Неге 127.0.0.1 мекенжайына DNAT ерекше назарды талап етеді
Сыртқы трафикті loopback-ке байланған прокси құрамдасына бағыттағанда route_localnet-ті түсініңіз.
Қызмет 127.0.0.1:1080 мекенжайында тыңдап тұр. DNAT ережесі кіріс трафигін сол мекенжайға бағыттайды, бірақ қосылым сәтсіз аяқталады. Қызмет сау болуы және NAT ережесі сәйкес келуі мүмкін: IPv4 loopback мекенжайлары маршруттауда ерекше өңделеді.
Linux-тағы route_localnet маршруттау кезінде 127/8 мекенжайлары марстық мекенжайлар ретінде қарастырыла ма, соны басқарады. Оның әдепкі мәні әдеттегі loopback шекарасын сақтайды. Белгілі бір интерфейске қатысты ерекшелік әдейі жасалған жергілікті қайта бағыттау жобасы үшін маңызды болуы мүмкін.
Бұл басқа машинада жұмыс істеген ереженің сіз көшірмеген sysctl-ге тәуелді болуы мүмкін екенін түсіндіреді. Бірақ бұл опцияны барлық жерде қосуға негіз бермейді.
Қауіпсіздік болжамы маршрутпен бірге өзгереді
Loopback-ке байлау көбіне көмекші құрамдастың тәуелсіз клиент аутентификациясы болмағандықтан қолданылады. Егер басқа интерфейстен келетін трафик сол жерге маршруттала алатын болса, байлау мекенжайының өзі қолжетімді аудиторияны сипаттамайды. Нақты ережелер жиынында кіру көздерін, межелі орынды және портты шектеңіз, тиісті жерде loopback көзі немесе межелі мекенжайларын мәлімдейтін трафикті де қосыңыз.
Қызметті қамтитын желілік атаулар кеңістігін қарап шығыңыз. Контейнердің loopback-і хосттың loopback-і емес, ал хост интерфейсінің параметрін өзгерту контейнерде тыңдаушыны автоматты түрде жасамайды.
rp_filter бастау жолын тексеру туралы басқа сұраққа жауап береді. Оны жаһандық өшіру loopback маршруттауын түсінудің жалпы баламасы емес. Сол сияқты ip_nonlocal_bind сокеттерді жергілікті емес мекенжайларға байлауға қатысты, бұл DNAT жолын дұрыс етуге емес.
Соңында, қайта бағытталған хаттама тыңдаушыға сәйкес келуі керек. Шикі HTTP немесе TLS трафигін SOCKS портына жіберу әлі де аудармашыны қажет етеді; маршруттау ерекшелігі жетіспейтін келіссөзді бере алмайды.