ADMINISTRACIÓN DE SISTEMAS OPERATIVOS EN RED INSTALACIÓN Y CONFIGURACIÓN DE SERVIDOR PROXY TRANSPARENTE SQUID + WPAD

Transcripción

1 ADMINISTRACIÓN DE SISTEMAS OPERATIVOS EN RED INSTALACIÓN Y CONFIGURACIÓN DE SERVIDOR PROXY TRANSPARENTE SQUID + WPAD JHEYNER RUBIO MAURICIO UREÑA PRESENTADO A INGENIERO JEAN POLO CEQUEDA OLAGO PROGRAMA DE INGENIERÍA DE SISTEMAS UNIVERSIDAD FRANCISCO DE PAULA SANTANDER CÚCUTA 2017

2 Un proxy web específica el acceso a la web con protocolos HTTP y HTTPS, en donde proporciona una caché compartida para páginas web y contenidos descargados, este proxy se implementa para mejorar la seguridad en los servidores web. Una aplicación proxy web transparente es SQUID es una aplicación de software libre, el cual con un proxy web con caché mejora el rendimiento de las conexiones y acelera el acceso a un servidor web determinado. En el presente documento se encuentra las generalidades de un proxy y un proxy transparente, igualmente se muestra la instalación y configuración de un proxy transparente usando la aplicación SQUID sobre Fedora 25. Hay dos tipos de proxy atendiendo a quién es el que quiere implementar la política del proxy: Proxy Local: En este caso el que quiere implementar la política es el mismo que hace la petición. Por eso se le llama local. Suelen estar en la misma máquina que el cliente que hace las peticiones. Son muy usados para que el cliente pueda controlar el tráfico y pueda establecer reglas de filtrado que por ejemplo pueden asegurar que no se revela información privada (Proxy de filtrado para mejora de la privacidad). Proxy de Red o Proxy Externo: El que quiere implementar la política del proxy es una entidad externa. Por eso se le llama externo. Se suelen usar para implementar cacheos, bloquear contenidos, control del tráfico, compartir IP, etc. Proxy Transparente Un proxy transparente combina un servidor proxy con un cortafuego de manera que las conexiones son interceptadas y desviadas hacia el proxy sin necesidad de configuración en el cliente, y habitualmente sin que el propio usuario conozca de su existencia. Este tipo de proxy es habitualmente utilizado por las empresas proveedoras de acceso de Internet.

3 SQUID es un servidor proxy para web con caché. Es una de las aplicaciones más populares y de referencia para esta función, software libre publicado bajo licencia GPL. Entre sus utilidades está la de mejorar el rendimiento de las conexiones de empresas y particulares a Internet guardando en caché peticiones recurrentes a servidores web y DNS, acelerar el acceso a un servidor web determinado o añadir seguridad realizando filtrados de tráfico. Aunque orientado principalmente a HTTP y HTTPS soporta también otros protocolos como FTP e incluso Gopher. Implementa cifrado SSL/TLS tanto en la conexión al servidor web como a los navegadores y cualquier cliente web que lo soporte. SQUID tiene algunas características que pueden facilitar establecer conexiones anónimas. Características tales como eliminar o modificar campos determinados de la cabecera de peticiones HTTP de los clientes. Esta política de eliminación y alteración de cabeceras se establece en la configuración de SQUID. El usuario que solicita páginas a través de una red que utiliza SQUID de forma transparente, normalmente no es consciente de este proceso o del registro de información relacionada con el proceso. SQUID puede ser configurado para ser usado como proxy transparente de manera que las conexiones son enrutadas dentro del proxy sin configuración por parte del cliente, y habitualmente sin que el propio cliente conozca de su existencia. De modo predefinido SQUID utiliza el puerto 3128 para atender peticiones, sin embargo, se puede especificar que lo haga en cualquier otro puerto disponible o bien que lo haga en varios puertos disponibles a la vez. SQUID es un Servidor Intermediario de alto desempeño que se ha venido desarrollando desde hace varios años y es hoy en día una muy popular solución que es ampliamente utilizada entre los sistemas operativos como GNU/Linux y derivados de Unix. Es muy confiable, robusto y versátil y se distribuye bajo los términos de la Licencia Pública General GNU (GNU/GPL). Siendo equipamiento lógico libre, está disponible el código fuente para quien así lo requiera.

