Redirecionar para rede local sem allow_localnet

Question

Gostaria de redirecionar o tráfego externo de entrada para um serviço que escuta em 127.0.0.1. O redirecionamento é fácil - apenas:

iptables -t nat -A PREROUTING \
    -d local_ip --dport 80 \
    -j DNAT --to-destination 127.0.0.1:port

mas isso deixa o pacote em eth0 e é registrado como marciano e descartado por padrão. Eu posso ativar route_localnet on eth0 para corrigir isso, mas isso expõe toda a interface a truques de roteamento estranhos.

Como encaminhá-lo corretamente sem route_localnet ?

    

Answer 1

A maneira correta de lidar com isso é fazer com que o aplicativo ouça na interface correta e / ou endereço IP, não 127.0.0.1, e use iptables apenas para permitir o tráfego, e não para reproduzir NAT estranho. truques.