INSTALACIÓN Y CONFIGURACIÓN DE UN SERVIDOR PROXY TRANSPARENTE CON SQUID

Transcripción

1 INSTALACIÓN Y CONFIGURACIÓN DE UN SERVIDOR PROXY TRANSPARENTE CON SQUID FERNANDO ANTONIO PEÑARANDA TORRES COD: MANUEL ELISEO OSORIO JAIMES COD: UNIVERSIDAD FRANCISCO DE PAULA SANTANDER FACULTAD DE INGENIERÍA INGENIERÍA DE SISTEMAS SAN JOSE DE CUCUTA 2014 [1]

2 INSTALACIÓN Y CONFIGURACIÓN DE UN SERVIDOR PROXY TRANSPARENTE CON SQUID FERNANDO ANTONIO PEÑARANDA TORRES COD: MANUEL ELISEO OSORIO JAIMES COD: PROFESOR: ING. JEAN POLO CEQUEDA OLAGO UNIVERSIDAD FRANCISCO DE PAULA SANTANDER FACULTAD DE INGENIERÍA INGENIERÍA DE SISTEMAS SAN JOSE DE CUCUTA 2014 [2]

3 TABLA DE CONTENIDO 1. Introducción.4 2. Objetivos Conceptualización (proxy, proxy transparente).6 4. Servidor proxy para web SQUID.8 5. Proceso de Instalación y configuración de SQUID Prueba de Funcionamiento de SQUID Conclusiones Bibliografía.25 [3]

4 INTRODUCCIÓN En la actualidad, con la incursión de sistemas de información web y debido a la revolución vertiginosa del crecimiento gigantesco de la Internet, se han venido presentando múltiples problemas tanto como de seguridad, de conexión insegura y tiempos de respuesta en la red. Es por esto que muchas proveedores, organizaciones y redes en general aplican el concepto de Proxy para reforzar las políticas de uso de la red o para proporcionar seguridad y servicios de caché. Normalmente, un proxy Web o NAT no es transparente a la aplicación cliente: debe ser configurada para usar el proxy, manualmente. Por lo tanto, el usuario puede evadir el proxy cambiando simplemente la configuración. No está en discusión que una de las cosas más importantes en todo negocio son los datos, y es debido a esto que la seguridad y el control de acceso a estos deben ser controlados a través de la red. Son muchos los problemas que acarrea una baja o pobre seguridad en los servidores web, es debido a esto que surge el Proxy Web como un mecanismo de solución para estos problemas o como una herramienta de apoyo para hacer frente a dichos problemas. Una aplicación de Proxy web transparente es Squid el cual consiste de un programa principal como servidor, un programa para búsqueda en servidores DNS, programas opcionales para reescribir solicitudes y realizar autenticación y algunas herramientas para administración y herramientas para clientes. Finalmente y sin más preámbulo, en este documento podrá encontrar las generalidades de proxy y proxy trasparente junto con la instalación y configuración del mismo en Fedora 20 con la ayuda del servidor proxy Squid. [4]

5 OBJETIVOS Del presente documento se tienen como objetivos: Definir y entender el concepto de Proxy, Proxy Web Trasparente e identificar sus usos y los beneficios que trae su aplicación. Conocer y analizar el funcionamiento del servidor web Squid en Fedora 20 para su aplicación como servicio. Realizar el proceso de instalación de Squid en Fedora 20. Realizar las pruebas pertinentes al servicio para mirar su funcionamiento. Definir las conclusiones del trabajo realizado. [5]

6 CONCEPTUALIZACIÓN (PROXY, PROXY TRANSPARENTE) 1. CONCEPTO DE PROXY: El término en ingles «Proxy» tiene un significado muy general y al mismo tiempo ambiguo, aunque invariablemente se considera un sinónimo del concepto de «Intermediario». Se suele traducir, en el sentido estricto, como delegado o apoderado (el que tiene poder sobre otro). Un Servidor Intermediario o Proxy se define como una computadora o dispositivo que ofrece un servicio de red que consiste en permitir a los clientes realizar conexiones de red indirectas hacia otros servicios de red. Durante el proceso ocurre lo siguiente: Cliente se conecta hacia un Servidor Proxy. Cliente solicita una conexión, archivo u otro recurso disponible en un servidor distinto. Servidor Intermediario proporciona el recurso ya sea conectándose hacia el servidor especificado o sirviendo éste desde un caché. En algunos casos el Servidor Intermediario puede alterar la solicitud del cliente o bien la respuesta del servidor para diversos propósitos. Los Servidores Proxy generalmente se hacen trabajar simultáneamente como muro cortafuegos operando en el Nivel de Red, actuando como filtro de paquetes, como en el caso de iptables, o bien operando en el Nivel de Aplicación, controlando diversos servicios, como es el caso de TCP Wrapper. Dependiendo del contexto, el muro cortafuegos también se conoce como BPD o Border Protection Device o simplemente filtro de paquetes. Una aplicación común de los Servidores Proxy es funcionar como caché de contenido de Red (principalmente HTTP), proporcionando en la proximidad de los clientes un caché de páginas y archivos disponibles a través de la Red en servidores HTTP remotos, permitiendo a los clientes de la red local acceder hacia éstos de forma más rápida y confiable. Cuando se recibe una petición para un recurso de Red especificado en un URL (Uniform Resource Locator) el Servidor Intermediario busca el resultado del URL dentro del caché. Si éste es encontrado, el Servidor Intermediario responde al cliente proporcionado inmediatamente el contenido solicitado. Si el contenido [6]

