Rutas do firewall do proxy en OpenWrt: INPUT, OUTPUT e FORWARD
Separe o acceso dos clientes ao escoitador do proxy do router da saída propia do proxy e do reenvío directo de clientes.
Cando o router executa el mesmo o proxy web, unha solicitude con proxy usa dúas conexións TCP. Non se trata simplemente de reenviar sen cambios a conexión do cliente a través do router.
| Tráfico | Ruta do firewall no router |
|---|---|
| Cliente ao escoitador do proxy do router | INPUT |
| Proceso do proxy ao sitio web | OUTPUT |
| Cliente directamente a un destino de Internet | FORWARD |
Para esixir a ruta explícita do proxy, permita que os clientes previstos cheguen ao escoitador e permita as conexións saíntes necesarias do proxy. Restrinxa por separado o reenvío directo non desexado de LAN a WAN.
Cambiar só a política INPUT do router non describe a ruta directa de reenvío. Á inversa, permitir o porto do escoitador en FORWARD non permite necesariamente o acceso a un servizo que remata no router.
Conserve os servizos locais que a rede aínda necesita, como o seu DNS e a súa configuración de enderezos escollidos. Aplique a política ás familias de enderezos realmente en uso. Un proxy HTTP ofrece as operacións web ou de túnel que admite; o firewall non converte UDP ou ICMP arbitrarios nese protocolo.