Għaliex DNAT għal 127.0.0.1 jeħtieġ attenzjoni speċjali

Servizz jisma' fuq 127.0.0.1:1080. Regola DNAT tordna t-traffiku deħli lejn dak l-indirizz, iżda l-konnessjoni xorta tfalli. Is-servizz jista' jkun f'saħħtu u r-regola NAT tista' taqbel: l-indirizzi loopback tal-IPv4 jingħataw trattament speċjali fir-routing.

Il-route_localnet ta' Linux jikkontrolla jekk l-indirizzi 127/8 humiex meqjusa bħala indirizzi tal-Mars waqt ir-routing. Il-valur prestabbilit tiegħu jżomm il-limitu tas-soltu tal-loopback. Eċċezzjoni għal interface partikolari tista' tkun rilevanti għal disinn maħsub ta' ridirezzjoni lokali.

Dan jispjega għaliex regola li taħdem fuq magna oħra tista' tiddependi minn sysctl li ma kkupjajtx. Iżda ma jiġġustifikax li l-għażla tinxtegħel kullimkien.

Is-suppożizzjoni tas-sigurtà tinbidel mar-rotta

It-twaħħil mal-loopback spiss jintuża għax assistent m'għandux awtentikazzjoni indipendenti tal-klijent. Jekk traffiku li jasl minn interface ieħor jista' jiġi routed hemmhekk, l-indirizz tat-twaħħil waħdu ma jibqax jiddeskrivi l-udjenza li tista' tintlaħaq. Illimita s-sorsi tad-dħul, id-destinazzjoni u l-port fis-sett ta' regoli attwali, inkluż traffiku li jiddikjara indirizzi ta' sors jew destinazzjoni loopback fejn dan huwa rilevanti.

Irrevedi n-namespace tan-netwerk li fih is-servizz. Il-loopback ta' container mhuwiex il-loopback tal-host, u li tinbidel setting tal-interface tal-host ma toħloqx awtomatikament semmiegħ fil-container.

rp_filter iwieġeb mistoqsija oħra dwar il-validazzjoni tal-passaġġ tas-sors. Li jintfew globalment mhuwiex sostitut ġenerali għall-fehim tar-routing tal-loopback. Bl-istess mod, ip_nonlocal_bind jikkonċerna t-twaħħil ta' sockets ma' indirizzi mhux lokali, mhux li dan il-passaġġ DNAT isir korrett.

Fl-aħħar, il-protokoll ridirett irid jaqbel mas-semmiegħ. Li tintbagħat traffiku HTTP jew TLS nej għal port SOCKS għadu jeħtieġ traduttur; eċċezzjoni fir-routing ma tistax tipprovdi n-negozjar nieqes.