נתיבי חומת האש של הפרוקסי ב-OpenWrt: INPUT, OUTPUT ו-FORWARD
הפרד בין גישת לקוחות למאזין הפרוקסי של הנתב לבין היציאה של הפרוקסי עצמו והעברה ישירה של לקוחות.
כאשר הנתב עצמו מריץ את פרוקסי האינטרנט, בקשה דרך פרוקסי משתמשת בשני חיבורי TCP. אין מדובר רק בהעברת החיבור של הלקוח ללא שינוי דרך הנתב.
| תעבורה | נתיב חומת האש בנתב |
|---|---|
| לקוח אל מאזין הפרוקסי של הנתב | INPUT |
| תהליך הפרוקסי אל האתר | OUTPUT |
| לקוח ישירות אל יעד באינטרנט | FORWARD |
כדי לחייב את מסלול הפרוקסי המפורש, אפשרו ללקוחות המיועדים להגיע למאזין ואפשרו את החיבורים היוצאים הנדרשים של הפרוקסי. הגבילו בנפרד העברה ישירה לא רצויה מ-LAN ל-WAN.
שינוי מדיניות INPUT של הנתב בלבד אינו מתאר את מסלול ההעברה הישירה. לעומת זאת, אישור הפורט של המאזין ב-FORWARD אינו מאפשר בהכרח גישה לשירות שמסתיים בנתב.
שמרו על השירותים המקומיים שהרשת עדיין זקוקה להם, כמו ה-DNS ותצורת הכתובות שנבחרו. החילו את המדיניות על משפחות הכתובות שבשימוש בפועל. פרוקסי HTTP מספק את פעולות האינטרנט או המנהרה שהוא תומך בהן; חומת האש אינה ממירה UDP או ICMP שרירותיים לפרוטוקול הזה.