OpenWrt-Proxy-Firewall-Pfade: INPUT, OUTPUT und FORWARD
Trennen Sie den Client-Zugriff auf den Proxy-Listener des Routers vom eigenen Ausgang des Proxys und der direkten Weiterleitung von Clients.
Wenn der Router selbst den Web-Proxy betreibt, nutzt eine proxied Anfrage zwei TCP-Verbindungen. Es ist nicht einfach die unveränderte Weiterleitung der Client-Verbindung durch den Router.
| Verkehr | Firewall-Pfad auf dem Router |
|---|---|
| Client zum Proxy-Listener des Routers | INPUT |
| Proxy-Prozess zur Website | OUTPUT |
| Client direkt zu einem Internetziel | FORWARD |
Um den expliziten Proxy-Weg zu erzwingen, erlauben Sie den vorgesehenen Clients den Zugriff auf den Listener und erlauben Sie die erforderlichen ausgehenden Verbindungen des Proxys. Beschränken Sie unerwünschte direkte Weiterleitung von LAN nach WAN separat.
Allein die Änderung der INPUT-Richtlinie des Routers beschreibt nicht den direkten Weiterleitungspfad. Umgekehrt erlaubt die Freigabe des Listener-Ports in FORWARD nicht zwangsläufig den Zugriff auf einen Dienst, der auf dem Router endet.
Erhalten Sie die lokalen Dienste, die das Netzwerk weiterhin benötigt, etwa das gewählte DNS und die Adresskonfiguration. Wenden Sie die Richtlinie auf die tatsächlich genutzten Adressfamilien an. Ein HTTP-Proxy bietet seine unterstützten Web- oder Tunnelvorgänge; die Firewall wandelt nicht beliebiges UDP oder ICMP in dieses Protokoll um.