Chemins du pare-feu proxy sous OpenWrt : INPUT, OUTPUT et FORWARD
Séparez l'accès des clients à l'écouteur proxy du routeur de la sortie propre au proxy et du transfert direct des clients.
Lorsque le routeur exécute lui-même le proxy web, une requête via proxy utilise deux connexions TCP. Il ne s'agit pas simplement de la connexion du client transmise telle quelle à travers le routeur.
| Trafic | Chemin du pare-feu sur le routeur |
|---|---|
| Client vers l'écouteur proxy du routeur | INPUT |
| Processus proxy vers le site web | OUTPUT |
| Client directement vers une destination Internet | FORWARD |
Pour imposer la route proxy explicite, autorisez les clients prévus à atteindre l'écouteur et autorisez les connexions sortantes requises du proxy. Restreignez séparément le transfert direct indésirable de LAN vers WAN.
Modifier seule la politique INPUT du routeur ne décrit pas le chemin de transfert direct. Inversement, autoriser le port de l'écouteur dans FORWARD n'autorise pas nécessairement l'accès à un service qui se termine sur le routeur.
Préservez les services locaux dont le réseau a encore besoin, comme son DNS et sa configuration d'adresses choisis. Appliquez la politique aux familles d'adresses réellement utilisées. Un proxy HTTP fournit les opérations web ou tunnel qu'il prend en charge ; le pare-feu ne convertit pas un UDP ou un ICMP quelconque en ce protocole.