Bakit kailangan ng DNAT patungong 127.0.0.1 ng espesyal na pag-iingat
Unawain ang route_localnet kapag itinuturo ang panlabas na trapiko sa isang proxy na nakatali sa loopback.
Isang serbisyo ang nakikinig sa 127.0.0.1:1080. Itinuturo ng isang tuntunin ng DNAT ang papasok na trapiko sa address na iyon, ngunit nabibigo pa rin ang koneksyon. Maaaring malusog ang serbisyo at tumutugma ang tuntunin ng NAT: ang mga address ng loopback ng IPv4 ay may espesyal na pagtrato sa ruta.
Kinokontrol ng route_localnet ng Linux kung itinuturing na mga address ng Mars ang mga address na 127/8 habang nagruruta. Pinapanatili ng default na halaga nito ang karaniwang hangganan ng loopback. Maaaring may kaugnayan ang isang pagbubukod para sa partikular na interface sa sinadyang disenyo ng lokal na pag-redirect.
Iyon ang dahilan kung bakit ang isang gumaganang tuntunin mula sa ibang makina ay maaaring umasa sa isang sysctl na hindi mo kinopya. Ngunit hindi nito binibigyang-katwiran ang pagpapagana ng opsyon sa lahat ng dako.
Nagbabago ang palagay sa seguridad kasabay ng ruta
Madalas gamitin ang pagtali sa loopback dahil walang sariling pagpapatunay ng kliyente ang isang katulong. Kung ang trapikong nagmumula sa ibang interface ay maaaring iruta doon, hindi na naglalarawan ang address ng pagkakatali nang mag-isa sa naaabot na madla. Limitahan ang mga pinagmumulan ng papasok, destinasyon at port sa aktwal na hanay ng mga tuntunin, kabilang ang trapikong nagsasabing mga address ng pinagmulan o destinasyon ng loopback kung may kaugnayan.
Suriin ang namespace ng network na naglalaman ng serbisyo. Ang loopback ng container ay hindi loopback ng host, at ang pagbabago ng setting ng interface ng host ay hindi awtomatikong lumilikha ng tagapakinig sa container.
Sinasagot ng rp_filter ang ibang tanong tungkol sa pagpapatunay ng landas ng pinagmulan. Ang pag-off nito nang pangkalahatan ay hindi pangkalahatang kapalit ng pag-unawa sa ruta ng loopback. Gayundin, ang ip_nonlocal_bind ay tungkol sa pagtali ng mga socket sa hindi lokal na address, hindi sa pagpapawasto ng landas na ito ng DNAT.
Sa huli, dapat tumugma ang na-redirect na protocol sa tagapakinig. Ang pagpapadala ng hilaw na trapikong HTTP o TLS sa isang port ng SOCKS ay nangangailangan pa rin ng tagasalin; hindi maibibigay ng pagbubukod sa ruta ang nawawalang negosasyon.