7 solicitado estuviera ausente en el caché, el Servidor Intermediario lo traerá desde servidor remoto, entregándolo al cliente que lo solicitó y guardando una copia en el caché. El contenido en el caché es eliminado luego a través de un algoritmo de expiración de acuerdo a la antigüedad, tamaño e historial de respuestas a solicitudes (hits) (ejemplos: LRU, LFUDA y GDSF). Los Servidores Proxy para contenido de Red (Web Proxies) también pueden actuar como filtros del contenido servido, aplicando políticas de censura de acuerdo a criterios arbitrarios. Un proxy transparente combina un servidor proxy con NAT (Network Address Translation) de manera que las conexiones son enrutadas dentro del proxy sin configuración por parte del cliente, y habitualmente sin que el propio cliente conozca de su existencia. Este es el tipo de proxy que utilizan los proveedores de servicios de internet (ISP). [7]

8 SERVIDOR PROXY WEB SQUID Squid es un Servidor Intermediario de alto desempeño que se ha venido desarrollando desde hace varios años y es hoy en día un muy popular y ampliamente utilizado entre los sistemas operativos como GNU/Linux y derivados de Unix. Es muy confiable, robusto y versátil y se distribuye bajo los términos de la Licencia Pública General GNU (GNU/GPL). Siendo equipamiento lógico libre, está disponible el código fuente para quien así lo requiera. Entre otras cosas, Squid puede funcionar como Servidor Intermediario y caché de contenido de Red para los protocolos HTTP, FTP, GOPHER y WAIS, Proxy de SSL, caché transparente, WWCP, aceleración HTTP, caché de consultas DNS y otras muchas más como filtración de contenido y control de acceso por IP y por usuario. Squid consiste de un programa principal como servidor, un programa para búsqueda en servidores DNS, programas opcionales para reescribir solicitudes y realizar autenticación y algunas herramientas para administración y herramientas para clientes. Al iniciar Squid da origen a un número configurable (5, de modo predefinido a través del parámetro dns_children) de procesos de búsqueda en servidores DNS, cada uno de los cuales realiza una búsqueda única en servidores DNS, reduciendo la cantidad de tiempo de espera para las búsquedas en servidores DNS. A través de un parámetro (cache_replacement_policy) Squid incluye soporte para los siguientes algoritmos para la caché: LRU, LFUDA y GDSF. [8]

9 INSTALACIÓN Y CONFIGURACIÓN DE UN SERVIDOR PROXY TRANSPARENTE CON SQUID El proceso de instalación y configuración se hizo sobre una máquina virtual con GNU/Linux Fedora 20 con dos adaptadores de red, uno para la red WAN ( Adaptador puente, aunque también puede ser NAT ) y el otro para la red interna LAN ( Adaptador sólo anfitrión, aunque también puede ser red interna ) También se creó otra máquina virtual para hacer pruebas que estaría conectada a la red interna, es decir, solo tiene un adaptador de red Adaptador solo anfitrión [9]

