Caminhos da firewall do proxy no OpenWrt: INPUT, OUTPUT e FORWARD
Separe o acesso dos clientes ao ouvinte do proxy do router da saída própria do proxy e do encaminhamento direto dos clientes.
Quando o próprio router executa o proxy web, um pedido através do proxy usa duas ligações TCP. Não se trata simplesmente de a ligação do cliente ser encaminhada sem alterações através do router.
| Tráfego | Caminho da firewall no router |
|---|---|
| Cliente para o ouvinte do proxy do router | INPUT |
| Processo do proxy para o site | OUTPUT |
| Cliente diretamente para um destino na Internet | FORWARD |
Para exigir o caminho explícito do proxy, permita que os clientes previstos cheguem ao ouvinte e permita as ligações de saída necessárias do proxy. Restrinja separadamente o encaminhamento direto indesejado de LAN para WAN.
Alterar apenas a política INPUT do router não descreve o caminho de encaminhamento direto. Por outro lado, permitir a porta do ouvinte em FORWARD não permite necessariamente o acesso a um serviço que termina no router.
Preserve os serviços locais de que a rede ainda precisa, como o DNS e a configuração de endereços escolhidos. Aplique a política às famílias de endereços realmente em uso. Um proxy HTTP fornece as operações web ou de túnel que suporta; a firewall não converte UDP ou ICMP arbitrários nesse protocolo.