Camins del tallafoc del proxy a OpenWrt: INPUT, OUTPUT i FORWARD
Separeu l'accés dels clients a l'oient del proxy del router de la sortida pròpia del proxy i del reenviament directe dels clients.
Quan el router mateix executa el proxy web, una petició amb proxy fa servir dues connexions TCP. No és simplement la connexió del client reenviada sense canvis a través del router.
| Trànsit | Camí del tallafoc al router |
|---|---|
| Client cap a l'oient del proxy del router | INPUT |
| Procés del proxy cap al lloc web | OUTPUT |
| Client directament cap a una destinació d'Internet | FORWARD |
Per exigir la ruta explícita del proxy, permeteu que els clients previstos arribin a l'oient i permeteu les connexions sortints necessàries del proxy. Restringiu per separat el reenviament directe no desitjat de LAN a WAN.
Canviar només la política INPUT del router no descriu el camí directe de reenviament. A l'inrevés, permetre el port de l'oient a FORWARD no permet necessàriament l'accés a un servei que acaba al router.
Preserveu els serveis locals que la xarxa encara necessita, com el DNS i la configuració d'adreces triats. Apliqueu la política a les famílies d'adreces que realment s'utilitzen. Un proxy HTTP ofereix les operacions web o de túnel que admet; el tallafoc no converteix UDP o ICMP arbitraris en aquest protocol.