Пътища на прокси защитната стена в OpenWrt: INPUT, OUTPUT и FORWARD
Отделете достъпа на клиентите до прокси слушателя на рутера от изходящия трафик на самия прокси и директното препращане на клиенти.
Когато рутерът сам изпълнява уеб прокси, заявката през прокси използва две TCP връзки. Това не е просто връзката на клиента, предавана непроменена през рутера.
| Трафик | Път на защитната стена на рутера |
|---|---|
| Клиент към прокси слушателя на рутера | INPUT |
| Процес на прокси към уебсайта | OUTPUT |
| Клиент директно към интернет дестинация | FORWARD |
За да изисквате явния прокси маршрут, разрешете на предвидените клиенти да достигат слушателя и разрешете необходимите изходящи връзки на проксито. Ограничете отделно нежеланото директно препращане от LAN към WAN.
Промяната само на INPUT политиката на рутера не описва директния път на препращане. Обратно, разрешаването на порта на слушателя в FORWARD не разрешава непременно достъп до услуга, завършваща на рутера.
Запазете локалните услуги, които мрежата все още изисква, като избрания DNS и конфигурацията на адресите. Прилагайте политиката към семействата адреси, които действително се използват. HTTP прокси предоставя поддържаните от него уеб или тунелни операции; защитната стена не превръща произволен UDP или ICMP в този протокол.