Зашто DNAT на 127.0.0.1 захтева посебну пажњу
Разумите route_localnet када преусмеравате спољни саобраћај на прокси компоненту везану за loopback.
Услуга слуша на 127.0.0.1:1080. DNAT правило усмерава долазни саобраћај на ту адресу, али веза ипак не успева. Услуга може бити исправна, а NAT правило може се подударати: IPv4 loopback адресе имају посебан третман при усмеравању.
Linux-ов route_localnet одређује третирају ли се адресе 127/8 као марсовске током усмеравања. Подразумевана вредност чува уобичајену loopback границу. Изузетак за одређени интерфејс може бити релевантан за намерни дизајн локалног преусмеравања.
То објашњава зашто исправно правило са другог рачунара може зависити од sysctl поставке коју нисте копирали. Али не оправдава укључивање те опције свуда.
Сигурносна претпоставка мења се са рутом
Везивање на loopback често се користи јер помоћна компонента нема самосталну аутентификацију клијената. Ако се саобраћај са другог интерфејса може усмерити на њу, сама адреса везивања више не описује доступну публику. Ограничите изворе улаза, одредиште и порт у стварном скупу правила, укључујући саобраћај који тврди loopback изворишне или одредишне адресе када је то релевантно.
Прегледајте мрежни простор имена који садржи услугу. Loopback контејнера није loopback хоста, а промена поставке интерфејса хоста не ствара аутоматски слушаоца у контејнеру.
rp_filter одговара на друго питање о провери путање извора. Глобално искључивање није општа замена за разумевање loopback усмеравања. Исто тако, ip_nonlocal_bind се односи на везивање сокета на нелокалне адресе, а не на то да ова DNAT путања буде исправна.
На крају, преусмерени протокол мора да одговара слушаоцу. Слање сировог HTTP или TLS саобраћаја на SOCKS порт и даље захтева преводиоца; изузетак у усмеравању не може пружити преговарање које недостаје.