Percorsi del firewall proxy in OpenWrt: INPUT, OUTPUT e FORWARD
Separare l'accesso dei client all'ascoltatore proxy del router dall'uscita propria del proxy e dall'inoltro diretto dei client.
Quando il router esegue esso stesso il proxy web, una richiesta in proxy usa due connessioni TCP. Non è semplicemente la connessione del client inoltrata invariata attraverso il router.
| Traffico | Percorso del firewall sul router |
|---|---|
| Client verso l'ascoltatore proxy del router | INPUT |
| Processo proxy verso il sito web | OUTPUT |
| Client direttamente verso una destinazione Internet | FORWARD |
Per imporre il percorso proxy esplicito, consentire ai client previsti di raggiungere l'ascoltatore e consentire le connessioni in uscita richieste dal proxy. Limitare separatamente l'inoltro diretto indesiderato da LAN a WAN.
Modificare solo la politica INPUT del router non descrive il percorso di inoltro diretto. Viceversa, consentire la porta dell'ascoltatore in FORWARD non consente necessariamente l'accesso a un servizio che termina sul router.
Conservare i servizi locali di cui la rete ha ancora bisogno, come il DNS e la configurazione degli indirizzi scelti. Applicare la politica alle famiglie di indirizzi realmente in uso. Un proxy HTTP fornisce le operazioni web o tunnel che supporta; il firewall non converte UDP o ICMP arbitrari in quel protocollo.