Zakaj DNAT na 127.0.0.1 zahteva posebno pozornost
Razumite route_localnet pri preusmerjanju zunanjega prometa na proxy komponento, vezano na loopback.
Storitev posluša na 127.0.0.1:1080. Pravilo DNAT usmeri dohodni promet na ta naslov, a povezava vseeno ne uspe. Storitev je lahko zdrava in pravilo NAT se lahko ujema: naslovi loopback IPv4 imajo pri usmerjanju posebno obravnavo.
route_localnet v Linuxu določa, ali se naslovi 127/8 med usmerjanjem obravnavajo kot marsovski naslovi. Privzeta vrednost ohranja običajno mejo loopback. Izjema za določen vmesnik je lahko pomembna pri namerni zasnovi lokalnega preusmerjanja.
To pojasnjuje, zakaj je delujoče pravilo z drugega stroja lahko odvisno od sysctl, ki ga niste kopirali. Ne opravičuje pa vklopa te možnosti povsod.
Varnostna predpostavka se spreminja z potjo
Vezava na loopback se pogosto uporablja, ker pomožni komponent nima samostojnega preverjanja pristnosti odjemalcev. Če je mogoče promet z drugega vmesnika usmeriti tja, sam naslov vezave ne opisuje več dosegljivega občinstva. V dejanskem naboru pravil omejite vire vstopa, cilj in vrata, vključno s prometom, ki se sklicuje na izvorne ali ciljne naslove loopback, kjer je to pomembno.
Preglejte omrežni imenski prostor, ki vsebuje storitev. Loopback vsebnika ni loopback gostitelja, sprememba nastavitve gostiteljevega vmesnika pa samodejno ne ustvari poslušalca v vsebniku.
rp_filter odgovarja na drugo vprašanje o preverjanju izvorne poti. Njegov globalni izklop ni splošno nadomestilo za razumevanje usmerjanja loopback. Podobno ip_nonlocal_bind zadeva vezavo vtičnic na nelokalne naslove, ne pa tega, da bi bila ta pot DNAT pravilna.
Nazadnje mora preusmerjeni protokol ustrezati poslušalcu. Pošiljanje surovega prometa HTTP ali TLS na vrata SOCKS še vedno zahteva prevajalnik; izjema pri usmerjanju ne more zagotoviti manjkajočega pogajanja.