10 Las máquinas que están dentro de una red interna no pueden conectarse a internet (WAN), pero si pueden comunicarse entre ellas, la idea es hacer que nuestro servidor proxy (dos adaptadores) pueda redirigir los paquetes de los otros equipos de la red interna como si fuera un router. Esto se hace desde la terminal de Fedora registrado como root utilizando el comando systctl net.ipv4.ip_forward=1 y presionando enter Además redirigir las peticiones que se hagan por los puertos que necesitemos hacia el puerto de escucha que posteriormente se configurará en el archivo squid.conf a través de la red interna. En nuestro este caso se está haciendo un servidor web-proxy por lo que el puerto que se redirigió fue el 80 hacia el puerto de por defecto de squid que es el 3128, además en nombre de la red interna es p7p1 Esto se hace con las iptables: iptables es el nombre de la herramienta de espacio de usuario mediante la cual el administrador puede definir políticas de filtrado del tráfico que circula por la red Escribimos el comando con la siguiente sintaxis iptables -t nat -A PREROUTING -i [nombre red interna] -p tcp --dport [Puerto] -j REDIRECT -- to-port [Puerto de squid] En nuestro caso: iptables -t nat -A PREROUTING -i p7p1 -p tcp --dport 80 -j REDIRECT --to-port 3128, posteriormente presionamos enter [10]

11 Una vez escuchados estos paquetes es necesario que esos paquetes se envíen a través del segundo adaptador (WAN), en nuestro caso el nombre de la red de internet es p2p1 La sintaxis del comando seria: iptables -t nat -A POSTROUTING -o [red de internet] -j MASQUERADE En nuestro caso: iptables -t nat -A POSTROUTING -o p2p1 -j MASQUERADE De esta forma tendríamos configurado el equipo para posteriormente instalar y configurar el servicio squid. INSTALACIÓN Y CONFIGURACION DE SQUID Para realizar el proceso de instalación abra una terminal y estando registrado como súper-usuario (en caso de que no esté registrado como súper-usuario escriba use el comando su y posteriormente escriba su contraseña de root) y escribir el siguiente comando y posteriormente de enter. [root@nombrehost Directorio]# yum install squid [11]

12 Puede verificar que está instalado con el comando con el comando rpm -q squid y luego de presionar enter le debe aparecer la versión que tiene instalada de squid. Lo siguiente es establecer una configuración para nuestro servidor proxy. Existe un gran número de parámetros pero se recomienda utilizar los siguientes Al menos una lista de control de acceso Al menos una regla de control de acceso http_port cache_dir error_directory, sólo si van a personalizar mensajes de error Controles de acceso Para poder controlar el tráfico de los clientes hacia Internet, es necesario establecer Listas de Control de Acceso que definan una red o bien ciertos anfitriones en particular. A cada lista se le asignará una Regla de Control de Acceso que permitirá o denegará el acceso a Squid. Listas de control de acceso De modo predeterminado Squid habilita el acceso a todas las redes locales, definidas en el RFC1918. Es decir, permite el acceso a /8, /12, /16, fc00::/7 y fe80::/10. Regularmente una lista de control de acceso se establece con la siguiente sintaxis: acl [nombre de la lista] src [lo que compone a la lista] Si se desea establecer una lista de control de acceso que abarque a toda la red local, basta definir la IP correspondiente a la red y la máscara de la sub-red. Por ejemplo, si se tiene una red donde los anfitriones tienen direcciones del segmento [12]

13 IP /24, se puede utilizar lo siguiente: acl localnet src /24 También puede definirse una Lista de Control de Acceso especificando un archivo localizado en cualquier parte del disco duro y la cual contiene una lista de direcciones IP. Ejemplo: acl lista1 src /etc/squid/listas/lista1.conf También se puede bloquear o permitir dominios y extensiones en las listas de control de acceso con la siguiente sintaxis: Para dominios: acl sitios_denegados url_regex /etc/squid/sitios_denegados.conf : este archivo se crearía posteriormente en la dirección /etc/squid/ y su contenido sería dominios por ej: youtube.com, ufps.edu.co, etc. para extensiones: acl sitios_denegados urlpath_regex /etc/squid/sitios_denegados.conf : este arhivo se crearía posteriormente en la dirección /etc/squid/ y su contenido serían extensiones escritas de esta forma: \.(la extensión)$ por ej: \.exe$ En esta se estableció una lista de control de acceso de dominios, una para dominios permitidos y otro para dominios prohibidos primero nos ubicamos en /etc/squid/ con el comando: cd /etc/squid/ y luego creamos el archivo y abrimos el archivo de dominios permitidos con el comando: nano dom_permitidos.conf Una vez abierto el archivo escribimos los dominios permitidos, en este caso se tomaron los dominios: hotmail.com, gmail.com y renata.com luego damos Ctrl x y nos preguntará si queremos guardar los cambios y presionamos s y luego damos enter [13]

