PDF de programación - Cómo configurar Squid

Cómo configurar Squid

Autor: Joel Barrios Dueñas
Correo electrónico: jbarrios arroba linuxparatodos punto netSitio Web: http://
www.linuxparatodos.net/
Jabber ID: [email protected]

Usted puede contribuir financiando la elaboración de más documentos como éste haciendo aportaciones voluntarias y
anónimas en:
Bital, Banco Internacional, S.A. (México)
Cuenta: 4007112287, Sucursal 0643
A nombre de: Joel Barrios Dueñas.

Copyright.

© 1999, © 2000, © 2001, © 2002 y © 2003 Linux Para Todos. Se permite la libre distribución y modificación de este
documento por cualquier medio y formato mientras esta leyenda permanezca intacta junto con el documento y la
distribución y modificación se hagan de de acuerdo con los términos de la Licencia Pública General GNU publicada por
la Free Software Foundation; sea la versión 2 de la licencia o (a su elección) cualquier otra posterior. La información
contenida en este documento y los derivados de éste se proporcionan tal cual son y los autores no asumirán
responsabilidad alguna si el usuario o lector hace mal uso de éstos.

1.- Parámetros básicos para servidor Proxy.

Introducción.

Squid es el software para servidor Proxy más popular y extendido entre los sistemas
operativos basados sobre UNIX®. Es muy confiable, robusto y versátil. Al ser software libre,
además de estar disponible el código fuente, está libre del pago de costosas licencias por
uso o con restricción a un uso con determinado número de usuarios.

Entre otras cosas, Squid puede hacer Proxy y cache con los protocolos HTTP, FTP, GOPHER
y WAIS, Proxy de SSL, cache transparente, WWCP, aceleración HTTP, cache de consultas DNS
y otras muchas más como filtración de contenido y control de acceso por IP y por usuario.

NOTA ESPECIAL: Squid no puede funcionar como proxy para servicios como SMTP, POP3,
TELNET, SSH, etc. Si se requiere hacer proxy para cualquier cosa distinta a HTTP, HTTPS, FTP,
GOPHER y WAIS se requerirá o bien implementar enmascaramiento de IP a través de un NAT
(Network Address Translation) o bien hacer uso de un servidor SOCKS como Dante.

Software requerido.

Para poder llevar la cabo los procedimientos descritos en este manual y documentos relacionados,
usted necesitará tener instalado al menos lo siguiente:
• squid-2.5.STABLE1
• httpd-2.0.x (Apache)
•

•

Todos los parches de seguridad disponibles para la versión de Red Hat™ que esté utilizando.

Tómese en consideración que, de ser posible, se debe utilizar siempre las versiones estables más
recientes de todo el software que vaya a instalar al realizar los procedimientos descritos en este
manual, a fin de contar con los parches de seguridad necesarios.Ninguna versión de Squid
anterior a la 2.5.STABLE1 se considera como apropiada debido a fallas de seguridad de gran

importancia, y ningún administrador competente utilizaría una versión inferior a la 2.5.STABLE1.
Por favor visite el sito Web de su distribución predilecta para estar al tanto de cualquier aviso de
actualizaciones de seguridad.

Para Red Hat™ Linux 9 hay paquetería de actualización en los siguientes enlaces:
• ftp://updates.redhat.com/9/en/os/i386/, si posee alguna distribución basada sobre Red Hat™ Linux

9

Instalación del software necesario.

Regularmente Squid no se instala de manera predeterminada a menos que especifique o contrario

durante la instalación del sistema operativo, sin embargo viene incluido en casi todas las
distribuciones actuales. El procedimiento de instalación es exactamente el mismo que con
cualquier otro software:

mount /mnt/cdrom/
rpm -Uvh /mnt/cdrom/*/RPMS/squid-*.i386.rpm
eject

Si utiliza Fedora™ Core, ejecute lo siguiente y se instalará todo lo necesario junto con sus

dependencias:

yum install squid httpd

Iptables se utilizará para generar las reglas necesarias para el guión de Enmascaramiento de IP. Se

instala por defecto en todas las distribuciones actuales que utilicen kernel-2.4.

Es importante tener actualizado el kernel por diversas cuestiones de seguridad. No es recomendable
utilizar versiones del kernel anteriores a la 2.4.20. En el manual "Cómo actualizar el Kernel a partir
de paquetes RPM®" se describe a detalle lo necesario.

Antes de continuar

Tenga en cuenta que este manual ha sido comprobado varias veces y ha funcionado en todos los

casos y si algo no funciona solo significa que usted no lo leyó a detalle y no siguió correctamente
las indicaciones.

Evite dejar espacios vacíos en lugares indebidos. El siguiente es un ejemplo de como no debe des-

comentarse un parámetro.

Mal

# Opción incorrectamente des-comentada
  http_port 3128

El siguiente es un ejemplo de como si debe des-comentarse un parámetro.
Bien

# Opción correctamente des-comentada
http_port 3128

Configuración básica.

