Kwa nini DNAT kwenda 127.0.0.1 kunahitaji uangalifu maalum

Huduma inasikiliza kwenye 127.0.0.1:1080. Sheria ya DNAT inaelekeza trafiki inayoingia kwenye anwani hiyo, lakini muunganisho unashindikana. Huduma inaweza kuwa nzuri na sheria ya NAT inaweza kuendana: anwani za loopback za IPv4 zinapata utunzaji maalum wa uelekezaji.

route_localnet ya Linux inadhibiti ikiwa anwani za 127/8 zinachukuliwa kama anwani za Mihiri wakati wa uelekezaji. Thamani yake ya chaguo-msingi huhifadhi mpaka wa kawaida wa loopback. Isipokuwa kwa kiolesura mahususi kinaweza kuwa muhimu kwa muundo wa makusudi wa uelekezaji wa ndani.

Hiyo inaeleza kwa nini sheria inayofanya kazi kwenye mashine nyingine inaweza kutegemea sysctl usiyoiga. Lakini haihalalishi kuwasha chaguo hilo kila mahali.

Dhana ya usalama inabadilika na njia

Ufungaji wa loopback hutumiwa mara nyingi kwa sababu msaidizi hana uthibitishaji huru wa mteja. Ikiwa trafiki inayotoka kwenye kiolesura kingine inaweza kuelekezwa hapo, anwani ya ufungaji peke yake haielezi tena hadhira inayoweza kufikiwa. Punguza vyanzo vya kuingia, lengwa na lango katika seti halisi ya sheria, ikiwa ni pamoja na trafiki inayodai anwani za chanzo au lengwa za loopback inapofaa.

Kagua nafasi ya jina la mtandao iliyo na huduma. Loopback ya kontena si loopback ya mwenyeji, na kubadilisha mpangilio wa kiolesura cha mwenyeji hakuundi msikilizaji ndani ya kontena kiotomatiki.

rp_filter hujibu swali tofauti kuhusu uthibitishaji wa njia ya chanzo. Kuizima kimataifa si mbadala wa jumla wa kuelewa uelekezaji wa loopback. Vilevile, ip_nonlocal_bind inahusu kufunga soketi kwenye anwani zisizo za ndani, si kufanya njia hii ya DNAT kuwa sahihi.

Mwisho, itifaki inayoelekezwa lazima ilingane na msikilizaji. Kutuma trafiki mbichi ya HTTP au TLS kwenye lango la SOCKS bado kunahitaji mtafsiri; isipokuwa la uelekezaji haliwezi kutoa mazungumzo yanayokosekana.