Шляхі проксі-фаервала OpenWrt: INPUT, OUTPUT і FORWARD
Аддзяліце доступ кліентаў да проксі-слухача роўтара ад уласнага выхаду проксі і прамога перанакіравання кліентаў.
Калі роўтар сам запускае вэб-проксі, запыт праз проксі выкарыстоўвае два TCP-злучэнні. Гэта не проста злучэнне кліента, якое незмненна перадаецца праз роўтар.
| Трафік | Шлях фаервала на роўтары |
|---|---|
| Кліент да проксі-слухача роўтара | INPUT |
| Працэс проксі да вэб-сайта | OUTPUT |
| Кліент напрамую да інтэрнэт-прызначэння | FORWARD |
Каб патрабаваць явны маршрут праз проксі, дазвольце патрэбным кліентам дасягаць слухача і дазвольце неабходныя знешнія злучэнні проксі. Асобна абмяжуйце непажаданае прамое перанакіраванне з LAN у WAN.
Змена толькі палітыкі INPUT роўтара не апісвае шлях прамога перанакіравання. І наадварот, дазвол порта слухача ў FORWARD не абавязкова дазваляе доступ да сэрвісу, які завяршаецца на роўтары.
Захавайце лакальныя сэрвісы, якія сетка яшчэ патрабуе, напрыклад абраны DNS і канфігурацыю адрасоў. Ужывайце палітыку да тых сямействаў адрасоў, якія фактычна выкарыстоўваюцца. HTTP-проксі забяспечвае падтрымліваемыя вэб- або тунельныя аперацыі; фаервал не пераўтварае адвольныя UDP або ICMP у гэты пратакол.