Яагаад 127.0.0.1 руу DNAT онцгой анхаарал шаарддаг вэ
Гадаад урсгалыг loopback-тэй холбогдсон прокси бүрэлдэхүүн рүү чиглүүлэх үед route_localnet-ийг ойлгоорой.
Нэг үйлчилгээ 127.0.0.1:1080 дээр сонсож байна. DNAT дүрэм ирж буй урсгалыг тэр хаяг руу чиглүүлдэг ч холболт бүтэлгүйтдэг. Үйлчилгээ эрүүл байж, NAT дүрэм тохирч болно: IPv4 loopback хаягууд чиглүүлэлтэд онцгой хандлага авдаг.
Linux-ийн route_localnet нь чиглүүлэлтийн үед 127/8 хаягуудыг Ангараг гарагийн хаяг гэж үзэх эсэхийг удирддаг. Түүний анхдагч утга нь ердийн loopback хил хязгаарыг хадгалдаг. Тодорхой интерфейсийн үл хамаарах зүйл нь санаатай дотоод дамжуулалтын загварт хамаатай байж болно.
Энэ нь өөр машин дээр ажиллаж байсан дүрэм таны хуулбарлаагүй sysctl-ээс хамаарах боломжтойг тайлбарладаг. Гэхдээ энэ нь тухайн сонголтыг хаа сайгүй асаах үндэслэл болохгүй.
Аюулгүй байдлын таамаг замтайгаа хамт өөрчлөгддөг
Loopback-д холбох нь туслах бүрэлдэхүүнд бие даасан клиент баталгаажуулалт байхгүйгээс ихэвчлэн хэрэглэгддэг. Хэрэв өөр интерфейсээс ирж буй урсгалыг тийш чиглүүлж болох юм бол зөвхөн холболтын хаяг нь хүрч болох үзэгчдийг тодорхойлохгүй болно. Бодит дүрмийн багцад орох эх үүсвэр, очих газар, портыг хязгаарлаж, хамааралтай бол loopback эх үүсвэр эсвэл очих хаяг гэж мэдэгдэж буй урсгалыг ч хамруулаарай.
Үйлчилгээг агуулж буй сүлжээний нэрийн орон зайг хянаарай. Контейнерын loopback нь хост-ын loopback биш бөгөөд хост интерфейсийн тохиргоог өөрчлөх нь контейнер дотор сонсогчийг автоматаар үүсгэхгүй.
rp_filter эх замыг баталгаажуулах тухай өөр асуултад хариулдаг. Үүнийг глобал байдлаар унтраах нь loopback чиглүүлэлтийг ойлгохыг орлох ерөнхий зүйл биш. Үүнтэй адил ip_nonlocal_bind нь сокетуудыг орон нутгийн бус хаягуудтай холбох тухай бөгөөд энэ DNAT замыг зөв болгох тухай биш.
Эцэст нь, дамжуулсан протокол сонсогчид тохирох ёстой. SOCKS порт руу түүхий HTTP эсвэл TLS урсгал илгээхэд одоо ч орчуулагч хэрэгтэй; чиглүүлэлтийн үл хамаарах зүйл дутагдаж буй хэлэлцээрийг өгч чадахгүй.