Squid utiliza el fichero de configuración localizado en /etc/squid/squid.conf, y podrá trabajar
sobre este utilizando su editor de texto preferido. Existen un gran número de parámetros,
de los cuales recomendamos configurar los siguientes:

• http_port
• cache_mem
• ftp_user
• cache_dir
• Al menos una Lista de Control de Acceso
• Al menos una Regla de Control de Acceso
• httpd_accel_host
• httpd_accel_port
• httpd_accel_with_proxy

Parámetro http_port: ¿Que puerto utilizar para Squid?

Squid por defecto utilizará el puerto 3128 para atender peticiones, sin embargo se puede

especificar que lo haga en cualquier otro puerto o bien que lo haga en varios puertos a la
vez.

En el caso de un Proxy Transparente, regularmente se utilizará el puerto 80 y se valdrá del re-
direccionamiento de peticiones de modo tal que no habrá necesidad alguna de modificar la
configuración de los navegadores Web para utilizar el servidor Proxy. bastará con utilizar
como puerta de enlace al servidor. Es importante recordar que los servidores Web, como
Apache, también utilizan dicho puerto, por lo que será necesario reconfigurar el servidor
Web para utiliza otro puerto disponible, o bien desinstalar o deshabilitar el servidor Web.

Hoy en día ya no es del todo práctico el utilizar un Proxy Transparente, a menos que se trate

de un servicio de Café Internet u oficina pequeña, siendo que uno de los principales
problemas con los que lidian los administradores es el mal uso y/o abuso del acceso a
Internet por parte del personal. Es por esto que puede resultar más conveniente configurar
un servidor Proxy con restricciones por contraseña, lo cual no puede hacerse con un Proxy
Transparente, debido a que se requiere un diálogo de nombre de usuario y contraseña.

Regularmente algunos programas utilizados comúnmente por los usuarios suelen traer por
defecto el puerto 8080 -servicio de cacheo WWW- para utilizarse al configurar que servidor
proxy utilizar. Si queremos aprovechar esto en nuestro favor y ahorrarnos el tener que dar
explicaciones innecesarias al usuario, podemos especificar que Squid escuche peticiones
en dicho puerto también. Siendo así localice la sección de definición de http_port, y
especifique:

#
# You may specify multiple socket addresses on multiple lines.
#
# Default: http_port 3128
http_port 3128
http_port 8080

Si desea incrementar la seguridad, puede vincularse el servicio a una IP que solo se pueda

acceder desde la red local. Considerando que el servidor utilizado posee una IP
192.168.1.254, puede hacerse lo siguiente:

#
# You may specify multiple socket addresses on multiple lines.
#
# Default: http_port 3128
http_port 192.168.1.254:3128

http_port 192.168.1.254:8080

Parámetro cache_mem

El parámetro cache_mem establece la cantidad ideal de memoria para lo siguiente:
• Objetos en tránsito.
• Objetos Hot.
• Objetos negativamente almacenados en el caché.

Los datos de estos objetos se almacenan en bloques de 4 Kb. El parámetro cache_mem especifica
un límite máximo en el tamaño total de bloques acomodados, donde los objetos en tránsito tienen
mayor prioridad. Sin embargo los objetos Hot y aquellos negativamente almacenados en el caché
podrán utilizar la memoria no utilizada hasta que esta sea requerida. De ser necesario, si un objeto
en tránsito es mayor a la cantidad de memoria especificada, Squid excederá lo que sea necesario
para satisfacer la petición.

Por defecto se establecen 8 MB. Puede especificarse una cantidad mayor si así se considera

necesario, dependiendo esto de los hábitos de los usuarios o necesidades establecidas por el
administrador.

Si se posee un servidor con al menos 128 MB de RAM, establezca 16 MB como valor para este

parámetro:

cache_mem 16 MB

Parámetro cache_dir: ¿Cuanto desea almacenar de

Internet en el disco duro?

Este parámetro se utiliza para establecer que tamaño se desea que tenga el cache en el disco duro

para Squid. Para entender esto un poco mejor, responda a esta pregunta: ¿Cuanto desea
almacenar de Internet en el disco duro? Por defecto Squid utilizará un cache de 100 MB, de modo
tal que encontrará la siguiente línea:

cache_dir ufs /var/spool/squid 100 16 256

Se puede incrementar el tamaño del cache hasta donde lo desee el administrador. Mientras más

grande el cache, más objetos de almacenarán en éste y por lo tanto se utilizará menos el ancho
de banda. La siguiente línea establece un cache de 700 MB:

cache_dir ufs /var/spool/squid 700 16 256

Los números 16 y 256 significan que el directorio del cache contendrá 16 subdirectorios con 256

niveles cada uno. No modifique esto números, no hay necesidad de hacerlo.

Es muy importante considerar que si se especifica un determinado tamaño de cache y este excede

al espacio real disponible en el disco duro, Squid se bloqueará inevitablemente. Sea cauteloso con
el tamaño de cache especificado.

Parámetro ftp_user

Al acceder a un servidor FTP de manera anónima, por defecto Squid enviará como contraseña

Squid@. Si se desea que el acceso anónimo a los servidores FTP sea más informativo, o bien si

se desea acceder a servidores FTP que validan la autenticidad de la dirección de cor