OpenWrt 代理防火墙路径：INPUT、OUTPUT 与 FORWARD
把客户端访问路由器代理监听端口、代理自身的出站流量和客户端直接转发区分开来。
当路由器自身运行 Web 代理时，经代理的请求会使用两条 TCP 连接。它并不是客户端连接原样穿过路由器转发那么简单。
| 流量 | 路由器上的防火墙路径 |
|---|---|
| 客户端到路由器的代理监听端口 | INPUT |
| 代理进程到网站 | OUTPUT |
| 客户端直接到互联网目的地 | FORWARD |
若要强制走显式代理路径，需允许预期客户端到达监听端口，并允许代理所需的外出连接。另外单独限制不需要的 LAN 到 WAN 直接转发。
只改路由器的 INPUT 策略并不能说明直接转发的路径。反过来说，在 FORWARD 中放行监听端口，并不一定就能访问终止在路由器上的服务。
保留网络仍然需要的本地服务，例如所选的 DNS 和地址配置。把策略应用到实际使用的地址族上。HTTP 代理只提供它所支持的 Web 或隧道操作；防火墙不会把任意的 UDP 或 ICMP 转换成该协议。