Cesty proxy firewallu v OpenWrt: INPUT, OUTPUT a FORWARD
Oddělte přístup klientů k proxy listeneru routeru od vlastního odchozího provozu proxy a přímého přesměrování klientů.
Když router sám provozuje webový proxy, požadavek přes proxy používá dvě TCP spojení. Nejde jen o klientské spojení předávané beze změny přes router.
| Provoz | Cesta firewallu na routeru |
|---|---|
| Klient k proxy listeneru routeru | INPUT |
| Proces proxy k webu | OUTPUT |
| Klient přímo k internetovému cíli | FORWARD |
Chcete-li vyžadovat explicitní proxy trasu, povolte zamýšleným klientům dosáhnout listeneru a povolte požadovaná odchozí spojení proxy. Nežádoucí přímé přesměrování z LAN do WAN omezujte zvlášť.
Změna samotné politiky INPUT routeru nepopisuje přímou cestu přesměrování. Naopak povolení portu listeneru ve FORWARD nemusí nutně povolit přístup ke službě končící na routeru.
Zachovejte místní služby, které síť stále potřebuje, například zvolený DNS a konfiguraci adres. Politiku aplikujte na rodiny adres, které se skutečně používají. HTTP proxy poskytuje podporované webové nebo tunelové operace; firewall nepřevádí libovolné UDP ani ICMP do tohoto protokolu.