Cesty proxy firewallu v OpenWrt: INPUT, OUTPUT a FORWARD
Oddeľte prístup klientov k proxy listeneru routera od vlastného odchádzajúceho provozu proxy a priameho presmerovania klientov.
Keď router sám prevádzkuje webový proxy, požiadavka cez proxy používa dve TCP spojenia. Nejde len o klientske spojenie odovzdávané bez zmeny cez router.
| Prevádzka | Cesta firewallu na routeri |
|---|---|
| Klient k proxy listeneru routera | INPUT |
| Proces proxy k webu | OUTPUT |
| Klient priamo k internetovému cieľu | FORWARD |
Ak chcete vyžadovať explicitnú proxy trasu, povoľte zamýšľaným klientom dosiahnuť listener a povoľte požadované odchádzajúce spojenia proxy. Nežiaduce priame presmerovanie z LAN do WAN obmedzte zvlášť.
Zmena samotnej politiky INPUT routera neopisuje priamu cestu presmerovania. Naopak povolenie portu listeneru vo FORWARD nemusí nutne povoliť prístup k službe končiacej na routeri.
Zachovajte miestne služby, ktoré sieť ešte potrebuje, napríklad zvolený DNS a konfiguráciu adries. Politiku aplikujte na rodiny adries, ktoré sa skutočne používajú. HTTP proxy poskytuje podporované webové alebo tunelové operácie; firewall neprevádza ľubovoľné UDP ani ICMP do tohto protokolu.