Squid3 - Servidor Proxy
34 recomendaciones21,293 vistas
Este documento describe cómo configurar y usar un servidor proxy Squid en Ubuntu 12.04. Explica cómo instalar e iniciar Squid, configurar listas de control de acceso para permitir o denegar sitios web y palabras, y montar el proxy de forma transparente para los usuarios de la red. También cubre el uso de Webmin para administrar la configuración de Squid de forma gráfica.
Squid3 - Servidor Proxy
- 1. Ramón Jesús Suárez Pérez 2ºASIR SQUID 3 – Servidor Proxy en Ubuntu 12.04 Introducción y requisitos del sistema Squid es un popular programa de software libre bajo licencia GPL diseñado para ejecutarse en entornos tipo Unix, que implementa un servidor proxy y un dominio para cache de páginas web. Entre las principales características de squid, destacan: - Permitir conectarse a internet a una serie de equipos a través de una sola IP. - Filtrado de contenidos. - Capacidad de almacenar una caché de páginas webs para que el acceso a ellas sea mucho más rápido desde los equipos de la red. Aunque está orientado principalmente a HTTP y FTP es compatible con otros protocolos como Internet Gopher. Implementa varias modalidades de cifrado como TLS, SSL, y HTTPS.
- 2. Ramón Jesús Suárez Pérez 2ºASIR Instalación de Squid3 en Ubuntu 12.04 Para instalar Squid3 en Ubuntu 12.04, bastará con ejecutar el siguiente comando en el terminal: “sudo aptitude install squid3”. Este comando descargará e instalará el paquete squid3 de forma automática directamente de los repositorios de Ubuntu. Es conveniente tener configurada en nuestro equipo una dirección IP estática, no obstante para la prueba no será necesario. Utilizaremos el comando “ifconfig”, para obtener la dirección IP de nuestro servidor que será el encargado de actuar como proxy.
- 3. Ramón Jesús Suárez Pérez 2ºASIR Si comprobamos el estado de los puertos abiertos en nuestro servidor mediante el comando “nmap” ejecutado desde otra máquina, podremos comprobar que ha quedado habilitado el puerto por defecto de squid (3128), lo cual nos indica que nuestro proxy está activo en el sistema. Configuración de Squid3 en Firefox Para utilizar un servidor proxy en un navegador, en nuestro caso firefox, bastará con acceder al menú de configuración del navegador, y una vez dentro buscaremos en el apartado de configuración oportuno (en nuestro caso “Avanzado” las propiedades de la “Configuración de la conexión”. Una vez allí, en el apartado de configuración de proxy, debemos especificar la dirección IP de nuestro servidor y el puerto de nuestro proxy (por defecto 3128).
- 4. Ramón Jesús Suárez Pérez 2ºASIR Configuración básica y Listas de control de acceso (ACL) Si comprobamos el funcionamiento de nuestro servidor proxy desde un navegador, podremos darnos cuenta de que por defecto SQUID bloquea el acceso a todas las direcciones HTTP. Para solventar esto y poder disfrutar de un acceso total al contenido web desde los equipos que utilicen nuestro proxy, debemos dirigirnos al fichero: “/etc/squid3/squid.conf” y una vez allí modificar la línea “http_access deny all” por “http_access allow all”. Es recomendable que antes de realizar modificaciones en el fichero squid.conf realicemos copias de seguridad para evitar fallos en la ejecución del programa.
- 5. Ramón Jesús Suárez Pérez 2ºASIR Cada vez que realicemos cambios en el archivo de configuración del programa, será necesario reiniciar el servicio de squid para que se apliquen al sistema. Para reiniciar el servicio bastará con ejecutar el comando: “sudo service squid3 restart” Una vez hecho esto, podremos comprobar como volvemos a navegar con total libertad desde los equipos clientes que utilicen nuestro proxy.
- 6. Ramón Jesús Suárez Pérez 2ºASIR Definición y denegación de ACL (Listas de control de acceso) Las listas de control de acceso son un conjunto de reglas que permiten controlar el tráfico de la red a través de la aprobación o la denegación de estas. La definición, aprobación y denegación de ACLs se realiza desde el fichero de configuración de squid (/etc/sqiud3/squid.conf). Las acls deben de especificarse en el fichero de manera ordenada ya que las acls superiores tendrán prioridad sobre las inferiores. Bloqueando el acceso a un determinado dominio. Para definir una acl para un determinado sitio web utilizaremos la siguiente sintaxis: “acl nombre_acl dstdomain dominio_o_ip_del_sitio_web” Para denegar el acceso a una detemrinado sitio web, en este caso únicamente tendremos que haber definido previamente la acl y después denegarla mediante: “http_access deny nombre_acl” Como se vió anteriormente, tras reiniciar el servicio de squid, podremos comprobar que ninguna de las webs especificadas es accesible por los equipos clientes.
