Как установить и настроить прокси-сервер Squid в Ubuntu
Рассказываем о том, как установить и настроить шлюзы сети. А также подробно разбираем установку и настройку прокси-сервера Squid.
Введение
В этому мануале рассмотрим установку и настройку прокси-сервера Squid. Инсталляцию установим на операционную систему Ubuntu 20.04 семейства Linux и коротко рассмотрим, как установить на Windows. Также в этой инструкции мы расскажем, как использовать сервер в качестве шлюза для сети.
О Squid
Это кэширующий прокси-сервер для интернета, поддерживающий HTTP, HTTPS, FTP и не только. Он снижает пропускную способность и улучшает время отклика за счет кэширования и повторного использования часто запрашиваемых веб-страниц.
У Squid широкие возможности контроля доступа и он является отличным ускорителем сервера. Он работает на большинстве доступных операционных систем, включая Windows, и лицензируется по лицензии GNU GPL.
По-простому 一 это прокси-сервер, посредник между клиентом (компьютером пользователя) и ресурсом (сайтом, сервером). Клиент отправляет запрос к ресурсу через прокси-сервер, который, в свою очередь, либо делает запрос от своего имени и возвращает ответ клиенту, либо берет его из кэша.
Пример
Отец отправляет ребенка в конкретный магазин за хлебом. Ребенок знает, где расположен магазин, идет и покупает хлеб от своего имени и несет хлеб домой. Это пример работы прокси-сервера с использованием кэша. Если немного изменить ситуацию и ребенок не знает, где магазин, он его находит и возвращается домой с хлебом. Это пример работы прокси-сервера без использования кэша. При правильной настройке ребенок запомнит местоположение магазина, а мы получим кэширующий прокси-сервер.
Теперь следует немного разобраться с настройками сети в Ubuntu 20.04. В случае простой настройки прокси-сервера для анонимизации нам потребуется сервер с одним сетевым интерфейсом. В нашем случае сервер будет настроен как простой шлюз, через который будут проходить запросы клиентов, поэтому сетевых интерфейсов потребуется 2.
Настройка сети
Предварительная настройка сети
Предварительно настроим сетевые интерфейсы. В используемой для создания мануала системе два физических сетевых интерфейса: eth0 и eth1. Они будут настроены следующим образом: eth0 будем использовать для работы в сети интернет, а eth1 настроим на взаимодействие с локальной сетью. Настройку производим с использованием утилиты Netplan. Этот инструмент является предпочтительным начиная с релиза Ubuntu 17.10. Настройка происходит методом создания файла конфигурации формата yaml. Создадим файл конфигурации:
sudo nano /etc/netplan/02-networkd.yaml
И установим следующие настройки:
network:
version: 2
renderer: networkd
ethernets:
eth0:
dhcp4: true
eth1:
dhcp4: false
addresses : [192.168.0.1/24]
nameservers:
addresses: [8.8.8.8]
Yaml требует строгого соблюдения пробелов, отступов и табуляции. Очень важно это учитывать при составлении файла конфигурации. Для интерфейса eth0 установлено получение адреса по dhcp, интерфейсу eth1 назначен статический IP-адрес. Проверим конфигурацию на валидность командой:
sudo netplan --debug generate
При наличии ошибок, необходимо исправить. Если все верно, применяем конфигурацию командой:
sudo netplan --debug apply
Применить конфигурацию без вывода ошибок можно так:
sudo netplan apply
DHCP
Для получения адресов в сети за шлюзом динамически используется DHCP-сервер. В данном случае будут выдаваться адреса клиентам, которые подключены через интерфейс eth1. Инсталляция DHCP-сервера происходит с использованием команды:
sudo apt install isc-dhcp-server -y
Опция -y используется для положительных ответов во время установки. Вывод:
Reading package lists... Done
Building dependency tree
Reading state information... Done
The following additional packages will be installed:
libirs-export161 libisccfg-export163
Suggested packages:
isc-dhcp-server-ldap policycoreutils
Recommended packages:
isc-dhcp-common
The following NEW packages will be installed:
isc-dhcp-server libirs-export161 libisccfg-export163
0 upgraded, 3 newly installed, 0 to remove and 0 not upgraded.
Need to get 519 kB of archives.
After this operation, 1865 kB of additional disk space will be used.
Do you want to continue? [Y/n] ^C
vlan48@apachi:~$ sudo apt install isc-dhcp-server -y
Reading package lists... Done
Building dependency tree
Reading state information... Done
The following additional packages will be installed:
libirs-export161 libisccfg-export163
Suggested packages:
isc-dhcp-server-ldap policycoreutils
Recommended packages:
isc-dhcp-common
The following NEW packages will be installed:
isc-dhcp-server libirs-export161 libisccfg-export163
0 upgraded, 3 newly installed, 0 to remove and 0 not upgraded.
