Eén netwerkkaart is genoeg voor een expliciete proxy

Een particuliere forward-proxy hoeft niet fysiek tussen de laptop en de router te zitten. Het kan een andere machine in hetzelfde LAN zijn, met één netwerkinterface.

De laptop verbindt met het adres van de proxy en de luisterende poort. Het proxyproces opent een aparte verbinding naar de website of naar zijn ouder. Dezelfde interface kan beide gesprekken dragen, terwijl de routingtabel van de host de volgende hop kiest.

client → proxy listener
proxy → existing router → destination

Dat is genoeg voor een toepassing die de proxy uitdrukkelijk heeft gekozen. Op Linux vereist deze gewone opstelling niet dat IP-doorschakeling wordt aangezet, alleen om de verzoeken van de toepassing door te geven.

De standaardgateway beantwoordt een andere vraag

De standaardgateway van een client verwerkt de pakketten die de client naar andere netwerken stuurt. Die instelling wijzigen zorgt er niet voor dat de browser HTTP-proxyverzoeken of SOCKS-onderhandeling uitvoert. Evenzo leidt het invoeren van een proxy in de browser niet elke andere toepassing via die machine.

Een host kan beide taken uitvoeren, maar heeft dan twee configuraties te beheren: de proxydienst en de routing- of firewallfunctie. Meer interfaces kunnen netwerkscheiding vergemakkelijken. Dat is een topologiekeuze, geen voorwaarde die expliciete HTTP-proxying oplegt.

Dit onderscheid verklaart ook een vaak mislukt experiment: het bewerken van de doorstuurregels van een proxyserver heeft geen effect op een directe clientverbinding die via een andere router loopt. De pakketten zijn nooit langs die server gegaan.

Als de eis verplicht gebruik is, bepaal dan waar alternatief uitgaand verkeer kan worden beheerst. Een expliciete proxy met één interface kan een geldige dienst zijn, terwijl een aparte gateway het netwerkbeleid handhaaft. Plaats de handhaving waar de pakketten werkelijk langskomen.