127.0.0.1 ലേക്കുള്ള DNAT എന്തുകൊണ്ട് പ്രത്യേക ശ്രദ്ധ ആവശ്യപ്പെടുന്നു

ഒരു സേവനം 127.0.0.1:1080-ൽ കേൾക്കുന്നു. ഒരു DNAT നിയമം വരുന്ന ട്രാഫിക്കിനെ ആ വിലാസത്തിലേക്ക് അയക്കുന്നു, എന്നിട്ടും കണക്ഷൻ പരാജയപ്പെടുന്നു. സേവനം ആരോഗ്യകരമായിരിക്കാം, NAT നിയമം പൊരുത്തപ്പെടാം: IPv4 loopback വിലാസങ്ങൾക്ക് റൂട്ടിംഗിൽ പ്രത്യേക പരിഗണന ലഭിക്കുന്നു.

ലിനക്‌സിന്റെ route_localnet റൂട്ടിംഗ് സമയത്ത് 127/8 വിലാസങ്ങളെ ചൊവ്വാ ഗ്രഹ വിലാസങ്ങളായി കണക്കാക്കണോ എന്ന് നിയന്ത്രിക്കുന്നു. അതിന്റെ സ്ഥിരമായ മൂല്യം സാധാരണ loopback അതിർത്തി നിലനിർത്തുന്നു. ഒരു നിർദ്ദിഷ്ട ഇന്റർഫേസിനുള്ള ഒഴിവാക്കൽ ബോധപൂർവമായ പ്രാദേശിക റീഡയറക്ഷൻ രൂപകൽപ്പനയ്ക്ക് പ്രസക്തമാകാം.

മറ്റൊരു യന്ത്രത്തിൽ പ്രവർത്തിക്കുന്ന നിയമം നിങ്ങൾ പകർത്താത്ത ഒരു sysctl-നെ ആശ്രയിക്കാമെന്നതിന്റെ കാരണം അതാണ്. എന്നാൽ അത് ഈ ഓപ്ഷൻ എല്ലായിടത്തും പ്രവർത്തനക്ഷമമാക്കുന്നതിന് ന്യായീകരണമല്ല.

സുരക്ഷാ ധാരണ പാതയോടൊപ്പം മാറുന്നു

ഒരു സഹായ ഘടകത്തിന് സ്വതന്ത്ര ക്ലയന്റ് പ്രാമാണീകരണം ഇല്ലാത്തതിനാൽ loopback ബൈൻഡിംഗ് പലപ്പോഴും ഉപയോഗിക്കുന്നു. മറ്റൊരു ഇന്റർഫേസിൽ നിന്നുള്ള ട്രാഫിക് അങ്ങോട്ട് റൂട്ട് ചെയ്യാൻ കഴിയുമെങ്കിൽ, ബൈൻഡ് വിലാസം മാത്രം ഇനി എത്തിച്ചേരാവുന്ന പ്രേക്ഷകരെ വിവരിക്കുന്നില്ല. യഥാർത്ഥ നിയമസംഗ്രഹത്തിൽ പ്രവേശന ഉറവിടങ്ങളും ലക്ഷ്യവും പോർട്ടും പരിമിതപ്പെടുത്തുക; പ്രസക്തമായിടത്ത് loopback ഉറവിട അല്ലെങ്കിൽ ലക്ഷ്യ വിലാസങ്ങൾ അവകാശപ്പെടുന്ന ട്രാഫിക്കും ഉൾപ്പെടുത്തുക.

സേവനം ഉൾക്കൊള്ളുന്ന നെറ്റ്‌വർക്ക് നെയിംസ്‌പേസ് പരിശോധിക്കുക. ഒരു കണ്ടെയ്‌നറിന്റെ loopback ഹോസ്റ്റിന്റേതല്ല, ഹോസ്റ്റ് ഇന്റർഫേസ് ക്രമീകരണം മാറ്റുന്നത് കണ്ടെയ്‌നറിൽ സ്വയമേവ ഒരു ശ്രോതാവിനെ സൃഷ്ടിക്കുന്നില്ല.

rp_filter ഉറവിട-പാത സാധുത പരിശോധനയെക്കുറിച്ചുള്ള മറ്റൊരു ചോദ്യത്തിന് ഉത്തരം നൽകുന്നു. അത് ആഗോളമായി ഓഫ് ചെയ്യുന്നത് loopback റൂട്ടിംഗ് മനസ്സിലാക്കുന്നതിനുള്ള പൊതു പകരമല്ല. അതുപോലെ ip_nonlocal_bind സോക്കറ്റുകളെ ലോക്കൽ അല്ലാത്ത വിലാസങ്ങളിൽ ബന്ധിപ്പിക്കുന്നതിനെക്കുറിച്ചാണ്, ഈ DNAT പാത ശരിയാക്കുന്നതിനെക്കുറിച്ചല്ല.

അവസാനമായി, റീഡയറക്‌ട് ചെയ്ത പ്രോട്ടോക്കോൾ ശ്രോതാവിനോട് യോജിക്കണം. SOCKS പോർട്ടിലേക്ക് അസംസ്‌കൃത HTTP അല്ലെങ്കിൽ TLS ട്രാഫിക് അയക്കാൻ ഇപ്പോഴും പരിഭാഷകൻ ആവശ്യമാണ്; ഒരു റൂട്ടിംഗ് ഒഴിവാക്കലിന് കാണാത്ത ചർച്ച നൽകാനാവില്ല.