¿Es NAT Loopback en mi enrutador un problema de seguridad?

La mayoría de los enrutadores de grado de consumidor no tienen ninguna prohibición, simplemente no funciona.

Imagina el siguiente escenario. Esto no es hipotético, simplemente ejecute tcpdump en su propia computadora y verá que sucede ahora mismo. Capturado de mi momento anterior en Buffalo ddwrt solo para verificar.

Jugadores: [Router: 10.0.0.1] [Computer1: 10.0.0.3] [Computer2: 10.0.0.4]
IP exterior: 99.99.99.99, reenviado a Computer2

• Computer1 to Router [10.0.0.3 - > 99.99.99.99]

• El enrutador usa DNAT para cambiar el destino a 10.0.0.4 y lo empuja nuevamente a la red local:
  Router to Computer2 [10.0.0.3 - > 10.0.0.4]

• Computer2 intenta responder al paquete enviando a la IP de origen.
  Computer2 a Computer1 [10.0.0.4 - > 10.0.0.3]

• Computadora1: ¿WTF?
  Computadora1 esperaba una respuesta de 99.99.99.99, obtuve una de 10.0.0.4 en su lugar. Las direcciones no coinciden, falla de conexión, paquete RST devuelto.

Ahora, usted pregunta, ¿por qué el enrutador no SNAT la conexión de la Computadora1 a la IP interna del enrutador cuando la conecta a la Computadora2? Debido a que la regla SNAT haría un lío de todo el resto del tráfico que no sigue el patrón anterior.

SNAT realmente solo debe usarse en una dirección a menos que estés dispuesto a dedicar mucho tiempo y cuidado a crear y mantener un conjunto de reglas NAT que no te morderá.

Y para adelantarse a cualquiera que diga cómo sobre esto:

iptables -t nat -A POSTROUTING -s 10.0.0.0/24 -d 10.0.0.0/24 -j MASQUERADE

Me gustaría señalar que esta regla afectaría no solo al tráfico NAT-loopback, sino también al tráfico bridge (por ejemplo, una red WiFi a una red Wired), lo que haría que un enrutador WiFi se rompa de manera frustrante. La regla debería adaptarse a SÓLO el tráfico de bucle de retorno, que es un poco más complicado y probablemente implica marcar paquetes. No es imposible, pero no es el tipo de ingeniería y depuración que se utiliza en la mayoría de los enrutadores; y ciertamente lleno de peligros.

Glosario:
SNAT = NAT de origen (cambiando la IP de origen)
DNAT = NAT de destino (cambiando el destino IP)
NAT = Traducción de direcciones de red

No puedo encontrar una base técnica para esta reclamación de problema de seguridad de bucle de retorno de NAT. =)

El único problema de loopback que puedo recordar en mis primeros días fue enganchar ambos extremos del RJ45 de un cat5e al mismo conmutador y estropear la conectividad de la LAN. En ese entonces, lo llamamos un loopback. Pero es un problema bastante más técnico que de seguridad.