Rutas del firewall del proxy en OpenWrt: INPUT, OUTPUT y FORWARD
Separe el acceso de los clientes al escucha del proxy del router de la salida propia del proxy y del reenvío directo de clientes.
Cuando el router ejecuta el proxy web, una solicitud con proxy utiliza dos conexiones TCP. No se trata simplemente de reenviar sin cambios la conexión del cliente a través del router.
| Tráfico | Ruta del firewall en el router |
|---|---|
| Cliente al escucha del proxy del router | INPUT |
| Proceso del proxy al sitio web | OUTPUT |
| Cliente directamente a un destino de Internet | FORWARD |
Para exigir la ruta explícita del proxy, permita que los clientes previstos lleguen al escucha y permita las conexiones salientes necesarias del proxy. Restrinja por separado el reenvío directo no deseado de LAN a WAN.
Cambiar solo la política INPUT del router no describe la ruta directa de reenvío. A la inversa, permitir el puerto del escucha en FORWARD no permite necesariamente el acceso a un servicio que termina en el router.
Conserve los servicios locales que la red aún necesita, como su DNS y su configuración de direcciones elegidos. Aplique la política a las familias de direcciones realmente en uso. Un proxy HTTP ofrece las operaciones web o de túnel que admite; el firewall no convierte UDP o ICMP arbitrarios en ese protocolo.