Шляхи проксі-файрвола в OpenWrt: INPUT, OUTPUT і FORWARD
Відокремте доступ клієнтів до проксі-слухача роутера від власного виходу проксі та прямого пересилання клієнтів.
Коли роутер сам запускає веб-проксі, запит через проксі використовує два TCP-з'єднання. Це не просто з'єднання клієнта, що передається без змін через роутер.
| Трафік | Шлях файрвола на роутері |
|---|---|
| Клієнт до проксі-слухача роутера | INPUT |
| Процес проксі до сайту | OUTPUT |
| Клієнт напряму до інтернет-адресата | FORWARD |
Щоб вимагати явний маршрут через проксі, дозвольте потрібним клієнтам досягати слухача та дозвольте необхідні вихідні з'єднання проксі. Небажане пряме пересилання з LAN у WAN обмежуйте окремо.
Зміна лише політики INPUT роутера не описує шлях прямого пересилання. І навпаки, дозвіл порту слухача в FORWARD не обов'язково дозволяє доступ до служби, що завершується на роутері.
Збережіть локальні служби, які ще потрібні мережі, наприклад вибраний DNS і конфігурацію адрес. Застосовуйте політику до тих родин адрес, які справді використовуються. HTTP-проксі надає підтримувані ним веб- або тунельні операції; файрвол не перетворює довільні UDP чи ICMP на цей протокол.