Jedna karta sieciowa wystarczy dla jawnego proxy

Prywatne proxy przekazujące nie musi fizycznie znajdować się między laptopem a routerem. Może być inną maszyną w tej samej sieci LAN, z jednym interfejsem sieciowym.

Laptop łączy się z adresem proxy i portem nasłuchu. Proces proxy otwiera osobne połączenie do witryny lub do jej rodzica. Ten sam interfejs może przenosić obie rozmowy, a tablica routingu hosta wybiera następny skok.

client → proxy listener
proxy → existing router → destination

To wystarcza aplikacji, która jawnie wybrała proxy. W systemie Linux ten zwykły układ nie wymaga włączania przekazywania IP tylko po to, by przekazywać żądania aplikacji.

Domyślna brama odpowiada na inne pytanie

Domyślna brama klienta obsługuje pakiety, które klient wysyła do innych sieci. Zmiana tego ustawienia nie sprawia, że przeglądarka wysyła żądania proxy HTTP ani negocjuje SOCKS. Podobnie wpisanie proxy w przeglądarce nie kieruje każdej innej aplikacji przez tę maszynę.

Host może wykonywać oba zadania, ale wtedy ma do zarządzania dwie konfiguracje: usługę proxy oraz funkcję routingu lub zapory. Więcej interfejsów może ułatwić rozdzielenie sieci. To wybór topologii, a nie warunek narzucony przez jawne proxy HTTP.

To rozróżnienie wyjaśnia też częsty nieudany eksperyment: edycja reguł przekazywania serwera proxy nie ma wpływu na bezpośrednie połączenie klienta, które przechodzi przez inny router. Pakiety nigdy nie przeszły przez ten serwer.

Jeśli wymogiem jest obowiązkowe używanie, ustal, gdzie można kontrolować alternatywny ruch wychodzący. Jawne proxy z jednym interfejsem może być prawidłową usługą, podczas gdy osobna brama egzekwuje politykę sieciową. Umieść egzekwowanie tam, gdzie pakiety rzeczywiście przechodzą.