Squid transparent proxy
Autor
Mikk Mähar AK32
Versioon
Versioon 0.01, muudetud 18.12.2009 (Algse struktuuri paika panek)
Versioon 0.02, muudetud 10.01.2010 (Struktuuri parendamine, sisu kirjutamine)
Versioon 0.03, muudetud 13.01.2010 (Logide analüüsi kohta sisu lisamine)
Versioon 0.04, muudetud 20.01.2010 (Täiendatud varundamise/taastamise osa ning täpsustatud paigalduse osa)
Sissejuhatus
Siit artiklist peaks saama väikse ülevaate, mis asi see proxy server ehk vahemälu on, milleks seda kasutatakse. Mis on on Squid ning kuidas seda autentimist nõudva transparent proxy serverina seadistada(transparent selles mõistes, et kasutajate päringud suunatakse sinna vaikimisi ja alati).
Mis asi on proxy
Proxy serveri näol on tegu kliendi ja võrgus paiknevate resursside vahelise vahemäluga. Proxy servereid kasutatakse mitmetel erinevatel eesmärkidel:
- Võrguühenduste kasutuse optimeerimiseks
- Veebiserverite koormuste leevendamiseks
- Inimeste anonüümsuse kaitsmiseks veebis
- Sisevõrgu kasutajatele võrgust kättesaadavate andmete piiramiseks
Mis asi see Squid on ja mida sellega teha saab
Squidi puhul on tegu täielikult HTTP/1.0 (peaaegu ka HTTP/1.1)ühilduva proxy serveri tarkvaraga, mis toetab HTTP-d ja FTP-d. Squidi on võimalik kasutada:
- võrguühenduste optimeerimiseks
- kasutajate autentimiseks
- kasutajatele võrgust kätte saadavate resursside piiramiseks
- veebiserverite koormuse leevendamiseks
Squidiga on kasutajate autentimiseks olemas mitmeid erinevaid meetodeid:
- ncsa (basic authentication)
- Windows Active Directory
- Radius
- LDAP
- Kerberos
- MySQL
- NTLM
Eeldused/nõuded
- 1 mõne värske linuxi distributsiooniga server
- server mille peale Squid paigaldatakse on võrgus kasutusel ruuterina / kui on tegu võrgus eraldi seisva masinaga on vaja suunata nende teenuste, mida läbi vahemälu kasutada soovitakse võrguliiklus WCCP/GRE abiga Squid serverisse. (See ei kuulu siin artiklis kaetava osa hulka)
- kasutataval serveril peaks olema piisav kogus vahemälu (Squid tahab iga 1 GB squidi vahemälus hoitavate andmete kohta 10 MB vahemälu serverilt).
Paigaldamine
Squidi ja vajalike komponentide paigaldamiseks Ubuntu serveri korral piisab terminali sisestatud käsust:
sudo apt-get install squid squid-common
Kui on soovi järgida autentimise näidet tuleks paigaldada ka apache2-utils. Selle tegemiseks, kas lisada eelneva käsu lõppu "apache2-utils" või tagant järgi eraldi paigaldades:
sudo apt-get install apache2-utils
Seadistamine
Enne seadistamise alustamist tasuks teha originaal konfiguratsioonidest varukoopiad.
