Tutorial Servidor Proxy com Squid baseado em Linux Acadêmicos : Felipe Zottis e Cleber Pivetta

Servidor Proxy

Um servidor Proxy possui a finalidade de possibilitar que máquinas contidas em uma determinada rede possam obter acesso a uma rede pública. Normalmente este servidor é instalado em um computador que possui acesso direto à internet, sendo assim toda solicitação externa a rede deve ser feita a esta máquina. De modo geral, um servidor proxy realiza solicitações em nome de outras máquinas da rede.

Outras funcionalidades podem ser acopladas ao proxy, tais como caching de páginas da internet. Com isto, as requisições à sites já visitados por máquinas de uma rede são feitas mais rapidamente.

Um servidor proxy também pode implementar o NAT (Network Address Translation - Tradução de Endereços de Rede). A NAT permite que o endereço de rede interno de uma empresa seja ocultado da Internet. A empresa é representada na Internet como um endereço de IP não relacionado com os endereços de IP internos.

Uma das principais funcionalidades do proxy é impedir o acesso indevido à páginas da internet, geralmente por empresas ou instituições públicas. É possível barrar o acesso do usuário a sites inadequados ou que não sejam de interesse de uma instuição, por exemplo chats, jogos, sexo entre outros.

Todo o tráfego de dentro da empresa destinado à Internet é enviado para o servidor proxy. Este atribui a cada pacote um outro endereço de IP antes de transmití-lo pela Internet. Quando o pacote de resposta chega, o servidor proxy o envia ao servidor apropriado da empresa que havia feito o pedido. Este procedimento protege os endereços verdadeiros da rede interna da Internet, dificultando o ataque de um hacker ao sistema, já que o endereço do sistema protegido não é conhecido e não fica diretamente acessível a partir da Internet.

Sobre o Squid

O Squid é um proxy-cache de alta performance para clientes web, suportando protocolos FTP, gopher e HTTP. O Squid mantém meta dados e especialmente objetos armazenados na RAM, cacheia buscas de DNS e implementa cache negativo de requisições falhas.

Ele suporta SSL, listas de acesso complexas e logging completo. Por utilizar o Internet Cache Protocol, o Squid pode ser configurado para trabalhar de forma hierárquica ou mista para melhor aproveitamento da banda.

Podemos dizer que o Squid consiste em um programa principal – squid - um sistema de busca de resolução de nomes – dnsserver – e alguns programas adicionais para reescrever requisições, fazer autenticação e gerenciar ferramentas de clientes. Podemos executar o Squid nas principais plataformas do mercado, como GNU/Linux, Unixes e Windows.

� Procedimento para instalação do Servidor Proxy Squi d

Para a realização deste tutorial, fora utilizado a sistema operacional Linux, sendo a versão 9.0 do Fedora.

Como este experimento fora realizado na rede interna da Universidade Estadual do Oeste do Paraná, é necessário realizar a exportação do proxy utilizado pela faculdade, para que assim seja possível realizar o download do pacote de instalação do Squid.

→ export http_proxy=htpp://proxy.unioeste.br:8080

Para realizar a instalação de determinados programas, o Linux permite que o pacote de instalação destes sejam obtidos por download através do comando:

→ yum install squid

O Squid será então instalado no diretório /etc/squid. Após isto, é necessário editar o arquivo squid.conf, localizado dentro do diretório de instalação. Porém, é necessário realizar alterações na permissão de gravação do arquivo squid.conf, pois este é protegido. No linux é possível realizar esta alteração da seguinte forma:

→ chmod 777 squid.conf

O comando chmod modifica as pemissões de acessos à um determinado arquivo. O número 777 garante os acessos de leitura e gravação para root e usuários.

