Una sola scheda di rete basta per un proxy esplicito

Un proxy in avanti privato non deve trovarsi fisicamente tra il portatile e il router. Può essere un'altra macchina sulla stessa LAN, con una sola interfaccia di rete.

Il portatile si connette all'indirizzo del proxy e alla porta di ascolto. Il processo del proxy apre una connessione separata verso il sito web o verso il suo genitore. La stessa interfaccia può trasportare entrambe le conversazioni, mentre la tabella di routing dell'host sceglie il salto successivo.

client → proxy listener
proxy → existing router → destination

Questo basta per un'applicazione che ha scelto il proxy in modo esplicito. Su Linux, questa disposizione ordinaria non richiede di abilitare l'inoltro IP solo per inoltrare le richieste dell'applicazione.

Il gateway predefinito risponde a un'altra domanda

Il gateway predefinito di un client gestisce i pacchetti che il client invia verso altre reti. Cambiare quell'impostazione non fa emettere al browser richieste di proxy HTTP né negoziazioni SOCKS. Allo stesso modo, inserire un proxy nel browser non instrada ogni altra applicazione attraverso quella macchina.

Un host può svolgere entrambi i compiti, ma allora ha due configurazioni da gestire: il servizio proxy e la funzione di routing o firewall. Più interfacce possono facilitare la separazione delle reti. Sono una scelta di topologia, non un prerequisito imposto dal proxy HTTP esplicito.

Questa distinzione spiega anche un esperimento fallito comune: modificare le regole di inoltro di un server proxy non ha alcun effetto su una connessione client diretta che passa attraverso un altro router. I pacchetti non hanno mai attraversato quel server.

Se il requisito è l'uso obbligatorio, stabilite dove può essere controllato il traffico in uscita alternativo. Un proxy esplicito a una interfaccia può essere un servizio valido mentre un gateway separato applica la politica di rete. Collocate l'applicazione dove i pacchetti passano davvero.