Need to get 519 kB of archives.
After this operation, 1865 kB of additional disk space will be used.
Get:1 http://mirror.selectel.ru/ubuntu focal-updates/main amd64 libisccfg-export163 amd64 1:9.11.16+dfsg-3~ubuntu1 [45.9 kB]
Get:2 http://mirror.selectel.ru/ubuntu focal-updates/main amd64 libirs-export161 amd64 1:9.11.16+dfsg-3~ubuntu1 [18.6 kB]
Get:3 http://mirror.selectel.ru/ubuntu focal-updates/main amd64 isc-dhcp-server amd64 4.4.1-2.1ubuntu5.20.04.2 [455 kB]
Fetched 519 kB in 0s (5765 kB/s)
Preconfiguring packages ...
Selecting previously unselected package libisccfg-export163.
(Reading database ... 54507 files and directories currently installed.)
Preparing to unpack .../libisccfg-export163_1%3a9.11.16+dfsg-3~ubuntu1_amd64.deb ...
Unpacking libisccfg-export163 (1:9.11.16+dfsg-3~ubuntu1) ...
Selecting previously unselected package libirs-export161.
Preparing to unpack .../libirs-export161_1%3a9.11.16+dfsg-3~ubuntu1_amd64.deb ...
Unpacking libirs-export161 (1:9.11.16+dfsg-3~ubuntu1) ...
Selecting previously unselected package isc-dhcp-server.
Preparing to unpack .../isc-dhcp-server_4.4.1-2.1ubuntu5.20.04.2_amd64.deb ...
Unpacking isc-dhcp-server (4.4.1-2.1ubuntu5.20.04.2) ...
Setting up libisccfg-export163 (1:9.11.16+dfsg-3~ubuntu1) ...
Setting up libirs-export161 (1:9.11.16+dfsg-3~ubuntu1) ...
Setting up isc-dhcp-server (4.4.1-2.1ubuntu5.20.04.2) ...
Generating /etc/default/isc-dhcp-server...
Created symlink /etc/systemd/system/multi-user.target.wants/isc-dhcp-server.service → /lib/systemd/system/isc-dhcp-server.service.
Created symlink /etc/systemd/system/multi-user.target.wants/isc-dhcp-server6.service → /lib/systemd/system/isc-dhcp-server6.service.
Processing triggers for man-db (2.9.1-1) ...
Processing triggers for libc-bin (2.31-0ubuntu9.2) ...
Processing triggers for systemd (245.4-4ubuntu3.13) …
После установки отредактируем файл конфигурации DHCP-сервера, который находится: /etc/dhcp/dhcpd.conf.
Отправляем команду:
sudo nano /etc/dhcp/dhcpd.conf
Файл конфигурации по умолчанию выглядит так:
# dhcpd.conf
#
# Sample configuration file for ISC dhcpd
#
# Attention: If /etc/ltsp/dhcpd.conf exists, that will be used as
# configuration file instead of this file.
#
# option definitions common to all supported networks...
option domain-name "example.org";
option domain-name-servers ns1.example.org, ns2.example.org;
default-lease-time 600;
max-lease-time 7200;
# The ddns-updates-style parameter controls whether or not the server will
# attempt to do a DNS update when a lease is confirmed. We default to the
# behavior of the version 2 packages ('none', since DHCP v2 didn't
# have support for DDNS.)
ddns-update-style none;
# If this DHCP server is the official DHCP server for the local
# network, the authoritative directive should be uncommented.
#authoritative;
# Use this to send dhcp log messages to a different log file (you also
# have to hack syslog.conf to complete the redirection).
#log-facility local7;
