլ ինտերֆեյսից եկող տրաֆիկը կարող է երթուղավորվել այնտեղ, ապա կապման հասցեն ինքնին այլևս չի նկարագրում հասանելի լսարանին։ Սահմանափակեք մուտքի աղբյուրները, նպատակակետը և պորտը փաստացի կանոնների հավաքածուում, ներառյալ այն տրաֆիկը, որը հավակնում է loopback աղբյուրի կամ նպատակակետի հասցեներ, որտեղ դա արդիական է։
Վերանայեք ծառայությունը պարունակող ցանցային անվանատարածքը։ Կոնտեյների loopback-ը հոսթի loopback-ը չէ, և հոսթի ինտերֆեյսի կարգավորումը փոխելը ինքնաշխատ լսող չի ստեղծում կոնտեյներում։
rp_filter-ը պատասխանում է աղբյուրի ուղու ստուգման մեկ այլ հարցի։ Այն գլոբալ անջատելը loopback երթուղավորումը հասկանալու ընդհանուր փոխարինում չէ։ Նույն կերպ ip_nonlocal_bind-ը վերաբերում է սոքեթները ոչ տեղական հասցեներին կապելուն, ոչ թե այս DNAT ուղին ճիշտ դարձնելուն։
Վերջապես, վերահղված արձանագրությունը պետք է համապատասխանի լսողին։ Հում HTTP կամ TLS տրաֆիկը SOCKS պորտ ուղարկելը դեռ պահանջում է թարգմանիչ․ երթուղավորման բացառությունը չի կարող ապահովել բացակայող բանակցությունը։