Laluan firewall proksi OpenWrt: INPUT, OUTPUT dan FORWARD
Asingkan akses klien ke pendengar proksi penghala daripada aliran keluar proksi itu sendiri dan penghantaran terus klien.
Apabila penghala sendiri menjalankan proksi web, permintaan berproksi menggunakan dua sambungan TCP. Ia bukan sekadar sambungan klien dihantar tanpa perubahan melalui penghala.
| Trafik | Laluan firewall pada penghala |
|---|---|
| Klien ke pendengar proksi penghala | INPUT |
| Proses proksi ke laman web | OUTPUT |
| Klien terus ke destinasi internet | FORWARD |
Untuk mewajibkan laluan proksi yang jelas, benarkan klien yang dimaksudkan mencapai pendengar dan benarkan sambungan keluar yang diperlukan proksi. Hadkan secara berasingan penghantaran terus LAN ke WAN yang tidak diingini.
Menukar dasar INPUT penghala sahaja tidak menerangkan laluan penghantaran terus. Sebaliknya, membenarkan port pendengar dalam FORWARD tidak semestinya membenarkan akses kepada perkhidmatan yang berakhir pada penghala.
Kekalkan perkhidmatan tempatan yang masih diperlukan rangkaian, seperti DNS dan konfigurasi alamat yang dipilihnya. Gunakan dasar itu pada keluarga alamat yang benar-benar digunakan. Proksi HTTP menyediakan operasi web atau terowong yang disokongnya; firewall tidak menukar UDP atau ICMP sewenang-wenangnya kepada protokol itu.