Kodėl DNAT į 127.0.0.1 reikalauja ypatingo atsargumo
Supraskite route_localnet, kai išorinį srautą nukreipiate į prie loopback pririštą proxy komponentą.
Paslauga klausosi 127.0.0.1:1080. DNAT taisyklė nukreipia gaunamą srautą į tą adresą, tačiau ryšys vis tiek nutrūksta. Paslauga gali būti sveika, o NAT taisyklė gali atitikti: IPv4 loopback adresams taikomas ypatingas maršrutizavimo apdorojimas.
Linux route_localnet nustato, ar 127/8 adresai maršrutizavimo metu laikomi marso adresais. Numatytoji reikšmė išsaugo įprastą loopback ribą. Konkrečiam sąsajai taikoma išimtis gali būti svarbi sąmoningai projektuojant vietinį peradresavimą.
Tai paaiškina, kodėl veikianti taisyklė iš kitos mašinos gali priklausyti nuo sysctl, kurio nenusikopijote. Tačiau tai nepateisina šios parinkties įjungimo visur.
Saugumo prielaida keičiasi kartu su maršrutu
Pririšimas prie loopback dažnai naudojamas todėl, kad pagalbinis komponentas neturi savarankiško kliento autentifikavimo. Jei srautas iš kitos sąsajos gali būti nukreiptas ten, vien prisirišimo adresas nebeapibūdina pasiekiamos auditorijos. Apribokite įėjimo šaltinius, paskirties vietą ir prievadą faktiniame taisyklių rinkinyje, įskaitant srautą, kuris teigia esąs loopback šaltinio ar paskirties adresas, kai tai aktualu.
Peržiūrėkite tinklo vardų sritį, kurioje yra paslauga. Konteinerio loopback nėra hosto loopback, o hosto sąsajos nustatymo pakeitimas automatiškai nesukuria klausytojo konteineryje.
rp_filter atsako į kitą klausimą apie šaltinio kelio tikrinimą. Jo išjungimas visuotinai nėra bendras loopback maršrutizavimo supratimo pakaitalas. Taip pat ip_nonlocal_bind susijęs su lizdų pririšimu prie nelokalinių adresų, o ne su šio DNAT kelio sutvarkymu.
Galiausiai peradresuotas protokolas turi atitikti klausytoją. Siųsti neapdorotą HTTP ar TLS srautą į SOCKS prievadą vis tiek reikia vertėjo; maršrutizavimo išimtis negali suteikti trūkstamo derėjimosi.