Proxy SQUID. Un proxy, en una red informática, es un programa o dispositivo que realiza una acción en representación de otro.

Transcripción

1 1. Introducción Un proxy, en una red informática, es un programa o dispositivo que realiza una acción en representación de otro. Así, si una máquina A solicita un recurso a una máquina C, lo hará mediante una petición a B. C entonces no sabrá que la petición procedió originalmente de A. Su finalidad más habitual es la de servidor proxy, que sirve para interceptar las conexiones de red que un cliente hace a un servidor de destino, por varios motivos posibles como seguridad, rendimiento, anonimato, etc. Podemos encontrar distintos tipos de Proxy: Servidor proxy HTTP: opera en la capa de aplicación TCP/IP. puerto de comunicación de entrada 80/http según IANA, aunque generalmente suelen utilizar otros puertos de comunicación como el 3128, 8080 o el Servidor proxy HTTPS: opera en la capa de aplicación TCP/IP. a diferencia de un Servidor HTTP funciona bajo tecnologías de cifrado comossl/tls que proporcionan mayor seguridad. puerto utilizado debe ser 443/https aunque puede ser otro. Servicio Proxy o Proxy Web: funcionamiento basado en el del Proxy HTTP y HTTPs la diferencia fundamental es que la petición se realiza mediante una aplicación web embebida en un Servidor HTTP al que se accede mediante una dirección DNS. Es decir, se trata de una página web en la que se muestra el resultado de la petición realizada a través del Proxy (en una especie de frame o marco). se accede a ellos a través de la Internet y son ellos los que hacen las peticiones por el cliente, mandándole después los resultados. Proxy Caché: funcionamiento similar al de un proxy HTTP o HTTPs. su función es precargar el contenido web solicitado por el usuario para acelerar la respuesta Web en futuras peticiones de la misma información (bien de la misma máquina o bien desde otras). 1

2 Instalar un proxy-caché HTTP en el PC tiene varias ventajas: Permite compartir la conexión a Internet. El caché permite mostrar rápidamente las páginas web, incluso si no se comparte la conexión. También permite filtrar las páginas no deseadas. 2. Instalación del Proxy sudo aptitude install squid 3. Configurar el proxy sudo gedit /etc/squid/squid.conf a. Nombrar el proxy Squid necesita conocer el nombre de la máquina. Por ejemplo, si la máquina se llama ubuntu, pondremos: visible_hostname ubuntu b. Puertos e interfaz de escucha Por defecto, el puerto de escucha del servidor proxy será Para elegir otro puerto, sustituye el número de puerto en la línea que contenga: http_port 3128 por: http_port XXXX Por defecto el servidor proxy escucha por todas las interfaces. Por razones de seguridad, sólo debes hacer que escuche en tu red local. Por ejemplo si la tarjeta de red ligada a tu LAN tiene la IP , modifica la línea nuevamente indicando también la interfaz: http_port :3177 2

3 c. Definir los derechos de acceso Por defecto, nadie está autorizado a conectarse al servidor proxy excepto tu máquina. Es necesario crear una lista de autorización para permitir sus conexiones. Para definir un grupo que abarque toda la red local, buscaremos la línea del archivo que comienza por acl localhost... y al final de la sección añadiremos: acl lanhome src /

4 Ahora que el grupo está definido, vamos a autorizarlo para que utilice el proxy. Buscamos la línea que contenga http_access allow... y debajo añadiremos (antes de la línea http_access deny all) http_access allow lanhome Pero si una vez que se ha declarado acceso total a una red se quiere excluir del acceso a alguna de las ips ahí incluídas, se puede crear un fichero de texto plano que contenga un listado de las ips a excluir. Ese fichero se depositará en /etc/squid/exclusiones y servirá para crear un grupo de denegación llamado excluidas. El grupo se declarará así: acl excluidas src "/etc/squid/exclusiones" Finalmente, sólo nos queda añadir a la línea que contiene la entrada http_access allow lanhome la coletilla!excluidas para sacar del grupo lanhome a las máquinas del grupo excluidas. La entrada quedará entonces como: http_access allow lanhome!excluidas d. Autorizar los puertos no estándar Por defecto, Squid sólo autoriza el trafico HTTP en algunos puertos (80, etc.) Esto puede ocasionar problemas a algunas páginas web que utilizan otros puertos Ejemplo: seria bloqueado por Squid al tratarse de una petición por el puerto 81. Para evitar que lo bloquee, encuentra la línea: http_access deny!safe_ports Y agrega un comentario: #http_access deny!safe_ports 4