# No service will be given on this subnet, but declaring it helps the
# DHCP server to understand the network topology.
#subnet 10.152.187.0 netmask 255.255.255.0 {
#}
# This is a very basic subnet declaration.
#subnet 10.254.239.0 netmask 255.255.255.224 {
# range 10.254.239.10 10.254.239.20;
# option routers rtr-239-0-1.example.org, rtr-239-0-2.example.org;
#}
# This declaration allows BOOTP clients to get dynamic addresses,
# which we don't really recommend.
#subnet 10.254.239.32 netmask 255.255.255.224 {
# range dynamic-bootp 10.254.239.40 10.254.239.60;
# option broadcast-address 10.254.239.31;
# option routers rtr-239-32-1.example.org;
#}
# A slightly different configuration for an internal subnet.
#subnet 10.5.5.0 netmask 255.255.255.224 {
# range 10.5.5.26 10.5.5.30;
# option domain-name-servers ns1.internal.example.org;
# option domain-name "internal.example.org";
# option subnet-mask 255.255.255.224;
# option routers 10.5.5.1;
# option broadcast-address 10.5.5.31;
# default-lease-time 600;
# max-lease-time 7200;
#}
# Hosts which require special configuration options can be listed in
# host statements. If no address is specified, the address will be
# allocated dynamically (if possible), but the host-specific information
# will still come from the host declaration.
#host passacaglia {
# hardware ethernet 0:0:c0:5d:bd:95;
# filename "vmunix.passacaglia";
# server-name "toccata.example.com";
#}
# Fixed IP addresses can also be specified for hosts. These addresses
# should not also be listed as being available for dynamic assignment.
# Hosts for which fixed IP addresses have been specified can boot using
# BOOTP or DHCP. Hosts for which no fixed address is specified can only
# be booted with DHCP, unless there is an address range on the subnet
# to which a BOOTP client is connected which has the dynamic-bootp flag
# set.
#host fantasia {
# hardware ethernet 08:00:07:26:c0:a5;
# fixed-address fantasia.example.com;
#}
# You can declare a class of clients and then do address allocation
# based on that. The example below shows a case where all clients
# in a certain class get addresses on the 10.17.224/24 subnet, and all
# other clients get addresses on the 10.0.29/24 subnet.
#class "foo" {
# match if substring (option vendor-class-identifier, 0, 4) = "SUNW";
#}
#shared-network 224-29 {
# subnet 10.17.224.0 netmask 255.255.255.0 {
# option routers rtr-224.example.org;
# }
# subnet 10.0.29.0 netmask 255.255.255.0 {
# option routers rtr-29.example.org;
# }
# pool {
# allow members of "foo";
# range 10.17.224.10 10.17.224.250;
# }
# pool {
# deny members of "foo";
# range 10.0.29.10 10.0.29.230;
# }
#}
Добавим в конфигурацию вот такой блок директив:
subnet 192.168.0.0 netmask 255.255.255.0 {
range 192.168.0.50 192.168.0.250;
option domain-name-servers 8.8.8.8;
option domain-name "selectel.loc";
option routers 192.168.0.1;
default-lease-time 7200;
max-lease-time 7200;
}- subnet 192.168.0.0 netmask 255.255.255.0 — подсеть, в которой будет работать DHCP;
- range 192.168.0.50 192.168.0.250; — диапазон выдаваемыех ip-адресов;
- option domain-name-servers 8.8.8.8; — dns-сервер;
- option domain-name «selectel.loc»; — домен;
- option routers 192.168.0.1; — шлюз;
- default-lease-time 7200; — время аренды IP-адреса;
- max-lease-time 7200; — максимальное время аренды IP-адреса.
В настраиваемой системе два сетевых интерфейса, поэтому в файле /etc/default/isc-dhcp-server необходимо указать интерфейс через который будет происходить выдача адресов DHPC-сервером.
sudo nano /etc/default/isc-dhcp-server
Файл в дефолтном виде выглядит вот так:
# Defaults for isc-dhcp-server (sourced by /etc/init.d/isc-dhcp-server)
# Path to dhcpd's config file (default: /etc/dhcp/dhcpd.conf).
#DHCPDv4_CONF=/etc/dhcp/dhcpd.conf
#DHCPDv6_CONF=/etc/dhcp/dhcpd6.conf
# Path to dhcpd's PID file (default: /var/run/dhcpd.pid).
#DHCPDv4_PID=/var/run/dhcpd.pid
#DHCPDv6_PID=/var/run/dhcpd6.pid
# Additional options to start dhcpd with.
# Don't use options -cf or -pf here; use DHCPD_CONF/ DHCPD_PID instead
#OPTIONS=""
# On what interfaces should the DHCP server (dhcpd) serve DHCP requests?
# Separate multiple interfaces with spaces, e.g. "eth0 eth1".
INTERFACESv4=""
INTERFACESv6=""
Исправим строку INTERFACESv4=»», добавив сюда сетевой интерфейс. INTERFACESv4=»eth1″.
Команды, которые пригодятся при работе с DHCP-сервером.
Для запуска сервера:
sudo /etc/init.d/isc-dhcp-server start
Для остановки сервера:
sudo /etc/init.d/isc-dhcp-server stop
Для перезапуска сервера:
sudo /etc/init.d/isc-dhcp-server restart
Запустим DHCP-сервер командой, указанной выше.
Вывод:
Starting isc-dhcp-server (via systemctl): isc-dhcp-server.service.
Теперь в локальной сети клиенты будут получать IP-адреса из пула 192.168.0.50-192.168.0.250. Специально оставляем адреса 192.168.0.2-192.168.0.49 для использования их в будущем в качестве статических на ресурсах локальной сети, на которых статика необходима.