iptables seadistamine
Vahemälu serveris on kasutades iptablesit suunata kõik http (port 80) päringud ümber squidi pordile, mis on vaikimisi 3128. Seda saab teha sisestades järgmised käsud:
iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j DNAT --to 192.168.1.1:3128 iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 3128
Squidi seadistamine
Squidi seadistamiseks tuleb muuta squidi konfiguratsiooni failis (/etc/squid/squid.conf) järgneivaid asju:
httpd_accel_host virtual //määrab, et squid töötab http kiirendina httpd_accel_port 80 //pordi number, mille liiklust läbi vahemälu suunatakse httpd_accel_with_proxy on //lülitab squidi tööle, kui kohaliku httpd kiirendi ja proxy httpd_accel_uses_host_header on acl lan src 192.168.1.1 192.168.2.0/24 //juurdepääsu piirangud, mis lubavad vaid kohalikus võrgus paiknevatel arvutitel squidi kasutada http_access allow localhost // http_access allow lan //
Peale konfiguratsiooni failis muudatuste sisse viimist tuleb nende aktiveerimiseks Squidile taaskäivitus teha:
/etc/init.d/squid restart
Näidis NCSA autentimise seadistamisest
Konfiguratsiooni faili on vaja sisestada järgmised read:
auth_param basic program /usr/lib/squid/ncsa_auth /etc/squid.passwd auth_param basic children 5 auth_param basic realm NFYE Squid proxy-caching web server auth_param basic credentialsttl 3 hours auth_param basic casesensitive off acl users proxy_auth REQUIRED acl sectionx proxy_auth REQUIRED http_access allow users
Kasutajate loomiseks sisesta terminali käsk:
sudo htpasswd -c /etc/squid.passwd esimese_kasutajanimi
Teiste autentimise meetodite seadistamise kohta leiab infot http://wiki.squid-cache.org/ConfigExamples/
Mõningad veebilehed/teenused ei pruugi toimida läbi autentimist nõudva proxy ning sellepärast tuleb teha nendest eraldi nimistu, et nad ilma autentimiseta ka töötaks. Seda saab teha järgnevalt:
Tuleb tekitada fail unauth_sites.acl näiteks /etc/squid kausta ning sinna sisse luua nimistu domeenidest, mille korral autentimist ei nõuta kujul(1 domeen rea kohta):
.domeen1.com .domeen2.com
Samuti on vaja lisada squid.conf faili sisse järgmised:
acl unauth_sites dstdomain "/etc/squid/unauth_sites.acl" http_access allow unauth_sites lan
blacklist
Teatud domeenidele ligipääsu tõkestamiseks tuleks need koondada ühtsesse nimekirja. Näiteks luua fail /etc/squid/bad_domains ja muuta see loetavaks kasutajale, millena Squid käivitatud on. Blokeeritud saitide listi sisu peaks olema enam vähem selline:
pahaleht .pahaleht1.com .pahaleht2.com
Peale selle listi loomist tuleb sellele viidata ka Squidi konfiguratsiooni failis:
acl BAD_DOMAINS dstdom_regex -i "/etc/squid/bad_domains" http_access deny BAD_DOMAINS lan
Kuidas kontrollida, et päringud Squidini jõuavad
Selleks, et näha kas päringud proxy serverist läbi tuleb jälgida Squidi access logis toimuvat. Seda saab teha käsuga:
tail -f /var/log/squid/access.log
Peale selle käsu sisestamist proovida veebis mingit lehekülge avada mõne arvutiga, mis antud proxy kaudu veebi pääsema peaks.
Varundamine ja taastamine
Varundamiseks tuleks järgnevad failid kopeerida mõnele alternatiivsele meediale:
/etc/squid/squid.conf //squidi konfiguratsiooni fail /etc/squid/bad_domains //blacklist /etc/squid.passwd //kasutajad /etc/squid/unauth_sites.acl //autentimist mitte nõudvate saitide list
Näiteks võib kasutada secure copy käsku antud failide teise masinasse tõstmiseks:
scp /etc/squid/squid.conf kasutajanimi@mingiip:/kaust/kuhu/kopeerida
Teenuse taastamiseks tuleb eelnevalt loetletud failid taastada varukoopiast samasse kausta, kust need varundamiseks kopeeritud sai ning muuta failid Squidile loetavateks. Näiteks kopeerime secure copy käsuga tagasi teisest serverist:
sudo -i scp kasutajanimi@mingi_ip:/kaust_kus_fail_on/faili_nimi /etc/squid/faili_nimi chown squidi_kasutaja:kasutaja_grupp /etc/squid/failinimi
Kui konfiguratsiooni failid on taastatud, tuleb teenus taaskäivitada:
/etc/init.d/squid restart
Squidi logide analüüs/statistika
Squidi logide analüüsimiseks ning statistika tegemiseks on olemas palju erinevaid programme, millest üks populaarsem on Calamaris(http://cord.de/tools/squid/calamaris/). Näidist Calamarise raporti kohta võib näha aadressil http://cord.de/tools/squid/calamaris/calamaris-2.out Calamarise väljundi põhjal on võimalik näiteks optimeerida Squidi vahemälu suurust.
Pikema nimekirja programmidest, mida võib kasutada Squidi logide analüüsimiseks leiab http://www.squid-cache.org/Scripts/.
Kasutatud kirjandus
http://www.ubuntugeek.com/how-to-setup-transparent-squid-proxy-server-in-ubuntu.html
