Zašto DNAT na 127.0.0.1 zahteva posebnu pažnju
Razumite route_localnet kada preusmeravate spoljni saobraćaj na proxy komponentu vezanu za loopback.
Usluga sluša na 127.0.0.1:1080. DNAT pravilo usmerava dolazni saobraćaj na tu adresu, ali veza ipak ne uspeva. Usluga može biti ispravna, a NAT pravilo može se podudarati: IPv4 loopback adrese imaju poseban tretman pri usmeravanju.
Linuxov route_localnet određuje tretiraju li se adrese 127/8 kao marsovske tokom usmeravanja. Podrazumevana vrednost čuva uobičajenu loopback granicu. Iznimka za određeni interfejs može biti relevantna za namerni dizajn lokalnog preusmeravanja.
To objašnjava zašto ispravno pravilo sa drugog računara može zavisiti od sysctl postavke koju niste kopirali. Ali ne opravdava uključivanje te opcije svuda.
Sigurnosna pretpostavka menja se sa rutom
Vezivanje na loopback često se koristi jer pomoćna komponenta nema samostalnu autentifikaciju klijenata. Ako se saobraćaj sa drugog interfejsa može usmeriti na nju, sama adresa vezivanja više ne opisuje dostupnu publiku. Ograničite izvore ulaza, odredište i port u stvarnom skupu pravila, uključujući saobraćaj koji tvrdi loopback izvorišne ili odredišne adrese kada je to relevantno.
Pregledajte mrežni prostor imena koji sadrži uslugu. Loopback kontejnera nije loopback hosta, a promena postavke interfejsa hosta ne stvara automatski slušaoca u kontejneru.
rp_filter odgovara na drugo pitanje o proveri putanje izvora. Globalno isključivanje nije opšta zamena za razumevanje loopback usmeravanja. Isto tako, ip_nonlocal_bind se odnosi na vezivanje soketa na nelokalne adrese, a ne na to da ovaj DNAT put bude ispravan.
Na kraju, preusmereni protokol mora odgovarati slušaocu. Slanje sirovog HTTP ili TLS saobraćaja na SOCKS port i dalje zahteva prevodioca; izuzetak u usmeravanju ne može pružiti nedostajuće pregovaranje.