NAT
NAT позволяет осуществлять выход в интернет с использованием одного публичного IP-адреса, множеством клиентов локальной сети. Первое, что требуется сделать, включить прохождение трафика между сетевыми интерфейсами сервера. По умолчанию IP forwarding выключен. Оценить состояние можно, проверив его файл с настройками, он расположен по следующему пути:
/proc/sys/net/ipv4/ip_forward
Для проверки используется утилита cat. При ее использовании в консоли отображается наполнение файла, который она просматривает.
cat /proc/sys/net/ipv4/ip_forward
Вывод по умолчанию:
0
Это подтверждает, что forwarding выключен. Включить его можно, изменив в файле конфигурации 0 на 1. Самый простой способ, который не сохраняет изменения после перезагрузки:
echo 1 | sudo tee /proc/sys/net/ipv4/ip_forward
Проверяем:
cat /proc/sys/net/ipv4/ip_forward
Вывод:
1
Чтобы установить значение которое не вернется к 0 после перезагрузки необходимо отредактировать файл ip_forward.
sudo nano /proc/sys/net/ipv4/ip_forward
Установим значение 1 и сохраним.
Теперь настраиваем брандмауэр. Перед добавлением правил установим плагин iptables, чтобы не возникло необходимости добавлять правила в автозагрузку.
sudo apt install iptables-persistent -y
Вывод:
Reading package lists... Done
Building dependency tree
Reading state information... Done
The following NEW packages will be installed:
iptables-persistent
0 upgraded, 1 newly installed, 0 to remove and 0 not upgraded.
Need to get 6496 B of archives.
After this operation, 48.1 kB of additional disk space will be used.
Get:1 http://mirror.selectel.ru/ubuntu focal/universe amd64 iptables-persistent all 1.0.14 [6496 B]
Fetched 6496 B in 0s (442 kB/s)
Preconfiguring packages ...
Selecting previously unselected package iptables-persistent.
(Reading database ... 54557 files and directories currently installed.)
Preparing to unpack .../iptables-persistent_1.0.14_all.deb ...
Unpacking iptables-persistent (1.0.14) ...
Setting up iptables-persistent (1.0.14) ...
update-alternatives: using /lib/systemd/system/netfilter-persistent.service to provide /lib/systemd/system/iptables.service (iptables.service) in auto mode
Добавим правила для работы NAT.
sudo iptables -t nat -A POSTROUTING -o eth0 -s 192.168.0.1/24 -j MASQUERADE
sudo iptables -A FORWARD -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT
И сохраним их:
sudo netfilter-persistent save
Вывод:
run-parts: executing /usr/share/netfilter-persistent/plugins.d/15-ip4tables save
run-parts: executing /usr/share/netfilter-persistent/plugins.d/25-ip6tables save
Настройка Squid
Команды управления процессом
Прежде чем установить прокси-сервер Squid, необходимо ознакомиться с командами управления процессом, а также с директориями важных файлов.
Запуск демона Squid:
sudo systemctl start squid
Статус:
sudo systemctl status squid
Добавить демона Squid в автозагрузку:
sudo systemctl enable squid
Перезапустить:
sudo systemctl restart squid
Остановить процесс Squid:
sudo systemctl stop squid
Убрать из автозагрузки:
sudo systemctl disable squid
Важные файлы и директории рассмотрены далее в инструкции, основные моменты настройки и проверки будут произведены с их использованием:
- /etc/squid/squid.conf 一 основной файл конфигурации Squid;
- /var/log/squid/access.log 一 файл доступа;
- /var/log/squid/cache.log 一 лог кэша.
Установка Squid
Теперь перейдем непосредственно к установке. Отправим в терминал команду:
sudo apt -y install squid -y
Вывод процесса установки:
Reading package lists... Done
Building dependency tree
Reading state information... Done
The following additional packages will be installed:
libdbi-perl libecap3 squid-common squid-langpack
Suggested packages:
libclone-perl libmldbm-perl libnet-daemon-perl libsql-statement-perl squidclient squid-cgi squid-purge
smbclient ufw winbind
The following NEW packages will be installed:
libdbi-perl libecap3 squid squid-common squid-langpack
0 upgraded, 5 newly installed, 0 to remove and 0 not upgraded.
Need to get 3670 kB of archives.
After this operation, 15.7 MB of additional disk space will be used.
Get:1 http://mirror.selectel.ru/ubuntu focal/main amd64 libecap3 amd64 1.0.1-3.2ubuntu1 [17.4 kB]
Get:2 http://mirror.selectel.ru/ubuntu focal/main amd64 squid-langpack all 20191103-1 [167 kB]
Get:3 http://mirror.selectel.ru/ubuntu focal-updates/main amd64 squid-common all 4.10-1ubuntu1.5 [194 kB]
Get:4 http://mirror.selectel.ru/ubuntu focal-updates/main amd64 libdbi-perl amd64 1.643-1ubuntu0.1 [730 kB]
Get:5 http://mirror.selectel.ru/ubuntu focal-updates/main amd64 squid amd64 4.10-1ubuntu1.5 [2562 kB]
Fetched 3670 kB in 0s (21.2 MB/s)
Selecting previously unselected package libecap3:amd64.
