Pse DNAT drejt 127.0.0.1 kërkon kujdes të veçantë

Një shërbim dëgjon në 127.0.0.1:1080. Një rregull DNAT e drejton trafikun hyrës drejt atij adresi, por lidhja dështon. Shërbimi mund të jetë i shëndetshëm dhe rregulli NAT mund të përputhet: adresat loopback të IPv4 marrin trajtim të veçantë në rrugëzim.

route_localnet i Linux-it kontrollon nëse adresat 127/8 trajtohen si adresa marsiane gjatë rrugëzimit. Vlera e parazgjedhur ruan kufirin e zakonshëm të loopback-ut. Një përjashtim për një ndërfaqe të caktuar mund të jetë i rëndësishëm për një dizajn të qëllimshëm ridrejtimi lokal.

Kjo shpjegon pse një rregull që funksionon në një makinë tjetër mund të varet nga një sysctl që nuk e keni kopjuar. Por nuk justifikon aktivizimin e opsionit kudo.

Supozimi i sigurisë ndryshon me rrugën

Lidhja me loopback përdoret shpesh sepse një ndihmës nuk ka vërtetim të pavarur të klientit. Nëse trafiku që vjen nga një ndërfaqe tjetër mund të rrugëzohet drejt tij, adresa e lidhjes e vetme nuk e përshkruan më publikun e arritshëm. Kufizoni burimet hyrëse, destinacionin dhe portin në grupin real të rregullave, përfshirë trafikun që pretendon adresa burimi ose destinacioni loopback kur është e rëndësishme.

Rishikoni hapësirën e emrave të rrjetit që përmban shërbimin. Loopback-u i një kontejneri nuk është loopback-u i hostit, dhe ndryshimi i një cilësimi të ndërfaqes së hostit nuk krijon automatikisht një dëgjues brenda kontejnerit.

rp_filter i përgjigjet një pyetjeje tjetër për validimin e rrugës së burimit. Çaktivizimi i tij globalisht nuk është zëvendësim i përgjithshëm për të kuptuar rrugëzimin e loopback-ut. Po ashtu, ip_nonlocal_bind ka të bëjë me lidhjen e socket-ave me adresa jo-lokale, jo me bërjen e kësaj rruge DNAT të saktë.

Së fundi, protokolli i ridrejtuar duhet të përputhet me dëgjuesin. Dërgimi i trafikut të papërpunuar HTTP ose TLS në një portë SOCKS kërkon ende një përkthyes; një përjashtim rrugëzimi nuk mund të sigurojë negocimin që mungon.