14 Luego hacemos el mismo procedimiento para los dominios prohibidos mediante el comando: nano dom_prohibidos.conf Una vez abierto el archivo nos disponemos a escribir los dominios que que denegará el proxy en este caso se escribieron los dominios: google.com asorufps.wikispaces.com y ufps.edu.co luego damos Ctrl x y nos preguntará si queremos guardar los cambios y presionamos s y luego damos enter Ya creados los archivos procedemos a abrir el archivo ubicado en el directorio /etc/squid/ y puesto que ya estamos en esa ubicación (confirmarlo con el comando pwd) escribimos el comando nano squid.conf [14]

15 Una vez abierto procedemos a realizar las listas de control de acceso de a acuerdo a los archivos que anteriormente creamos acl dom_permitidos url_regex /etc/squid/dom_permitidos.conf acl dom_prohibidos url_regex /etc/squid/dom_prohibidos.conf Luego nos disponemos a hacer las reglas de control de acceso: Reglas de Control de Acceso Estas definen si se permite o deniega acceso hacia Squid. Se aplican a las Listas de Control de Acceso. Deben colocarse en la sección de reglas de control de acceso definidas por el administrador, es decir, a partir de donde se localiza la siguiente leyenda: # # INSERT YOUR OWN RULE(S) HERE TO ALLOW ACCESS FROM YOUR CLIENTS # La sintaxis básica de una regla de control de acceso es la siguiente: http_access [deny o allow] [lista de control de acceso](en donde deny son las listas denegadas o prohibidas y allow son las permitidas) [15]

16 Para desactivar la configuración predeterminada y poder utilizar una diferente, localice La línea que incluye http_access allow localnet. En nuestro caso vamos a utilizar una configuración diferente por lo tanto vamos a desactivarla comentando, esto se hace anteponiendo un numeral a la línea de esta forma: #http_access allow localnet También nos disponemos a crear las reglas de control de acceso para las listas dom_permitidos(allow) y dom_prohibidos(deny) [16]

17 Opción http_port Esta opción es utilizada para indicar el puerto a través del cual escuchará peticiones Squid. EL valor predeterminado es El puerto estándar designado para servidores de caché de Internet (webcache) es el puerto http_port 8080 La opción permite establecer también si se quiere utilizar una dirección IP en particular. Esto añade mayor seguridad al servicio, pues si se tiene dos tarjetas de red, una con una dirección IP pública y otra con una dirección IP privada, se puede establecer que Squid solo permita conexiones desde la dirección IP privada. http_port :8080 Si se necesita configurar un servidor proxy en modo transparente, solo es necesario añadir la opción transparent http_port :8080 trasnparent En nuestro caso se escuchará por el puerto por defecto 3128 y lo colocaremos como transparente [17]

18 Opción cache_mgr Este opción es de carácter informativo. De modo predeterminado, si algo ocurre con el caché, como por ejemplo que muera el procesos, se enviará un mensaje de aviso a la cuenta webmaster del servidor. Puede especificarse una distinta si acaso se considera conveniente. en nuestro caso usaremos el correo : fpenarandat@gmail.com por lo tanto la sintaxis seria de la forma: cache_mgr fpenarandat@gmail.com Opción cache_mem. La opción cache_mem establece la cantidad ideal de memoria para lo siguiente: Objetos en tránsito. Objetos frecuentemente utilizados (Hot). Objetos negativamente almacenados en el caché. Los datos de estos objetos se almacenan en bloques de 4 Kb. La opción cache_mem especifica un límite máximo en el tamaño total de bloques acomodados, donde los objetos en tránsito tienen mayor prioridad. Sin embargo los objetos frecuentemente utilizados (Hot) y aquellos negativamente almacenados en el caché, podrán utilizar la memoria sin utilizar hasta que esta sea requerida. De ser necesario, si un objeto en tránsito es mayor a la cantidad de memoria especificada, Squid excederá lo que sea necesario para satisfacer la petición. De modo predeterminado, desde la versión 3.1 de Squid, se establecen 256 MB, que es más que suficiente para las necesidades de redes de área local con pocos anfitriones. Puede especificar una cantidad menor para obtener un mejor rendimiento, pues conviene utilizar la memoria disponible para hacer cache en memoria de muchos objetos pequeños que son frecuentemente visitados, que hacer cache de unos pocos objetos grandes que sólo unos pocos usuarios aprovecharán. [18]