(Reading database ... 54563 files and directories currently installed.)
Preparing to unpack .../libecap3_1.0.1-3.2ubuntu1_amd64.deb ...
Unpacking libecap3:amd64 (1.0.1-3.2ubuntu1) ...
Selecting previously unselected package squid-langpack.
Preparing to unpack .../squid-langpack_20191103-1_all.deb ...
Unpacking squid-langpack (20191103-1) ...
Selecting previously unselected package squid-common.
Preparing to unpack .../squid-common_4.10-1ubuntu1.5_all.deb ...
Unpacking squid-common (4.10-1ubuntu1.5) ...
Selecting previously unselected package libdbi-perl:amd64.
Preparing to unpack .../libdbi-perl_1.643-1ubuntu0.1_amd64.deb ...
Unpacking libdbi-perl:amd64 (1.643-1ubuntu0.1) ...
Selecting previously unselected package squid.
Preparing to unpack .../squid_4.10-1ubuntu1.5_amd64.deb ...
proxy:x:13:13:proxy:/bin:/usr/sbin/nologin
Unpacking squid (4.10-1ubuntu1.5) ...
Setting up squid-langpack (20191103-1) ...
Setting up libdbi-perl:amd64 (1.643-1ubuntu0.1) ...
Setting up libecap3:amd64 (1.0.1-3.2ubuntu1) ...
Setting up squid-common (4.10-1ubuntu1.5) ...
Setting up squid (4.10-1ubuntu1.5) ...
Setcap worked! /usr/lib/squid/pinger is not suid!
Skipping profile in /etc/apparmor.d/disable: usr.sbin.squid
Created symlink /etc/systemd/system/multi-user.target.wants/squid.service → /lib/systemd/system/squid.service.
Processing triggers for systemd (245.4-4ubuntu3.13) ...
Processing triggers for man-db (2.9.1-1) ...
Processing triggers for libc-bin (2.31-0ubuntu9.2) ...
Для начала нас интересует основной файл конфигурации. Он большой, чтобы полностью его читать, но если хочется подсчитать количество строк, можно использовать вот такую команду:
wc -l /etc/squid/squid.conf
Вывод:
8586 /etc/squid/squid.conf
Копируем файл, чтобы сохранить стандартную конфигурацию на случай непредвиденных обстоятельств.
sudo cp /etc/squid/squid.conf /etc/squid/squid_back.conf
Вывести из файла все не закомментированные строки можно с использованием команды:
grep -v '^ *#\|^ *$' /etc/squid/squid.conf
Вывод:
acl localnet src 0.0.0.1-0.255.255.255 # RFC 1122 "this" network (LAN)
acl localnet src 10.0.0.0/8 # RFC 1918 local private network (LAN)
acl localnet src 100.64.0.0/10 # RFC 6598 shared address space (CGN)
acl localnet src 169.254.0.0/16 # RFC 3927 link-local (directly plugged) machines
acl localnet src 172.16.0.0/12 # RFC 1918 local private network (LAN)
acl localnet src 192.168.0.0/16 # RFC 1918 local private network (LAN)
acl localnet src fc00::/7 # RFC 4193 local private network range
acl localnet src fe80::/10 # RFC 4291 link-local (directly plugged) machines
acl SSL_ports port 443
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 # https
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl CONNECT method CONNECT
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow localhost manager
http_access deny manager
include /etc/squid/conf.d/*
http_access allow localhost
http_access deny all
http_port 3128
coredump_dir /var/spool/squid
refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern -i (/cgi-bin/|\?) 0 0% 0
refresh_pattern \/(Packages|Sources)(|\.bz2|\.gz|\.xz)$ 0 0% 0 refresh-ims
refresh_pattern \/Release(|\.gpg)$ 0 0% 0 refresh-ims
refresh_pattern \/InRelease$ 0 0% 0 refresh-ims
refresh_pattern \/(Translation-.*)(|\.bz2|\.gz|\.xz)$ 0 0% 0 refresh-ims
refresh_pattern . 0 20% 4320
Перезаписать файл только строками без комментариев можно вот так:
sudo grep -v '^ *#\|^ *$' /etc/squid/squid.conf > ~/squid.conf
sudo cp ~/squid.conf /etc/squid/squid.conf
Теперь можно добавить Squid в автозагрузку командой:
sudo systemctl enable squid
Проверить состояние возможно отправкой следующей команды:
sudo systemctl status squid
Вывод:
● squid.service - Squid Web Proxy Server
Loaded: loaded (/lib/systemd/system/squid.service; enabled; vendor preset: enabled)
Active: active (running) since Wed 2021-11-17 12:24:31 UTC; 49min ago
Docs: man:squid(8)
Main PID: 3313 (squid)
Tasks: 4 (limit: 1105)
Memory: 15.9M
CGroup: /system.slice/squid.service
├─3313 /usr/sbin/squid -sYC
├─3315 (squid-1) --kid squid-1 -sYC
├─3343 (logfile-daemon) /var/log/squid/access.log
└─3347 (pinger)
Nov 17 12:24:31 apachi squid[3315]: Finished loading MIME types and icons.
