Ét netværkskort er nok til en eksplicit proxy

En privat forward proxy behøver ikke fysisk at sidde mellem laptoppen og routeren. Den kan være en anden maskine på samme LAN med ét netværkskort.

Laptoppen forbinder til proxyens adresse og lyttende port. Proxyprocessen åbner en separat forbindelse mod webstedet eller dets forælder. Det samme kort kan bære begge samtaler, mens værtens routingtabel vælger næste hop.

client → proxy listener
proxy → existing router → destination

Det er nok for en applikation, der udtrykkeligt har valgt proxyen. På Linux kræver denne almindelige opsætning ikke, at IP-videresendelse aktiveres blot for at videresende applikationens anmodninger.

Standardgatewayen besvarer et andet spørgsmål

En klients standardgateway håndterer de pakker, klienten sender mod andre netværk. At ændre den indstilling får ikke browseren til at udstede HTTP-proxyanmodninger eller SOCKS-forhandling. Ligesom det ikke ruter enhver anden applikation gennem maskinen, at man skriver en proxy i browseren.

En vært kan udføre begge opgaver, men så har den to konfigurationer at styre: proxytjenesten og routing- eller firewallfunktionen. Flere netværkskort kan gøre netværksadskillelse lettere. Det er et topologivalg, ikke en forudsætning, som eksplicit HTTP-proxying pålægger.

Denne forskel forklarer også et almindeligt mislykket eksperiment: at redigere en proxyservers videresendelsesregler har ingen virkning på en direkte klientforbindelse, der går gennem en anden router. Pakkerne krydsede aldrig den server.

Hvis kravet er obligatorisk brug, skal du fastlægge, hvor alternativ udgående trafik kan kontrolleres. En eksplicit proxy med ét netværkskort kan være en gyldig tjeneste, mens en separat gateway håndhæver netværkspolitikken. Anbring håndhævelsen, hvor pakkerne faktisk passerer.