Proxy firewall staze u OpenWrt-u: INPUT, OUTPUT i FORWARD
Odvojite pristup klijenata proxy slušaocu rutera od sopstvenog izlaza proxyja i direktnog prosleđivanja klijenata.
Kada ruter sam pokreće web proxy, zahtev kroz proxy koristi dve TCP veze. To nije samo veza klijenta koja se nepromenjena prosleđuje kroz ruter.
| Saobraćaj | Firewall staza na ruteru |
|---|---|
| Klijent ka proxy slušaocu rutera | INPUT |
| Proxy proces ka web lokaciji | OUTPUT |
| Klijent direktno ka internet odredištu | FORWARD |
Da biste zahtevali eksplicitnu proxy rutu, dozvolite namenjenim klijentima da dosegnu slušaoca i dozvolite potrebne izlazne veze proxyja. Neželjeno direktno prosleđivanje iz LAN-a u WAN ograničite odvojeno.
Promena samo INPUT politike rutera ne opisuje direktnu putanju prosleđivanja. Obrnuto, dozvola porta slušaoca u FORWARD ne dozvoljava nužno pristup servisu koji se završava na ruteru.
Sačuvajte lokalne servise koji su mreži još potrebni, poput izabranog DNS-a i konfiguracije adresa. Primenite politiku na adresne familije koje se stvarno koriste. HTTP proxy pruža podržane web ili tunelske operacije; firewall ne pretvara proizvoljni UDP ili ICMP u taj protokol.