ทำไม DNAT ไปยัง 127.0.0.1 จึงต้องดูแลเป็นพิเศษ

บริการหนึ่งรับฟังบน 127.0.0.1:1080 กฎ DNAT ส่งทราฟฟิกที่เข้ามาไปยังที่อยู่นั้น แต่การเชื่อมต่อยังล้มเหลว บริการอาจแข็งแรงและกฎ NAT อาจตรงกันได้: ที่อยู่ loopback ของ IPv4 ได้รับการจัดการเส้นทางแบบพิเศษ

route_localnet ของลินุกซ์ควบคุมว่าที่อยู่ 127/8 ถูกถือเป็นที่อยู่ดาวอังคารระหว่างการกำหนดเส้นทางหรือไม่ ค่าเริ่มต้นของมันรักษาขอบเขต loopback ตามปกติ ข้อยกเว้นเฉพาะอินเทอร์เฟซอาจเกี่ยวข้องกับการออกแบบเปลี่ยนเส้นทางภายในเครื่องโดยเจตนา

นั่นอธิบายว่าทำไมกฎที่ทำงานบนเครื่องอื่นอาจขึ้นกับ sysctl ที่คุณไม่ได้คัดลอกมา แต่ไม่ได้ให้เหตุผลในการเปิดตัวเลือกนี้ทุกที่

สมมติฐานด้านความปลอดภัยเปลี่ยนไปตามเส้นทาง

การผูกกับ loopback มักถูกใช้เพราะตัวช่วยไม่มีการพิสูจน์ตัวตนไคลเอนต์ที่เป็นอิสระ หากทราฟฟิกที่มาจากอินเทอร์เฟซอื่นสามารถกำหนดเส้นทางมาที่นี่ได้ ที่อยู่ที่ผูกไว้เพียงอย่างเดียวก็ไม่ได้อธิบายผู้ที่เข้าถึงได้อีกต่อไป จำกัดแหล่งที่เข้ามา ปลายทาง และพอร์ตในชุดกฎจริง รวมถึงทราฟฟิกที่อ้างว่าเป็นที่อยู่ต้นทางหรือปลายทาง loopback เมื่อเกี่ยวข้อง

ตรวจสอบเนมสเปซเครือข่ายที่มีบริการนี้ loopback ของคอนเทนเนอร์ไม่ใช่ loopback ของโฮสต์ และการเปลี่ยนการตั้งค่าอินเทอร์เฟซของโฮสต์ไม่ได้สร้างผู้รับฟังในคอนเทนเนอร์โดยอัตโนมัติ

rp_filter ตอบคำถามอื่นเกี่ยวกับการตรวจสอบเส้นทางต้นทาง การปิดมันทั้งระบบไม่ใช่สิ่งทดแทนทั่วไปสำหรับการเข้าใจการกำหนดเส้นทาง loopback ในทำนองเดียวกัน ip_nonlocal_bind เกี่ยวกับการผูกซ็อกเก็ตกับที่อยู่ที่ไม่ใช่ภายในเครื่อง ไม่ใช่การทำให้เส้นทาง DNAT นี้ถูกต้อง

สุดท้าย โพรโทคอลที่ถูกเปลี่ยนเส้นทางต้องเข้ากับผู้รับฟัง การส่งทราฟฟิก HTTP หรือ TLS ดิบไปยังพอร์ต SOCKS ยังต้องใช้ตัวแปลง ข้อยกเว้นด้านเส้นทางไม่สามารถให้การเจรจาที่ขาดหายไปได้