Uma única placa de rede basta para um proxy explícito

Um proxy direto privado não precisa ficar fisicamente entre o portátil e o router. Pode ser outra máquina na mesma LAN, com uma única interface de rede.

O portátil liga-se ao endereço do proxy e à porta de escuta. O processo do proxy abre uma ligação separada para o site ou para o seu pai. A mesma interface pode transportar as duas conversas, enquanto a tabela de rotas do anfitrião escolhe o salto seguinte.

client → proxy listener
proxy → existing router → destination

Isso basta para uma aplicação que escolheu o proxy explicitamente. No Linux, esta disposição comum não exige ativar o encaminhamento IP apenas para retransmitir os pedidos da aplicação.

O gateway predefinido responde a outra pergunta

O gateway predefinido de um cliente trata dos pacotes que o cliente envia para outras redes. Alterar essa definição não faz o navegador emitir pedidos de proxy HTTP nem negociações SOCKS. Do mesmo modo, introduzir um proxy no navegador não encaminha todas as outras aplicações por essa máquina.

Um anfitrião pode desempenhar ambas as tarefas, mas então tem duas configurações para gerir: o serviço de proxy e a função de encaminhamento ou firewall. Mais interfaces podem facilitar a separação de redes. São uma escolha de topologia, não um pré-requisito imposto pelo proxy HTTP explícito.

Esta distinção explica também uma experiência falhada comum: editar as regras de encaminhamento de um servidor proxy não tem efeito sobre uma ligação direta de cliente que passa por outro router. Os pacotes nunca atravessaram esse servidor.

Se o requisito for o uso obrigatório, determine onde o tráfego de saída alternativo pode ser controlado. Um proxy explícito de uma interface pode ser um serviço válido enquanto um gateway separado aplica a política de rede. Coloque a aplicação onde os pacotes realmente passam.