Các đường đi của tường lửa proxy trong OpenWrt: INPUT, OUTPUT và FORWARD
Tách biệt quyền truy cập của máy khách tới bộ lắng nghe proxy của router khỏi lưu lượng ra của chính proxy và việc chuyển tiếp trực tiếp máy khách.
Khi router tự chạy proxy web, một yêu cầu qua proxy sử dụng hai kết nối TCP. Đây không chỉ là việc kết nối của máy khách được chuyển tiếp nguyên vẹn qua router.
| Lưu lượng | Đường đi của tường lửa trên router |
|---|---|
| Máy khách tới bộ lắng nghe proxy của router | INPUT |
| Tiến trình proxy tới trang web | OUTPUT |
| Máy khách trực tiếp tới một đích internet | FORWARD |
Để bắt buộc tuyến proxy rõ ràng, hãy cho phép các máy khách dự kiến tiếp cận bộ lắng nghe và cho phép các kết nối ra cần thiết của proxy. Hạn chế riêng việc chuyển tiếp trực tiếp không mong muốn từ LAN sang WAN.
Chỉ thay đổi chính sách INPUT của router không mô tả đường chuyển tiếp trực tiếp. Ngược lại, cho phép cổng của bộ lắng nghe trong FORWARD không nhất thiết cho phép truy cập dịch vụ kết thúc trên router.
Giữ lại các dịch vụ cục bộ mà mạng vẫn cần, chẳng hạn DNS và cấu hình địa chỉ đã chọn. Áp dụng chính sách cho các họ địa chỉ thực sự được dùng. Proxy HTTP cung cấp các thao tác web hoặc đường hầm mà nó hỗ trợ; tường lửa không chuyển đổi UDP hay ICMP tùy ý thành giao thức đó.