Kāpēc DNAT uz 127.0.0.1 prasa īpašu piesardzību
Izprotiet route_localnet, novirzot ārējo datplūsmu uz loopback piesaistītu starpniekservera komponentu.
Pakalpojums klausās uz 127.0.0.1:1080. DNAT noteikums novirza ienākošo datplūsmu uz šo adresi, tomēr savienojums neizdodas. Pakalpojums var būt vesels un NAT noteikums var sakrist: IPv4 loopback adresēm maršrutēšanā ir īpaša apstrāde.
Linux route_localnet nosaka, vai 127/8 adreses maršrutēšanas laikā tiek uzskatītas par Marsa adresēm. Tā noklusējuma vērtība saglabā ierasto loopback robežu. Konkrētai saskarnei noteikts izņēmums var būt būtisks apzināti projektētai vietējai novirzīšanai.
Tas izskaidro, kāpēc strādājošs noteikums no citas mašīnas var būt atkarīgs no sysctl, kuru jūs nenokopējāt. Taču tas neattaisno šīs opcijas ieslēgšanu visur.
Drošības pieņēmums mainās līdz ar maršrutu
Piesaiste loopback bieži tiek izmantota tāpēc, ka palīgkomponentam nav neatkarīgas klienta autentifikācijas. Ja datplūsmu no citas saskarnes var maršrutēt uz turieni, vien piesaistes adrese vairs neapraksta sasniedzamo auditoriju. Ierobežojiet ieejas avotus, galamērķi un portu faktiskajā noteikumu kopā, tostarp datplūsmu, kas pretendē uz loopback avota vai galamērķa adresēm, kur tas attiecas.
Pārskatiet tīkla vārdu telpu, kurā atrodas pakalpojums. Konteinera loopback nav resursdatora loopback, un resursdatora saskarnes iestatījuma maiņa automātiski neizveido klausītāju konteinerā.
rp_filter atbild uz citu jautājumu par avota ceļa validāciju. Tā globāla izslēgšana nav vispārējs aizvietotājs loopback maršrutēšanas izpratnei. Tāpat ip_nonlocal_bind attiecas uz ligzdu piesaisti ne-lokālām adresēm, nevis uz šī DNAT ceļa pareizību.
Visbeidzot, novirzītajam protokolam jāatbilst klausītājam. Neapstrādātas HTTP vai TLS datplūsmas sūtīšana uz SOCKS portu joprojām prasa tulkotāju; maršrutēšanas izņēmums nevar nodrošināt trūkstošo sarunu.