Зошто DNAT кон 127.0.0.1 бара посебно внимание
Разберете route_localnet кога пренасочувате надворешен сообраќај кон прокси компонента врзана за loopback.
Услуга слуша на 127.0.0.1:1080. Правило за DNAT го насочува дојдовниот сообраќај кон таа адреса, но врската сепак не успева. Услугата може да биде здрава и правилото NAT може да се совпадне: IPv4 loopback адресите добиваат посебен третман при рутирање.
route_localnet во Linux одредува дали адресите 127/8 се третираат како марсовски адреси за време на рутирањето. Неговата стандардна вредност ја запазува вообичаената loopback граница. Исклучок за одреден интерфејс може да биде релевантен за намерен дизајн на локално пренасочување.
Тоа објаснува зошто правило што работи на друга машина може да зависи од sysctl што не сте го копирале. Но тоа не оправдува вклучување на опцијата насекаде.
Безбедносната претпоставка се менува со рутата
Врзувањето за loopback често се користи затоа што помошната компонента нема независна автентикација на клиенти. Ако сообраќајот што пристигнува од друг интерфејс може да се рутира кон неа, самата адреса на врзување повеќе не ја опишува достапната публика. Ограничете ги изворите на влез, одредиштето и портата во вистинскиот сет правила, вклучително сообраќај што тврди loopback изворни или одредишни адреси каде што е релевантно.
Прегледајте го мрежниот именски простор што ја содржи услугата. Loopback на контејнер не е loopback на домаќинот, а менувањето на поставката на интерфејсот на домаќинот не создава автоматски слушател во контејнерот.
rp_filter одговара на друго прашање за валидација на изворната патека. Неговото глобално исклучување не е општа замена за разбирање на loopback рутирањето. Исто така, ip_nonlocal_bind се однесува на врзување сокети за нелокални адреси, а не на тоа оваа DNAT патека да биде точна.
На крајот, пренасочениот протокол мора да одговара на слушателот. Испраќањето суров HTTP или TLS сообраќај на SOCKS порта сè уште бара преведувач; исклучок во рутирањето не може да го обезбеди преговорот што недостасува.