Proxy-brandväggsvägar i OpenWrt: INPUT, OUTPUT och FORWARD
Separera klienternas åtkomst till routerns proxy-lyssnare från proxyns egen utgång och klienternas direkta vidarebefordran.
När routern själv kör webbproxyn använder en proxad begäran två TCP-anslutningar. Det är inte bara klientens anslutning som vidarebefordras oförändrad genom routern.
| Trafik | Brandväggsväg på routern |
|---|---|
| Klient till routerns proxy-lyssnare | INPUT |
| Proxyprocess till webbplatsen | OUTPUT |
| Klient direkt till ett internetmål | FORWARD |
Om du vill kräva den uttryckliga proxyvägen, tillåt de avsedda klienterna att nå lyssnaren och tillåt proxyns nödvändiga utgående anslutningar. Begränsa oönskad direkt vidarebefordran från LAN till WAN separat.
Att bara ändra routerns INPUT-policy beskriver inte den direkta vidarebefordringsvägen. Omvänt ger ett tillåtet lyssnarport i FORWARD inte nödvändigtvis åtkomst till en tjänst som slutar på routern.
Behåll de lokala tjänster som nätverket fortfarande behöver, som vald DNS och adresskonfiguration. Tillämpa policyn på de adressfamiljer som faktiskt används. En HTTP-proxy tillhandahåller de webb- eller tunneloperationer som den stöder; brandväggen omvandlar inte godtycklig UDP eller ICMP till det protokollet.