Hvers vegna DNAT á 127.0.0.1 krefst sérstakrar varúðar
Skildu route_localnet þegar utanaðkomandi umferð er beint á proxy-hluta sem er bundinn við loopback.
Þjónusta hlustar á 127.0.0.1:1080. DNAT-regla beinir innkomandi umferð á þetta vistfang, en samt mistekst tengingin. Þjónustan getur verið heilbrigð og NAT-reglan getur passað: IPv4 loopback-vistföng fá sérstaka meðferð í leiðsögn.
route_localnet í Linux stýrir því hvort vistföng 127/8 eru meðhöndluð sem Mars-vistföng við leiðsögn. Sjálfgefið gildi varðveitir venjuleg loopback-mörk. Undantekning fyrir tiltekið tengi getur skipt máli fyrir viljandi hönnun staðbundinnar endurbeiningar.
Það útskýrir hvers vegna virk regla frá annarri vél getur verið háð sysctl sem þú afritaðir ekki. Það réttlætir ekki að kveikja á valkostinum alls staðar.
Öryggisforsendan breytist með leiðinni
Binding við loopback er oft notuð vegna þess að hjálparforrit hefur ekki sjálfstæða auðkenningu biðlara. Ef umferð frá öðru tengi getur verið leiðbeint þangað, lýsir bindivistfangið eitt og sér ekki lengur aðgengilegum hópi. Takmarkaðu innkomuheimildir, áfangastað og port í raunverulegu reglusettinni, þar á meðal umferð sem segist koma frá loopback-uppruna eða -áfangastað þar sem við á.
Farðu yfir netnafnrýmið sem þjónustan er í. Loopback gáma er ekki loopback hýsilsins, og breyting á stillingu hýsilstengis býr ekki sjálfkrafa til hlustanda í gámnum.
rp_filter svarar annarri spurningu um sannprófun upprunaleiðar. Að slökkva á því almennt er ekki almenn staðgengil fyrir skilning á loopback-leiðsögn. Á sama hátt snýst ip_nonlocal_bind um að binda sokkla við óstaðbundin vistföng, ekki um að gera þessa DNAT-leið rétta.
Að lokum verður endurbeinaða siðareglan að passa hlustandanum. Að senda hráa HTTP- eða TLS-umferð á SOCKS-port krefst enn þýðanda; leiðsagnarundantekning getur ekki veitt þá samningaviðræðu sem vantar.