Nov 17 12:24:31 apachi squid[3315]: HTCP Disabled.
Nov 17 12:24:31 apachi squid[3315]: Pinger socket opened on FD 14
Nov 17 12:24:31 apachi squid[3315]: Squid plugin modules loaded: 0
Nov 17 12:24:31 apachi squid[3315]: Adaptation support is off.
Nov 17 12:24:31 apachi squid[3315]: Accepting HTTP Socket connections at local=[::]:3128 remote=[::] FD 12 flags=9
Nov 17 12:24:32 apachi squid[3315]: storeLateRelease: released 0 objects
Nov 17 13:09:57 apachi squid[3315]: Logfile: opening log stdio:/var/spool/squid/netdb.state
Nov 17 13:09:57 apachi squid[3315]: Logfile: closing log stdio:/var/spool/squid/netdb.state
Nov 17 13:09:57 apachi squid[3315]: NETDB state saved; 0 entries, 0 msec
Основные настройки Squid
Прежде чем начнется изменение файла конфигурации, соберем немного важной информации, которая касается логики обработки файла конфигурации при выполнении программы.
- Конфигурация обрабатывается построчно как при работе правил файрвола. Если поставить запрещающую строку выше разрешающей, то работа будет неправильной.
- В файле конфигурации есть строка http_port 3128, в этой строке указывается порт, на котором работает сервис, а также в этой директиве можно указать IP-адрес, который станет слушать подключения. Если интерфейс прослушивания не указать, то Squid слушает все существующие интерфейсы.
В рамках этой инструкции изменение порта и интерфейса нас не интересуют, перейдем к дальнейшей настройке. Для работы Squid используются списки контроля доступа (ACL). Синтаксис списка доступа следующий: acl имя_списка параметр содержимое.
Таким образом строка: acl localnet src 172.16.0.0/12 добавляет список с именем localnet, в котором объявляется пул IP-адресов (172.16.0.0-172.31.255.255) для входящих соединений (параметр src). Список адресов можно создать также с помощью отдельного файла, в рамках этой инструкции в этом нет необходимости, но знать об этом стоит.
Для обработки списков контроля доступа используется директива http_access. Синтаксис выглядит следующим образом:
http_access инструкция acl
Разберем пример на списке доступа с именем localnet:
http_access allow localnet
Разрешает доступ к прокси-серверу, списку с именем localnet.
Настройка прозрачного прокси-сервера
На данном этапе настроим прокси-сервер для работы в прозрачном режиме. Само понятие прозрачный прокси-сервер подразумевает собой настройку сервера таким образом, чтобы клиенту не пришлось вносить никаких правок в свой интернет-обозреватель. Правила прокси-сервера будут работать для этой рабочей станции без участия пользователя в этом процессе. Продолжим редактировать основной файл конфигурации. Для настройки Squid в прозрачном режиме вернемся в директиве http_port и изменим ее следующим образом:
http_port 192.168.0.1:3128 intercept
Применив указанную директиву, прокси-сервер станет слушать порт 3128 на сетевом интерфейсе с IP-адресом 192.168.0.1. Параметр intercept включает работу прокси в прозрачном режиме.
Параметры acl-листа
Продолжим настройку и разберемся более детально со списками и указаниями. В acl-листе возможно выставить множество указаний, в том числе с использованием регулярных выражений для более тонкой настройки прокси-сервера. Разберем некоторые из них.
Src
Один из первых параметров, который разберем 一 src. Он указывает адрес источника, с которого пришел запрос. Адресов может быть несколько, например:
acl Client1 src 172.16.0.100
В данном случае в acl-лист Client1 будет добавлен адрес 172.16.0.100 для обработки при входящем соединении. Это пример для одного IP-адреса.
Следующий пример для нескольких:
acl PoolUs src 172.16.0.1-172.16.0.255
или
acl PoolUs src 172.16.0.0/24
Пул IP-адресов возможно указать в разных форматах, как показано на примере.
Dst
По похожему принципу работает параметр dst. Только обрабатывает он ресурсы, к которым клиент пытается получить доступ. Вот так выглядит синтаксис:
acl drovSrv dst 172.16.0.11
Где drovSrv 一 имя создаваемого списка, dst 一 обрабатываемое направление, 172.16.0.11 一 IP-адрес, к которому обращается клиент.
Пример приведен для обработки одного адреса. Для пула адресов синтаксис выглядит так:
acl drovSrv dst 172.16.0.1-172.16.0.255
acl drovSrv dst 172.16.0.0/24
Следующий параметр dstdomain указывает домен, к которому пытается обратиться клиент.
Синтаксис:
acl accessRes dstdomain .temp.ru
Можно указать один или несколько доменов в списке.
Srcdomain
При появлении задачи с указанием домена источника требуется использовать srcdomain. Синтаксис выглядит следующим образом:
acl dropRes srcdomain .temp.ru
В некоторых случаях удобнее использовать параметры dstdom_regex или srcdom_regex. Они удобны тем, что позволяют использовать регулярные выражения.
acl org srcdom_regex \.org$
Например, весь домен .org.
Url_regex
Параметр url_regex позволяет обработать шаблон регулярного выражения в ссылке.
acl videosAvi url_regex \.avi$
Директива, указанная в примере, позволяет добавить в acl-список для обработки видеофайлы формата avi. Очень удобно использовать url_regex с ключом -i , так как он позволяет игнорировать регистр символов при использовании регулярных выражений.
Proto и port
Теперь рассмотрим параметр для протоколов proto и портов port. Его синтаксис:
acl exa proto http
В примере выше обрабатываются обращения по протоколу http.
Следующая директива port позволяет обработать один или несколько портов.
Для одного:
acl eth port 80
Для нескольких:
acl eth port 475-556
Time
Еще одна важная директива, которую следует рассмотреть: time.
Синтаксис:
acl timeCom time days hh:mm-hh:mm
Проще всего понять принцип работы этой директиве на примере:
acl timeCom time MTWHF 12:00-13:00
В приведенном выше списке добавлена неделя с понедельника по пятницу, со временем с 12:00 до 13:00.
Параметры для тонкой настройки
На данном этапе разобраны основные типы элементов acl. Есть еще некое количество элементов, которые понимает Squid, но в этой инструкции они не описываются, т.к используются для более профессиональной настройки.
Ниже приведем краткий список, чтобы было понимание, что можно найти и использовать помимо основных.
- myip 一 локальный IP-адрес клиентского соединения;
- urlpath_regex 一 шаблон регулярного выражения для части URL, исключая протокол и имя хоста;
- myport 一 номер локального порта, куда подключается клиент;
- browser 一 шаблон регулярного выражения, совпадающего с заголовком user-agent из запроса;
- ident 一 строка совпадения с именем пользователя;
- req_mime_type 一 шаблон регулярного выражения для заголовка content-type запроса;
- arp 一 Ethernet MAC-адрес;
- ident_regex 一 шаблон регулярного выражения имени пользователя;
- src_as 一 номер автономной системы источника (клиент);
- dst_as 一 номер автономной системы назначения (сервер);
- proxy_auth 一 аутентификация пользователя через внешний процесс;
- proxy_auth_regex 一 регулярное выражение аутентификации пользователя через внешний процесс;
- snmp_community 一 строка SNMP-сообщества;
- maxconn 一 ограничение максимального количества соединений с одного клиентского IP-адреса,
- arp 一 Ethernet (MAC)-адрес.
Правила доступа
Теперь разберем типы правил доступа. Для начала немного о самой логике и принципах работы правил доступа.
- Правило состоит из указания deny или allow с указанием имени списка контроля доступа.
- В правиле возможно использование одного или нескольких списков контроля доступа.
- При использовании нескольких acl в правиле использовано логическое «И». Следует это учитывать при добавлении элементов, т.к правило не сработает если верно только одно значение.
- Проверка происходит построчно.
- Отличным вариантом является запретить все, кроме того что разрешено.
Синтаксис правил доступа следующий:
http_access allow acl
- где http_access 一 тип правила доступа;
- allow 一 указание;
- acl 一 имя списка контроля доступа.
Тем самым правило http_access allow Client1 разрешает доступ acl с именем Client1. При комбинировании acl/правило всегда следует помнить, что список контроля доступа использует логическое «ИЛИ», а в правиле используется логическое «И». Тем самым, вот такое правило синтаксически создать можно, но работать оно не будет.
acl sr_pc1 172.16.0.11
acl sr_srv 172.16.0.222
http_access allow sr_pc1 sr_srv
Есть несколько путей решения. Первый 一 добавить IP-адреса в один acl.
acl sr_pc1_a_srv 172.16.0.11 172.16.0.222
http_access allow sr_pc1_a_srv
Второй 一 создать 2 отдельных правила.
acl sr_pc1 172.16.0.11
acl sr_srv 172.16.0.222
http_access allow sr_pc1
http_access allow sr_srv
В большинстве случаев используется именно тип правила http_access.
