tại sao MASQUERADE SNAT có thể chặn kết nối localhost?

Tôi đã quan sát thấy một hành vi kỳ lạ trên linux:

Đầu tiên, tôi xóa tất cả các quy tắc định tuyến và iptables:

ip route tuôn ra bảng chính
ip route tuôn ra bảng mặc định
ip route flush bảng cục bộ
iptables -P CHẤP NHẬN ĐẦU VÀO
iptables -P CHẤP NHẬN VỀ PHÍA TRƯỚC
iptables -P CHẤP NHẬN ĐẦU RA
iptables -t nat -F
iptables -t mangle -F
iptables -F
iptables -X
ip6tables -P CHẤP NHẬN ĐẦU VÀO
ip6tables -P CHẤP NHẬN CHUYỂN ĐỔI
ip6tables -P CHẤP NHẬN ĐẦU RA
ip6tables -t nat -F
ip6tables -t mangle -F
ip6tables -F
ip6tables -X

Sau đó, tôi thêm một tuyến đường địa phương:

tuyến ip thêm local 127.0.0.1 dev lo proto kernel phạm vi Host src 127.0.0.1 bảng local

Sau đó, trên một thiết bị đầu cuối, tôi mở một cổng với nc-lp 12345 và trên một thiết bị đầu cuối khác, tôi kết nối với nó bằng nc 127.0.0.1 12345 và tôi có thể gửi và nhận dữ liệu giữa máy chủ netcat và máy khách. Vì vậy, bây giờ, tất cả là tốt.

Bây giờ, từ nó và sau khi tắt máy chủ và máy khách netcat trước đó, nếu tôi chạy:

iptables -t nat -A POSTROUTING -j MASQUERADE

và tôi khởi động lại máy chủ netcat, sau đó máy khách không kết nối được. Bạn có biết tại sao?

Tôi nhận thấy rằng việc thêm tuyến ip thêm cục bộ 192.168.0.10 dev wlan0 proto kernel phạm vi Host src 192.168.0.10 bảng cục bộ làm cho kết nối netcat hoạt động trở lại. Tuy nhiên, tôi không hiểu tại sao giao diện wlan0 (có 192.168.0.10 là IP) có thể ảnh hưởng đến giao diện loopback?

Để biết thông tin, tôi đang sử dụng ArchLinux

Đây là một phỏng đoán có giáo dục. Các MẶT NẠ tùy chọn thay thế địa chỉ IP nguồn trong các gói IP bằng địa chỉ mà nó quyết định sử dụng. Tôi nghĩ trong trường hợp này, nó thay thế địa chỉ nguồn bằng địa chỉ giao diện nơi có thể truy cập cổng mặc định.

Vì vậy, nếu cổng mặc định của bạn là 192.168.0.1, địa chỉ nguồn của gói được thay thế bằng 192.168.0.1. Đích đến là 127.0.0.1và điều này không hoạt động bình thường.

Bạn nên hạn chế MẶT NẠ chỉ các gói trong đó giao diện gửi đi là giao diện hướng tới cổng mặc định.

Bạn có thể làm điều đó với lệnh sau:

iptables -t nat -A POSTROUTING -o <if> -j MASQUERADE

Ngoài các câu trả lời khác, tôi đã thực hiện một số thí nghiệm khác. Xin lưu ý rằng những điều sau đây chỉ là kết luận của tôi, tôi không tìm kiếm bên trong nguồn kernel (nhưng nếu bạn có tài liệu, vui lòng chia sẻ).

Thật vậy, có vẻ như các lo giao diện và 127.0.0.1 tuân theo các quy tắc riêng của họ.

Đối với các giao diện khác, đây là cách tôi tin rằng IP nguồn được gán cho một gói (không nói về MASQUERADE hoặc những thứ như ổ cắm thô):

Khi một người cố gắng gửi một gói đến một IP đích, linux sẽ tìm kiếm một quy tắc định tuyến phù hợp được thêm vào như sau:

định tuyến ip thêm <MẠNG>/<PREFIX> dev <INTERFACE_XX> [src <SRC_IP>]

Nếu thông số src được cung cấp (điều này dường như ngụ ý thêm một quy tắc như định tuyến ip thêm nhà phát triển <SRC_IP> cục bộ <INTERFACE_YY> trước. Lưu ý rằng INTERFACE_XX và INTERFACE_YY không giống nhau khá ngạc nhiên), sau đó gói được gửi trên giao diện GIAO DIỆN_XX với SRC_IP như IP nguồn.

Nếu thông số src không được cung cấp, nó sẽ gửi gói trên GIAO DIỆN_XX và địa chỉ nguồn được chọn bằng cách tìm kiếm IP hợp lệ đầu tiên trên giao diện từ giao diện bắt đầu đầu tiên đến giao diện cuối cùng (ngoại trừ lo). Nếu không tìm thấy IP, IP nguồn được đặt thành 0.0.0.0. Nếu một giao diện có nhiều IP, nó sẽ chọn giao diện đầu tiên. Khá ngạc nhiên, điều này có nghĩa là một gói không nhất thiết phải có IP của giao diện đầu ra mà nó được gửi tới.

Tôi đoán MASQUERADE chọn IP nguồn theo cách tương tự.

Xin hãy sửa tôi là bạn nghĩ đôi khi là sai.