OpenWrt-proxy-firewallpaden: INPUT, OUTPUT en FORWARD
Scheid de toegang van clients tot de proxy-listener van de router van de eigen uitgaande verbindingen van de proxy en het direct doorsturen van clients.
Wanneer de router zelf de webproxy draait, gebruikt een via de proxy verzonden verzoek twee TCP-verbindingen. Het is niet simpelweg de verbinding van de client die ongewijzigd door de router wordt doorgestuurd.
| Verkeer | Firewallpad op de router |
|---|---|
| Client naar de proxy-listener van de router | INPUT |
| Proxyproces naar de website | OUTPUT |
| Client rechtstreeks naar een internetbestemming | FORWARD |
Om de expliciete proxyroute te vereisen, sta beoogde clients toe de listener te bereiken en sta de vereiste uitgaande verbindingen van de proxy toe. Beperk ongewenst direct doorsturen van LAN naar WAN apart.
Alleen het INPUT-beleid van de router wijzigen beschrijft het directe doorstuurpad niet. Omgekeerd staat het toestaan van de poort van de listener in FORWARD niet noodzakelijk toegang toe tot een dienst die op de router eindigt.
Behoud de lokale diensten die het netwerk nog nodig heeft, zoals de gekozen DNS en adresconfiguratie. Pas het beleid toe op de adresfamilies die daadwerkelijk in gebruik zijn. Een HTTP-proxy biedt de ondersteunde web- of tunnelbewerkingen; de firewall zet willekeurige UDP of ICMP niet om naar dat protocol.