Ścieżki firewalla proxy w OpenWrt: INPUT, OUTPUT i FORWARD
Oddziel dostęp klientów do nasłuchu proxy routera od własnego wyjścia proxy i bezpośredniego przekazywania klientów.
Gdy router sam uruchamia proxy WWW, żądanie przez proxy wykorzystuje dwa połączenia TCP. Nie jest to po prostu przekazywanie połączenia klienta bez zmian przez router.
| Ruch | Ścieżka firewalla na routerze |
|---|---|
| Klient do nasłuchu proxy routera | INPUT |
| Proces proxy do witryny | OUTPUT |
| Klient bezpośrednio do celu w internecie | FORWARD |
Aby wymusić jawną trasę proxy, zezwól zamierzonym klientom dotrzeć do nasłuchu i zezwól na wymagane połączenia wychodzące proxy. Niepożądane bezpośrednie przekazywanie z LAN do WAN ogranicz osobno.
Zmiana samej polityki INPUT routera nie opisuje bezpośredniej ścieżki przekazywania. Odwrotnie, zezwolenie na port nasłuchu w FORWARD nie musi oznaczać dostępu do usługi kończącej się na routerze.
Zachowaj usługi lokalne, których sieć nadal potrzebuje, takie jak wybrany DNS i konfiguracja adresów. Stosuj politykę do rodzin adresów faktycznie używanych. Proxy HTTP zapewnia obsługiwane operacje sieciowe lub tunelowe; firewall nie zamienia dowolnego UDP ani ICMP na ten protokół.