Пути прокси-файрвола в OpenWrt: INPUT, OUTPUT и FORWARD
Отделите доступ клиентов к прокси-слушателю роутера от собственного выхода прокси и прямой пересылки клиентов.
Когда роутер сам запускает веб-прокси, запрос через прокси использует два TCP-соединения. Это не просто соединение клиента, передаваемое без изменений через роутер.
| Трафик | Путь файрвола на роутере |
|---|---|
| Клиент к прокси-слушателю роутера | INPUT |
| Процесс прокси к сайту | OUTPUT |
| Клиент напрямую к интернет-адресату | FORWARD |
Чтобы требовать явный маршрут через прокси, разрешите нужным клиентам достигать слушателя и разрешите необходимые исходящие соединения прокси. Нежелательную прямую пересылку из LAN в WAN ограничивайте отдельно.
Изменение только политики INPUT роутера не описывает путь прямой пересылки. И наоборот, разрешение порта слушателя в FORWARD не обязательно разрешает доступ к службе, завершающейся на роутере.
Сохраните локальные службы, которые ещё нужны сети, например выбранный DNS и конфигурацию адресов. Применяйте политику к тем семействам адресов, которые действительно используются. HTTP-прокси предоставляет поддерживаемые им веб- или туннельные операции; файрвол не превращает произвольные UDP или ICMP в этот протокол.