- 7. Ramón Jesús Suárez Pérez 2ºASIR Bloqueando el acceso a una lista negra de dominios Para facilitar el bloqueo a varios sitios webs de una sola vez, podemos recurrir a las llamadas “listas negras”. Una lista negra no es otra cosa que una acl que carga los dominios o palabras de un fichero y permite así garantizar o denegar el acceso a dichos sitios web. Para definir una acl de este tipo usaremos la siguiente estructura: “acl nombre_acl dstdomain “/direccion_del_fichero_lista_negra”
- 8. Ramón Jesús Suárez Pérez 2ºASIR Aquí podemos comprobar el funcionamiento de la lista negra: Bloqueando el acceso a una lista negra de palabras De la misma forma que definimos listas negras de dominios, es posible bloquear el acceso a direcciones que contengan determinadas palabras: “acl nombre_acl url_regex “/direccion_del_fichero_lista_negra”
- 9. Ramón Jesús Suárez Pérez 2ºASIR Si comprobamos el funcionamiento de nuestra lista negra de palabras podemos observar como nos bloquea directamente todas las urls que contengan las palabras indicadas en el fichero. No nos deja incluso buscarlas desde el navegador. Excepciones de reglas (listas blancas) Las listas blancas se definen de la misma forma que cualquier otra acl... Son utilizadas para especificar excepciones en las reglas del proxy. Podemos habilitar el acceso a una lista blanca mediante la siguiente sintaxis (habiendo definido previamente la acl correspondiente) “http_access allow nombre_acl”
- 10. Ramón Jesús Suárez Pérez 2ºASIR Cambiando el nombre a nuestro proxy Es posible cambiar el nombre que nuestro proxy muestra a la hora de bloquear el acceso a cierto contenido. Para cambiar el nombre a nuestro proxy debemos buscar la linea “visible_hostname” dentro del fichero “/etc/squid3/squid.conf”. En dicha linea podremos especificar el nombre de nuestro proxy.
- 11. Ramón Jesús Suárez Pérez 2ºASIR Configuración en Webmin Para poder acceder a configurar squid3 desde Webmin, primero hemos de instalar el módulo adecuado. Para ello, nos dirigiremos a: “Webmin Configuración de Webmin Módulos de Webmin” Una vez dentro del menú de instalación de módulos de webmin, procederemos a instalar el módulo estandar “squid”
- 12. Ramón Jesús Suárez Pérez 2ºASIR Hecho esto, podremos observar como squid3 dispondrá de un menú de configuración en webmin bajo el nombre “Squid – Servidor Proxy” dentro de la categoría “Servidores”. Tras acceder a dicho menú de administración, haremos clic en la utilidad “Control de Acceso”. Una vez dentro del menú de control de acceso podemos observar varias pestañas. En la pestaña de “listas de control de Acceso” podemos observar las ACLs definidas en nuestro sistema. Para definir una nueva ACL mediante Webmin, nos dirigiremos a la parte inferior de la página, donde debemos especificar el tipo de acl y una vez hecho esto pulsar en “Crear nueva ACL”.
- 13. Ramón Jesús Suárez Pérez 2ºASIR La acción anterior lanzará un nuevo formulario html en el que podremos definir los diferentes parámetros de la ACL. En este caso definición de dominios. Hecho esto, únicamente tendremos que hacer clic en “Salvar” para almacenar la ACL. Para aprobar o denegar una determinada ACL, nos dirigiremos a la pestaña ”Restricciones Proxy” y haremos clic en el enlace “Añadir restricción proxy”.
- 14. Ramón Jesús Suárez Pérez 2ºASIR A continuación elegiremos la ACL sobre la que queremos trabajar del listado (es necesario haberla especificado antes mediante el paso anterior) y especificaremos la acción a realizar (Permitir o Denegar). Recordemos que la posición de las restricciones llevadas a cabo en nuestro proxy juega un papel importante en el funcionamiento de este… Podemos hacer uso de las flechas para cambiar el orden de las acls en el fichero de configuración. Las acls deben de especificarse en el fichero de manera ordenada ya que las acls superiores tendrán prioridad sobre las inferiores. Recordemos que después de llevar a cabo algún cambio en este servicio será necesario “Aplicar cambios” y reiniciar Squid3.
