Прокси огненоѕидни патеки во OpenWrt: INPUT, OUTPUT и FORWARD
Одвојте го пристапот на клиентите до прокси-слушачот на рутерот од сопствениот излез на проксито и од директното препраќање на клиентите.
Кога рутерот сам го извршува веб-проксито, барањето преку прокси користи две TCP-врски. Тоа не е само врската на клиентот што се препраќа неизменета низ рутерот.
| Сообраќај | Огненоѕидна патека на рутерот |
|---|---|
| Клиент до прокси-слушачот на рутерот | INPUT |
| Прокси-процес до веб-страницата | OUTPUT |
| Клиент директно до интернет-одредиште | FORWARD |
За да го барате експлицитниот прокси-пат, дозволете им на предвидените клиенти да стигнат до слушачот и дозволете ги потребните излезни врски на проксито. Одделно ограничете го непосакуваното директно препраќање од LAN во WAN.
Менувањето само на INPUT-политиката на рутерот не ја опишува директната патека на препраќање. Обратно, дозволувањето на портата на слушачот во FORWARD не мора нужно да дозволи пристап до услуга што завршува на рутерот.
Зачувајте ги локалните услуги што на мрежата ѝ се уште потребни, како избраниот DNS и конфигурацијата на адреси. Применете ја политиката на адресните семејства што навистина се користат. HTTP-проксито ги обезбедува поддржаните веб или тунелски операции; огнениот ѕид не претвора произволен UDP или ICMP во тој протокол.