4 Entre otras cosas, SQUID puede funcionar como Servidor Intermediario y caché de contenido de Red para los protocolos HTTP, FTP, GOPHER y WAIS, Proxy de SSL, caché transparente, WWCP, aceleración HTTP, caché de consultas DNS y otras muchas más como filtración de contenido y control de acceso por IP y por usuario. SQUID consiste de un programa principal como servidor, un programa para búsqueda en servidores DNS, programas opcionales para reescribir solicitudes y realizar autenticación y algunas herramientas para administración y herramientas para clientes. Al iniciar SQUID da origen a un número configurable (5, de modo predeterminado a través de la opción dns_children) de procesos de búsqueda en servidores DNS, cada uno de los cuales realiza una búsqueda única en servidores DNS, reduciendo la cantidad de tiempo de espera para las búsquedas en servidores DNS. Problemas y más problemas. Según la creencia popular, un proxy en modo notransparente brinda una mejor seguridad que en modo transparente (también llamado intercept, Web o NAT), pero una de las cosas más incómodas que tienen que realizar los administradores IT es tener que ir cliente por cliente y configurar manualmente los navegadores para que apunten a la IP:puerto del proxy. Si nuestro proxy fuese transparente, bastaría con dejar los navegadores por default (detección automática del proxy) y redireccionar el tráfico al puerto transparente (intercept) con una simple regla NAT en nuestro firewall iptables. Qué es WPAD? WPAD (Web Proxy Auto-Discovery protocol) es un método utilizado por los clientes de servidores Proxy para localizar el URI de un archivo de configuración, valiéndose de métodos de descubrimiento a través de DHCP y DNS. Los clientes descargan y ejecutan un archivo, que debe denominarse wpad.dat, utilizando el formato de auto-configuración de proxy (PAC, Proxy Auto-Config) diseñado por Netscape en 1996 para Netscape Navigator 2.0.

5 El borrador del protocolo WPAD, el cual expiró en 1999, fue elaborado por un consorcio de empresas que incluían a Inktomi Corp., Microsoft, Real Networks Inc. y Sun Microsystems Inc. A pesar de tratarse de un borrador que ha expirado, la mayoría de los navegadores modernos incluyen soporte para este protocolo. Por qué utilizar WPAD? Gracias a que una gran cantidad de sitios de Internet ahora funcionan a través de HTTPS, resulta poco práctico configurar servidores intermediarios (proxies) en modo transparente, pues éstos solo permiten el modo transparente para el protocolo HTTP (puerto 80/TCP), obligando a los administradores de redes de área local a configurar la salida del protocolo HTTPS (puerto 443/TCP) a través de NAT en el muro cortafuegos. Una forma de enfrentar el problema y poder controlar y filtrar la actividad de los usuarios a través de HTTPS, es olvidarse del modo transparente de SQUID y utilizar una configuración manual del servidor proxy. Sin embargo, esto representaría una enorme cantidad de trabajo para los administradores de redes de área local, quienes tendrían que pasar anfitrión por anfitrión a realizar la configuración. Ésta, sin embargo, se puede automatizar anunciando ésta a través de servidores DHCP y servidores DNS, utilizando WPAD.

6 INSTALACION Y CONFIGURACION DE UN SERVIDOR PROXY TRANSPARENTE UTILIZANDO SQUID INSTALACIÓN Instalar el Servidor intermediario SQUID

7 El programa empieza a instalar y después le pedirá permisos para continuar, se debe oprimir la tecla S y Enter para continuar con la instalación.

8

9 CONFIGURACIÓN DE SQUID Para dar inicio con la configuración es necesario abrir el archivo de configuración de SQUID, el cual se encuentra ubicado en el directorio /etc/squid y tiene como nombre squid.conf Para entrar al archivo ingrese la siguiente línea en la terminal. nano /etc/squid/squid.conf Presione la tecla ENTER y habrá entrado al archivo. Existen un gran número de parámetros, de los cuales se recomienda configurar los siguientes: Al menos una Lista de Control de Acceso