- 15. Ramón Jesús Suárez Pérez 2ºASIR Comprobación de acl definida desde webmin:
- 16. Ramón Jesús Suárez Pérez 2ºASIR Proxy transparente Para montar nuestro servidor proxy de forma transparente al usuario, será necesario disponer de un segundo adaptador de red. En nuestro caso, al estar funcionando con una máquina virtual, podemos agregarlo fácilmente desde el panel de configuración de este. Una vez agregado, lo configuraremos de forma manual para asignarle una dirección IP estática en otra subred. El archivo de configuración para llevar a cabo esta operación lo encontraremos en: “/etc/networking/interfaces”
- 17. Ramón Jesús Suárez Pérez 2ºASIR Tras reiniciar el servicio de red mediante el comando: “sudo /etc/init.d/networking restart” Podremos comprobar mediante la utilidad “ifconfig” que la configuración de red se ha aplicado de forma correcta. Una vez configurado nuestro segundo adaptador de forma estática, accederemos al fichero de configuración de squid3 (/etc/squid3/squid.conf) para activar el modo transparente añadiendo a la línea “http_port 3128” la cláusula “transparent”.
- 18. Ramón Jesús Suárez Pérez 2ºASIR Hecho esto, tras reiniciar el servicio nuestro proxy estará activo de manera invisible (transparente) para el usuario, de manera que el usuario no tendrá que tener activo el proxy en su navegador. Los equipos clientes deberán de utilizar como puerta de enlace la dirección IP de nuestro segundo adaptador, obligando así a redirigir el tráfico hacia nuestro proxy. Ahora únicamente faltará realizar unos últimos ajustes para redirigir el tráfico entrante de nuestra subred (segundo adaptador), hacia nuestro primer adaptador con conexión a internet a través del puerto 3128 (puerto por defecto de squid3) y viceversa, es decir montar el puente de conexión para que los clientes de nuestra subred puedan acceder a internet usando obligatoriamente nuestro proxy. Esta acción la llevaremos a cabo mediante los siguientes comandos:
- 19. Ramón Jesús Suárez Pérez 2ºASIR Podemos valernos del siguiente script si tenemos dificultades a la hora de redirigir manualmente las conexiones: #!/bin/sh # squid server IP SQUID_SERVER="192.168.1.1" # Interface connected to Internet INTERNET="eth0" # Interface connected to LAN LAN_IN="eth1" # Squid port SQUID_PORT="3128" # DO NOT MODIFY BELOW # Clean old firewall iptables -F iptables -X iptables -t nat -F iptables -t nat -X iptables -t mangle -F iptables -t mangle -X # Load IPTABLES modules for NAT and IP conntrack support modprobe ip_conntrack modprobe ip_conntrack_ftp # For win xp ftp client #modprobe ip_nat_ftp echo 1 > /proc/sys/net/ipv4/ip_forward # Setting default filter policy iptables -P INPUT DROP iptables -P OUTPUT ACCEPT # Unlimited access to loop back iptables -A INPUT -i lo -j ACCEPT iptables -A OUTPUT -o lo -j ACCEPT # Allow UDP, DNS and Passive FTP iptables -A INPUT -i $INTERNET -m state --state ESTABLISHED,RELATED -j ACCEPT # set this system as a router for Rest of LAN iptables --table nat --append POSTROUTING --out-interface $INTERNET -j MASQUERADE iptables --append FORWARD --in-interface $LAN_IN -j ACCEPT # unlimited access to LAN iptables -A INPUT -i $LAN_IN -j ACCEPT iptables -A OUTPUT -o $LAN_IN -j ACCEPT # DNAT port 80 request comming from LAN systems to squid 3128 ($SQUID_PORT) aka transparent proxy iptables -t nat -A PREROUTING -i $LAN_IN -p tcp --dport 80 -j DNAT --to $SQUID_SERVER:$SQUID_PORT # if it is same system iptables -t nat -A PREROUTING -i $INTERNET -p tcp --dport 80 -j REDIRECT --to-port $SQUID_PORT # DROP everything and Log it iptables -A INPUT -j LOG iptables -A INPUT -j DROP
- 20. Ramón Jesús Suárez Pérez 2ºASIR Si hemos llevado a cabo todas las configuraciones de forma correcta, nuestro proxy invisible deberá de estar totalmente activo. Ejemplo de acceso a una web no autorizada (en nuestro caso Facebook)
- 21. Ramón Jesús Suárez Pérez 2ºASIR Interesante (Proxy vs Proxy) Para evitar las acls de dominio de un determinado proxy, podemos hacer uso otro servidor proxy que no esté denegado en ellas. Un ejemplo de proxy de los más utilizados para eludir estos controles es: http://anonymouse.org/ No obstante si el proxy dispone de un filtrado de palabras (lista negra) este método no funcionará.