Firwat DNAT op 127.0.0.1 besonnesch Suerg brauch
Verstinn route_localnet, wann Dir externen Trafik op eng loopback-gebonne Proxy-Komponente ëmleet.
En Déngscht lauschtert op 127.0.0.1:1080. Eng DNAT-Reeg leet ankommenden Trafik op déi Adress, awer d'Verbindung schléit fehl. Den Déngscht kann gesond sinn an d'Nat-Regel kann passen: IPv4-Loopback-Adressen kréien eng besonnesch Routing-Behandlung.
Dem Linux säi route_localnet bestëmmt, ob 127/8-Adressen beim Routing als Mars-Adressen behandelt ginn. Seng Standardwäert behält déi gewéinlech Loopback-Grenz. Eng Ausnam fir eng bestëmmten Interface kann fir en bewosst lokalt Ëmleetungsdesign relevant sinn.
Dat erkläert, firwat eng funktionéierend Regel vun enger anerer Maschinn vun engem sysctl ofhänke kann, deen Dir net kopéiert hutt. Et rechtfertegt awer net, d'Optioun iwwerall anzeschalten.
D'Sécherheetsannahm ännert sech mat der Route
Eng Loopback-Bindung gëtt dacks benotzt, well en Hëllefsprogramm keng eegestänneg Client-Authentifikatioun huet. Wann Trafik vun enger anerer Interface dohinner geroutet ka ginn, beschreift d'Bindadress eleng net méi dat erreechbart Publikum. Beschränkt d'Entrée-Quellen, den Zil an de Port am eigentleche Reegelsaz, dorënner Trafik, deen Loopback-Quell- oder -Ziladressen behaapt, wou dat relevant ass.
Iwwerpréift den Netzwierk-Namensraum, an deem den Déngscht läit. D'Loopback vun engem Container ass net déi vum Host, an eng geännert Host-Interface-Astellunge schaaft net automatesch en Nolauschterer am Container.
rp_filter beäntwert eng aner Fro zur Quellwee-Validéierung. En global auszeschalten ass kee allgemengen Ersatz fir d'Loopback-Routing ze verstoen. Genee esou geet et bei ip_nonlocal_bind ëm d'Bannen vu Sockets un net-lokal Adressen, net drëm, dëse DNAT-Wee richteg ze maachen.
Schlussendlech muss de ëmgeleet Protokoll zum Nolauschterer passen. Raw HTTP oder TLS-Trafik op en SOCKS-Port ze schécke brauch nach ëmmer en Iwwersetzer; eng Routing-Ausnam kann déi feelend Verhandlunge net liwweren.