5 4. Iniciar el proxy Reinicia el proxy para que tome en cuenta la nueva configuración que acabamos de realizar. sudo /etc/init.d/squid restart A partir de ahora el proxy debería funcionar. Sólo hay que configurar los diversos programas para que lo utilicen (navegadores, clientes de correo, clientes ftp, ). 5. Logs Squid deposita la información sobre los sucesos acontecidos en el fichero /var/log/squid/access.log 6. Caché Por defecto, el modo caché de Squid está activado y eso permite que las páginas se carguen más rápido al almacenarse en el Proxy y servirse en lo sucesivo desde ahí. El tamaño por defecto de la caché es de 100 Mb y está ubicada en /var/spool/squid. Para cambiar el tamaño buscaremos la línea siguiente en el archivo /etc/squid/squid.conf y cambiaremos el valor de 100 por el deseado: # cache_dir ufs /var/spool/squid cantidad máxima de datos que contendrá en megabytes. Una vez se alcanza este límite, la entrada más antigua que se pidió será sustituida por la nueva. 16 número máximo de directorios de 1er nivel bajo el directorio de memoria caché. El valor predeterminado de 16 es adecuado, pero es posible que desee aumentar éste en caso de querer almacenar información sobre más webs. 256 número máximo de directorios de 2º nivel (subdirectorios dentro de los de primer nivel). El tiempo máximo que estarán en memoria caché los contenidos se declara en la línea que contiene reference_age. Por defecto es de un año y los valores que se pueden introducir son day, week, month y year. 5

6 reference_age 1 month La línea anterior especifica un tiempo de vida de 1 mes para los contenidos cacheados. 7. Proxy transparente Una posibilidad que nos interesa plantearnos es la de utilizar nuestro servidor proxy de modo "transparente" para evitar configuraciones extra en los clientes o incluso para evitar que los mismos conozcan la infraestructura real de la red. De esta forma nuestras máquinas saldrán a la red Internet a través del proxy, pero de la misma forma que lo harían mediante el router ADSL. Para ello, usando iptables redireccionaremos todas las peticiones al puerto 80 de nuestra red local hasta el puerto 3128 (o el puerto configurado anteriormente) donde escucha SQUID ripper@equiporipper# /sbin/iptables t nat A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 3128 De la misma forma podremos redirigir otros servicios. 8. Opciones Squid posee una gran cantidad de opciones y módulos: prefetch (para pre-cargar las paginas y de este modo acelerar la navegación) filtros antivirus, anti-popups, etc. control de acceso al proxy con login y contraseña. control de acceso en función de la hora. etc. Para añadir estas funcionalidades, abre Synaptic, y haz clic en el botón Buscar y entra Squid para encontrar los módulos relacionados a Squid. 6

7 Proxy POLIPO Instalar y configurar Proxy polipo sudo apt-get install polipo Luego debemos configurar los programas (navegador, etc.) para utilizar localhost:8123 como proxy. Por defecto polipo es únicamente accesible desde nuestra máquina: por lo que no hay ningún riesgo de seguridad. Podremos configurar diversas opciones que a continuación se detallan. Utilizar un servidor DNS alternativo Para un mayor rendimiento, polipo hace las resoluciones DNS el mismo, y no pasando por el sistema operativo. Utiliza directamente los DNS inscritos en /etc/resolv.conf Sin embargo podemos pedir a polipo que utilice otros servidores DNS (por ejemplo para utilizar OpenDNS). Para ello debemos agregar el parámetro: 7

8 Proxy POLIPO dnsnameserver = , Desactivar IPv6 Si no utilizamos IPv6, debemos agregar este parámetro: dnsqueryipv6 = no Servidor proxy parent Si deseamos que polipo envíe el mismo sus consultas a otro proxy, agrega el parámetro: parentproxy = "squid.example.org:3128" Autorizar las máquinas de la red local a conectarse Si nuestra red local es /24 y nuestro servidor proxy , debemos modificar el archivo /etc/polipo/config y agregar las líneas: proxyaddress = " " allowedclients = , /24 Cambiar el puerto Para cambiar el puerto de escucha de polipo, en /etc/polipo/config agrega el parámetro proxyport: proxyport = 3128 Reiniciar el servicio sudo /etc/init.d/polipo restart Notas Polipo tiene una política de caché muy agresiva. Puede que retenga demasiadas páginas. Esto puede causar problemas en las páginas en las que hay que loguearse. Polipo posee muchas otras opciones para ajuste del consumo de memoria y caché, filtros automáticos de encabezados http (user-agent, http-referer...), filtros de urls, Consultar en: