PDF de programación - Linux: info y utilidades del squid web proxy

Linux: info y utilidades del squid web proxy

Indice
1. Software de Proxy
2. Cómo configurar Squid: Servidor Proxy.
3. Cómo configurar Squid: Restricción de acceso a sitios Web.
4. Cómo configurar Squid: Acceso por Autenticación.
5. Bibliografía

1. Software de Proxy

Existe una variedad de paquetes de software de proxy para Linux. Algunos son a nivel de aplicación (como SQUID) y otros son a nivel de sesión (como
SOCKS). Squid es un proxy a nivel de aplicación para HTTP, HTTPS y FTP. También puede ejecutar peticiones DNS bastate más rápido de lo que puede
hacerlo la mayoría del software cliente. SQUID es ideal para acelerar el acceso a www, y para controlar el acceso a sitios web (utilizando paquetes como
squidGuard).
Squid es el servidor Proxy más popular y extendido entre los sistemas operativos basados sobre UNIX®. Es muy confiable, robusto y versátil. Al ser
software libre, además de estar disponible el código fuente, está libre del pago de costosas licencias por uso o con restricción a un uso con determinado
número de usuarios.
Entre otras cosas, Squid puede hacer Proxy y cache con los protocolos HTTP, FTP, GOPHER y WAIS, Proxy de SSL, cache transparente, WWCP,
aceleración HTTP, cache de consultas DNS y más.

2. Cómo configurar Squid: Servidor Proxy.

Software requerido.
Para poder llevar la cabo los procedimientos descritos en este manual y documentos relacionados, usted necesitará tener instalado al menos lo siguiente:

squid-2.4.STABLE1
iptables-1.2.4
kernel-2.4.9

Tómese en consideración que, de ser posible, se debe utilizar la versión estable más reciente de todo el software que vaya a instalar al realizar los
procedimientos descritos en este manual, a fin de contar con los parches de seguridad necesarios. Ninguna versión de Squid anterior a la 2.4.STABLE1 se
considera como apropiada debido a fallas de seguridad de gran importancia, y ningún administrador competente utilizaría una versión inferior a la
2.4.STABLE1. Por favor visite el sito Web de su distribución predilecta para estar al tanto de cualquier aviso de actualizaciones de seguridad. Ejemplo:
para Red Hat Linux 7.1 y 7.2 hay paquetería de actualización en los siguientes enlaces:

ftp://updates.redhat.com/7.1/en/os/i386/, si posee alguna distribución basada sobre Red Hat(TM) Linux 7.1
ftp://updates.redhat.com/7.2/en/os/i386/, si posee alguna distribución basada sobre Red Hat(TM) Linux 7.2

Instalación del software necesario.
Regularmente Squid no se instala de manera predeterminada a menos que especifique o contrario durante la instalación del sistema operativo, sin embargo
viene incluido en casi todas las distribuciones actuales. El procedimiento de instalación es exactamente el mismo que con cualquier otro software:

mount /mnt/cdrom/

rpm -Uvh /mnt/cdrom/*/RPMS/squid-*.i386.rpm

eject



Iptables se utilizará para un guión de Enmascaramiento de IP. Se instala por defecto en todas las distribuciones actuales que utilicen kernel-2.4.

Es importante tener actualizado el kernel por diversas cuestiones de seguridad. No es recomendable utilizar versiones del kernel anteriores a la 2.4.9. En el
manual "Cómo actualizar el Kernel a partir de paquetes RPM®" se describe a detalle lo necesario.

Antes de continuar
Tenga en cuenta que este manual ha sido comprobado varias veces y ha funcionado en todos los casos y si algo no fucniona solo significa que ustesd no lo
leyó a detalle y no siguió correctamente las indicaciones.
Evite dejar espacios vacios en lugares indebidos. El siguiente es un ejemplo de como no debe descomentarse un parámetro.

Mal

# Opción incorrectamente descomentada

http_access 3128



El siguiente es un ejemplo de como si debe descomentarse un parámetro.

Bien

# Opción correctamente descomentada

http_access 3128



Squid utiliza el fichero de configuración localizado en /etc/squid/squid.conf, y podrá trabajar sobre este utilizando su editor de texto preferido. Existen un

gran número de parámetros, de los cuales recomendamos configurar los siguientes:

Configuración básica.

http_port
cache_mem
ftp_user
ftp_passive
cache_dir
Al menos una Lista de Control de Acceso
Al menos una Regla de Control de Acceso
cache_mgr
httpd_accel_host
httpd_accel_port
httpd_accel_with_proxy

Parámetro http_port: ¿Que puerto utilizar para Squid?
Squid por defecto utilizará el puerto 3128 para atender peticiones, sin embargo se puede especificar que lo haga en cualquier otro puerto o bien que lo haga
en varios puertos a la vez.
En el caso de un Proxy Transparente, regularmente se utilizará el puerto 80 y se valdrá del re-direccionamiento de peticiones de modo tal que no habrá
necesidad alguna de modificar la configuración de los navegadores Web para utilizar el servidor Proxy. bastará con utilizar como puerta de enlace al
servidor. Es importante recordar que los servidores Web, como Apache, también utilizan dicho puerto, por lo que será necesario reconfigurar el servidor
Web para utiliza otro puerto disponible, o bien desinstalar o deshabilitar el servidor Web.
Hoy en día ya no es del todo práctico el utilizar un Proxy Transparente, a menos que se trate de un servicio de Café Internet u oficina pequeña, siendo que
uno de los principales problemas con los que lidian los administradores es el mal uso y/o abuso del acceso a Internet por parte del personal. Es por esto que
puede resultar más conveniente configurar un servidor Proxy con restricciones por contraseña, lo cual no puede hacerse con un Proxy Transparente, debido
a que se requiere un diálogo de nombre de usuario y contraseña.
Regularmente algunos programas utilizados comúnmente por los usuarios suelen traer por defecto el puerto 8080 -servicio de cacheo WWW- para utilizarse
al configurar que servidor proxy utilizar. Si queremos aprovechar esto en nuestro favor y ahorrarnos el tener que dar explicaciones innecesarias al usuario,
podemos especificar que Squid escuche peticiones en dicho puerto también. Siendo así localice la sección de definición de http_port, y especifique:

#

# You may specify multiple socket addresses on multiple lines.

#

# Default: http_port 3128

http_port 3128

http_port 8080



El parámetro cache_mem establece la cantidad ideal de memoria para lo siguiente:

Parámetro cache_mem

Objetos en tránsito.
Objetos Hot.
Objetos negativamente almacenados en el caché.

Los datos de estos objetos se almacenan en bloques de 4 Kb. El parámetro cache_mem especifica un límite máximo en el tamaño total de bloques
acomodados, donde los objetos en tránsito tiene mayor prioridad. Sin embargo los objetos Hot y aquellos negativamente almacenados en el caché podrán
utilizar la memoria no utilizada hasta que esta sea requerida. De ser necesario, si un objeto en tránsito es mayor a la cantidad de memoria especificada,
Squid excederá lo que sea necesario para satisfacer la petición.
Por defecto se establecen 8 MB. Puede especificarse una cantidad mayor si así se considera necesario, dependiendo esto de los hábitos de los usuarios o
necesidades establecidas por el administrador.
Si se posee un servidor con al menos 128 MB de RAM, establezca 16 MB como valor para este parámetro:

cache_mem 16 MB



Este parámetro se utiliza para establecer que tamaño se desea que tenga el cache en el disco duro para Squid. Para entender esto un poco mejor, responda a

esta pregunta: ¿Cuanto desea almacenar de Internet en el disco duro? Por defecto Squid utilizará un cache de 100 MB, de modo tal que encontrará la

Parámetro cache_dir: ¿Cuanto desea almacenar de Internet en el disco duro?

siguiente línea:

cache_dir ufs /var/spool/squid 100 16 256

Se puede incrementar el tamaño del cache hasta donde lo desee el administrador. Mientras más grande el cache, más objetos de almacenarán en éste y

por lo tanto se utilizará menos el ancho de banda. La siguiente línea establece un cache de 700 MB:

cache_dir ufs /var/spool/squid 700 16 256



Los números 16 y 256 significan que el directorio del cache contendrá 16 subdirectorios con 256 niveles cada uno. No modifique esto números, no hay

necesidad de hacerlo.

Es muy importante considerar que si se especifica un determinado tamaño de cache y este excede al espacio real disponible en el disco duro, Squid se
bloqueará inevitablemente. Sea cauteloso con el tamaño de cache especificado.

Parámetro ftp_user

Al acceder a un servidor FTP de manera anónima, por defecto Squid enviará como contraseña Squid @. Si se desea que el acceso anónimo a los servidores
FTP sea más informativo, o bien si se desea acceder a servidores FTP que validan la autenticidad de la dirección de correo especificada como contraseña,
puede especificarse la dirección de correo electrónico que uno considere pertinente.

ftp_user [email protected]



Parámetro ftp_passive

Si se tiene un muro contrafuegos que no permite acceder a servidores FTP más que de modo pasivo, debe habilitarse ftp_passive con el valor on.

ftp_passive on



Es necesario establecer Listas de Control de Acceso que definan una red o bien ciertas maquinas en particular. A cada lista se le asignará una Regla de
Control de Acceso que permitirá o denegará el acceso a Squid. Procedamos a entender como definir unas y otras.

Controles de acceso.

Listas de control de acceso.

Regularmente una lista de control de acceso se establece siguiendo la siguiente sintaxis:

acl [nombre de la lista] src [lo que compone a la lista]



Si uno desea establecer una lista de control de acceso que defina sin mayor trabajo adicional a toda la red local definiendo la IP que corresponde a la red y la

máscara de la sub-red. Por ejemplo, si se tienen una red donde las máquinas tienen direcciones IP 192.168.1.n con máscara de sub-red 255.255.255.0,

podemos utilizar lo siguiente:

acl miredlocal src 192.168.1.0/255.255.255.0

También puede definirse una Lista de Control de Acceso invocando un fichero localizado en cualquier parte del disco duro, y en el cual se en cuenta una
lista de direcciones IP. Ejemplo:

acl permitidos "/etc/sq