10 Al menos una Regla de Control de Acceso http_port cache_dir error_directory Al ingresar al archivo de configuración es necesario realizar ciertos cambios en algunos parámetros, como: El número de puerto especificado en el parámetro http_port, el cual indica el puerto por el cual SQUID escuchará las peticiones. Debido a que el servidor Proxy es transparente se recomienda utilizar el puerto 80 o el 8080 y se valdrá del redireccionamiento de peticiones de modo tal que no habrá necesidad alguna de modificar la configuración de los clientes HTTP para utilizar el Servidor Proxy. Bastará con utilizar como puerta de enlace al servidor. Es importante recordar que los Servidores HTTP, como Apache, también utilizan dicho puerto, por lo que será necesario volver a configurar el servidor HTTP para utilizar otro puerto disponible, o bien desinstalar o desactivar el servidor HTTP. Lo siguiente es la Lista de Control de Acceso, lo cual es necesario para definir una red o bien ciertas maquinas en particular. A cada lista se le asignará una Regla de Control de Acceso que permitirá o denegará el acceso a SQUID. Regularmente una lista de control de acceso se establece con la siguiente sintaxis: acl [nombre de la lista] src [lo que compone a la lista] Creamos estas tres ACL: acl lanhome src Que hace referencia a la IP de la máquina. acl patrones url_regex /etc/squid/listas/patrones acl patrones dstdomain /etc/squid/listas/denegadas

11 Dentro del directorio de SQUID por orden se creará otro directorio llamado listas el cual contendrá todos los archivos en los que se denegarán los contenidos, patrones, denegadas. Es de vital importancia saber que las reglas en el servidor SQUID se leen de arriba hacia abajo, es decir, si se tiene en la primera línea de las reglas http_access allow all se permitirá todo tipo de contenido y no se aplicarán las reglas de denegación que están después de la primera, por ello, primero se ingresan las reglas de denegación y luego de permitir. Con el siguiente grupo de comando mostraremos la configuración de squid.conf sin comentario # : grep -v "^#" /etc/squid/squid.conf sed -e '/^$/d'

12

13 Configuramos el archivo y guardamos

14 Los puertos

15 Creamos el directorio donde se almacenarán nuestras listas

16 Denegadas:

17 Patrones:

18 Propias:

19 Miramos su estado: systemctl restart squid systemctl status squid CONFIGURACIÓN DE SERVICIO DE FIREWALL Debemos configurar nuestro servicio de firewall, para ellos se instala iptables-services: dnf install iptables-services Ejecutamos la orden # nano /etc/sysconfig/iptables

20

21 Comentamos la línea con el # y configuramos

22 Como configuramos SQUID para escuchar peticiones por el puerto 8080 y que la red de área local corresponde a , abrimos los puertos 80/TCP (http) y 8080/TCP (webcache) del servidor y cerramos la salida desde la red de área local hacia los puertos 20 (ftp-data), 21 (ftp), 22 (ssh) y 443 (https) en el exterior.

23 Establecemos las reglas con: service iptables sabe Reiniciamos el servicio: systemctl restart iptables Y verificamos su estado: systemctl status iptables CONFIGURACIÓN DE WPAD Se crea el directorio /var/www/wpad con permisos de acceso y escritura para usuario y de acceso para grupo y otros (rwxr-xr-x). mkdir -m 0755 /var/www/wpad Se crea el archivo /var/www/wpad/wpad.dat y se modifica según sus configuraciones de DNS e IP s.

24 Es indispensable que el archivo /var/www/wpad/wpad.dat tenga permisos de lectura para todos, de otro modo será imposible compartirlo a través del servicio httpd. chmod a+r /var/www/wpad/wpad.dat CONFIGURACIÓN DEL DNS Par configurar el proxy al DNS, debemos dirigirnos en donde está configurada la zona directa de nuestro servicio DNS en nuestro caso el archivo se llama zone.jern.asor accedemos a él con el comando nano /var/named/zone.jern.asor

25

26 CONFIGURACIÓN DEL SERVIDOR APACHE Se crea el archivo wpad.conf nano /etc/httpd/conf.d/wpad.conf Y se modifica de la siguiente manera: <VirtualHost *:80> ServerName wpad.jern.asor ServerAlias wpad DocumentRoot /var/www/wpad ErrorLog logs/wpad-error_log CustomLog logs/wpad-access_log combined <Directory "/var/www/wpad"> AddType application/x-ns-proxy-autoconfig.dat DirectoryIndex wpad.dat <IfModule mod_authz_core.c> # Apache 2.4 Require local Require ip </IfModule> <IfModule!mod_authz_core.c> # Apache 2.2 Order Deny,Allow Deny from all Allow from / </IfModule> </Directory> </VirtualHost>

27 PRUEBAS DE FUNCIONAMIENTO Configuraciones en el navegador Chrome

28

29

30

31 REFERENCIAS