19 En nuestro caso se establecieron 512 MB por lo tanto la sintaxis seria: cache_mem 512 MB Estableciendo el idioma de los mensajes mostrados por de Squid hacia el usuario (error_directory). Squid incluye traducción a distintos idiomas de las distintas páginas de error e informativas que son desplegadas en un momento dado durante su operación. Dichas traducciones se pueden encontrar en /usr/share/squid/errors/. Desde la versión 3.0 de Squid, el idioma se detecta automáticamente a partir del navegador utilizado por el usuario. Es innecesario modificar opción alguno, salvo que se haya personalizado los mensajes, en cuyo caso conviene utilizar una ruta distinta a la del idioma utilizado para evitar se sobre-escriban los archivos después de actualizar el sistema. En nuestro caso queremos utilizar los mensajes de error en español y en algún momento vamos a modificarla por lo tanto la sintaxis sería: error_diretory /usr/share/squid/errors/es Opción cache_dir Este opción se utiliza para establecer que tamaño se desea que utilice Squid para almacenamiento de caché en el disco duro. De modo predeterminado Squid utilizará el formato ufs para crear en el directorio /var/spool/squid un caché de 100 MB, dividido en jerarquías de 16 directorios subordinados, hasta 256 niveles cada uno: [19]

20 cache_dir ufs /var/spool/squid por defecto el cache_dir esta comentado procedemos a descomentar quitando el # Con todos estos cambios ya tendríamos nuestro servidor proxy configurado, procedemos a presionar Ctrl+x y posteriormente escribimos s y damos enter. Iniciando, reiniciando y añadiendo el servicio al arranque del sistema. Una vez terminada la configuración, ejecute el siguiente mandato para iniciar por primera vez Squid: service squid start Si necesita volver a cargar la configuración para probar cambios realizados, sin detener el servicio, ejecute lo siguiente: service squid reload Si necesita reiniciar para probar cambios hechos en la configuración, considerando que este proceso puede llegar a demorar algunos minutos, ejecute lo siguiente: service squid restart Si desea que Squid inicie de manera automática la próxima vez que inicie el sistema, ejecute lo siguiente: chkconfig squid on Lo anterior habilitará a Squid en todos los niveles de ejecución Ya iniciado nuestro servicio de proxy con service squid restart service (en nuestro caso ya se había iniciado con anterioridad el servicio por lo tanto se usa el restart ) estaría en funcionamiento el servidor proxy, listo para ser usado. [20]

21 PRUEBA DEL SERVIDOR PROXY Desde la máquina virtual que creó anteriormente con adaptador solo anfitrión configure la red colocando una dirección ipv4, Mascara de red, y en la puerta de enlace escriba la dirección ipv4 del servidor del servidor proxy (la dirección correspondiente al adaptador de la red interna) y la dirección del servidor DNS, en caso de que no haya instalado el servicio named (DNS) puede escribir Tambien si no desea hacer esta configuración a todos los clientes que tenga en la red interna puede instalar en el servidor proxy el servicio DHCP y hacer las configuraciones correspondientes teniendo en cuenta la dirección ipv4 de la puerta de enlace. Para probar los funcionamientos de squid vaya al navegador y escriba los dominios a probar en la barra de direcciones, en este caso probaremos con los permitidos que están en el archivo /var/squid/dom_permitidos.conf, si el servicio squid funciona bien entonces debería poder acceder a estas direcciones en nuestro caso probamos con las direcciones gmail.com y hotmail.com [21]

22 Luego probamos con los dominios prohibidos, aquellos que están en el archivo /etc/squid/dom_prohibidos.conf (ufps.edu.co, asorufps.wikispaces.com y google.com), si no hay ningún problema con el servicio no podría acceder a estas direcciones ya que están denegadas y además debería mostrarle un mensaje de error como estos: [22]

23 [23]

24 CONCLUSIONES Un proxy de conexión a Internet no es otra cosa que un servidor que hace de intermediario entre los PCs de la red y el router de conexión a Internet, de forma que cuando un usuario quiere acceder a Internet, su PC realiza la petición al servidor Proxy y es el Proxy quien realmente accede a Internet. La principal ventaja que ofrece la implementación de un Proxy es que Los PCs de los usuarios no tienen acceso al router, todas las comunicaciones exteriores pasarán por el Proxy, lo que nos permitirá tener las comunicaciones bajo control. Podemos permitir o denegar el acceso web, ftp, , messenger, p2p, etc... SQUID es el Proxy Web Transparente más utilizado para el entorno de servidores Proxy. El proceso de Instalación y configuración de Squid en Fedora 20 es sencillo solamente hay que tener en cuenta los parámetros requeridos por este. [24]

25 BIBLIOGRAFÍA %C3%A1rea-local _Ubuntu_Server_y_Squid/html-multiples/ch03s03.html utamiento/proxy_squid.html [25]