Далее будут перечислены некоторые типы списков доступа, которые не будут раскрыты в этой инструкции, но знание об их существовании в дальнейшем может потребоваться.
- no_cache 一 объявляет ответы, которые не будет попадать в кэш;
- redirector_access 一 проверяет, какие запросы должны пройти через процесс редиректор;
- miss_access 一 разрешает неким клиентам передавать cache misses через ваш кэш;
- always_direct 一 контролирует, какие запросы всегда должны посылаться напрямую к серверу назначения;
- never_direct 一 проверяет запросы, которые никогда не должны посылаться напрямую к серверу назначения;
- snmp_access 一 контролирует доступ клиентов к кэшу по SNMP;
- broken_posts 一 определяет запросы, для которых squid добавляет дополнительный CRLF после сообщений POST как требуют некоторые неправильно функционирующие сервера.
- cache_peer_access 一 контролирует, какие запросы должны быть переданы соседскому кэшу (peer).
Ограничение скорости
В Squid ограничение скорости настраивается с использованием параметра delay_pools. Логика работы следующая: каждый запрашиваемый объект попадает сначала в пул, потом передается на клиента. У каждого пула 2 параметра: скорость заполнения и размер буфера.
Скорость заполнения пула определяется классом, директива delay_class.
Возможно несколько вариантов:
- общее ограничение скорости загрузки всем;
- общее ограничение скорости загрузки и скорость каждого клиента;
- общее ограничение скорости загрузки, скорости группы (сети), а также каждого клиента;
- все ограничения предыдущего класса и ограничение отдельных пользователей 一 для этого потребуется аутентификация пользователей;
- запросы объединяются по тегам определяемым директивой external_acl.
Директива delay_parameters назначает параметры пула.
Тип записей delay_parameters с выбранным классом:
- delay_parameters “номер пула” “общие ограничения для всех”
- delay_parameters “номер пула” “общие ограничения для всех” “ограничения для хоста”
- delay_parameters “номер пула” “общие ограничения для всех” “ограничения для подсети” “ограничения для хоста”
- delay_parameters “номер пула” “общие ограничения для всех” “ограничения для подсети” “ограничения для хоста” “ограничения для пользователя”
- delay_parameters “номер пула” “тегированные ограничения”
Для отдельных клиентов сети используется директива delay_access. Логика работы следующая:
delay_access номер_пула указание имя_acl
Указание осуществляет 2 операции deny и allow 一 запретить и разрешить. Указание действует на тот пул, которому разрешен, и не действует на запрещенные.
Таким образом, delay_access 1 allow gr_1 оказывает воздействия пула №1 для acl gr_1,
а строка delay_access 1 deny gr_2 не обрабатывает gr_2.
Пример работы
Укажем количество пулов:
delay_pools 2
Присвоим класс первому пулу:
delay_class 1 1
Присвоим класс второму пулу:
delay_class 2 1
Разрешить доступ к пулу №1 пользователям,состоящим в списке us_groupe_1:
delay_access 1 allow us_groupe_1
Запрещаем всем остальным доступ к этому пулу:
delay_access 1 deny all
Разрешить доступ к пулу №2 пользователям, состоящим в списке us_groupe_2:
delay_access 2 allow us_groupe_2
Запрещаем всем остальным доступ в этот пул:
delay_access 2 deny all
Настраиваем параметры пулов. Первому пулу оставляем настройку без ограничения размера буфера и скорости:
delay_parameters 1 -1/-1
Второму пулу ограничиваем размер буфера и скорость до 64 кБ/с:
delay_parameters 2 8000/8000
О настройке Squid на Windows
Произвести установку возможно как на десктопную операционную систему, так и на серверную.
Скачать установщик для windows возможно здесь. Процесс установки крайне прост.
Нажимаем кнопка Next
Дальше читаем и принимаем соглашение. Нажимаем Next. Выбираем директорию для установки Squid
Даем разрешение на установку от имени администратора. Нажимаем кнопку Install.
Заканчиваем процесс установки, нажимая на Finish.
Учитывая установку на диск D в данном примере, файл конфигурации расположен по пути:
D:\Squid\etc\squid\squid.conf
При установке по умолчанию, путь файла конфигурации следующий:
C:\Squid\etc\squid\squid.conf
Все настройки файла конфигурации идентичны с настройкой файла конфигурации в Ubuntu.
Заключение
В этой инструкции мы разобрали основы установки и настройки шлюза сети. А также подробно разобрали установку и настройку прокси-сервера Squid.