Realizado este passo, já é possível editar o arquivo squid.conf, porém é recomendável realizar um backup do arquivo original. Sendo assim, deve-se renomear o arquivo squid.conf para squid_backup.conf. Após isto, já é possível trabalhar em um arquivo squid.conf novo. Então:

→ vi squid.conf

Este comando abrirá este arquivo para edição, porém como o mesmo não existe (pois o original foi renomeado) um novo será criado. As seguintes linhas devem ser incluídas dentro deste arquivo:

# porta padrão do squid http_port 3128 visible_hostname localhost

#definir sites bloqueados acl blockedsites url_regex -i “/etc/squid/sites_bloqueados/block.txt”

#definir sites permitidos acl unblockedsites url_regex -i “/etc/squid/sites_desbloqueados/unblock.txt”

acl all src 0.0.0.0/0.0.0.0

#proxy pai do squid cache_peer proxy.unioeste.br parent 8080 3128 proxy-only

#negar acesso HTTP à variável blockedsites e permitir à variável unblockedsites

http_access deny blockedsites !unblockedsites http_access allow all

Após isto, deve-se alterar as configurações padrão do navegador de internet utilizado na máquina, neste exemplo o firefox. Em configurações avançadas de rede, deve-se selecionar para obter uma configuração manual de proxy e então redirecionar o protocolo HTTP para localhost (o nome definido em visible_hostname) e porta 3128 (padrão do Squid).

No Squid também é possível impedir acessos à sites com conteúdo indevido. Note que em:

#definir sites bloqueados acl blockedsites url_regex -i “/etc/squid/sites_bloqueados/block.txt”

#definir sites permitidos acl unblockedsites url_regex -i “/etc/squid/sites_desbloqueados/unblock.txt”

É definido um caminho para uma lista de sites bloqueados e permitidos. Sendo assim, deve-se criar um arquivo do tipo .txt dentro de uma pasta definida sites_bloqueados, contendo uma lista de sites bloqueados, por exemplo:

www.google.com

www.uol.com

www.orkut.com

orkut

pornografia

Note que é possível bloquear os acessos apenas pelo intermédio de palavras chaves, vide orkut e pornografia.

Feitos todos estes passos, é possível agora colocar em funcionamento o servidor Squid. Dentro do diretório /etc/init.d deve-se entrar com o seguinte comando:

→ squid start

� Funcionalidades Extras

• Restringir acesso por horário

É possível restringir os acessos à internet por horários programados. Deve- se inserir os seguintes comandos:

#Horários acl expediente time MTWHF 9:00 – 18:00 acl final_de_semana time SA 8:00 – 13:00

Onde :

S: Domingo M: Segunda-Feira T: Terça-feira W: Quarta-feira H: Quinta-feira F: Sexta-feira A : Sábado

Exemplo:

Controlar o acesso do computador 192.168.1.71 das 9:00 às 12:00 e das 13:30 às 18:00 de segunda a sexta-feira:

acl microip71 src 192.168.0.71/255.255.255.255 acl manhamicroip71 time M T W H F 9:00-12:00 acl tardemicroip71 time M T W H F 13:30-18:00

� Pra LIBERAR acesso:

http_access allow microip71 manhamicroip71 http_access allow microip71 tardemicroip71

� pra PROIBIR acesso:

http_access deny microip71 manhamicroip71 http_access deny microip71 tardemicroip71

Exemplo: Pra liberar somente no horário de almoço, todos os dias das 12 as 13:30 e após o expediente às 18:00hs:

acl microip71 src 192.168.0.71/255.255.255.255 acl manhamicroip71 time M T W H F 12:00-13:30 acl tardemicroip71 time M T W H F 18:00-24:00 http_access allow microip71 manhamicroip71 http_access allow microip71 tardemicroip71

• Limitar o número de conexões por usuário

É possível restringir o número de sessões que um determinado usuário pode requisitar de uma única vez. O recurso máximo de conexões pode ser atribuído da seguinte forma:

#Máximo de conexões acl CONEXOES maxconn 5 http_access deny CONEXOES rede_interna

• Gerar Relatórios de acesso

O Squid emite um log de acessos à internet que pode ser transformado em relatórios com o uso da ferramenta SARG. Para tanto, sua instalação e configuração é necessária:

→ wget http://web.onda.com.br/orso/sarg-1.4.tar.gz → tar zxvf sarg-1.4.tar.gz → cd sarg-1.4/ → ./configure → make → make install

Configurando o SARG:

Por padrão o SARG é instalado em /usr/local/sarg .Nesse diretório encontra-se o arquivo sarg.conf. As seguintes opções são recomendadas:

# indica o arquivo de log do squid → access_log /var/log/squid/access.log → title “Relatório de uso da Internet” → temporary_dir /tmp # Onde será gerado o relatório → output_dir /var/www/squid-reports → resolve_ip no

# Se estiver usando autenticação por usuário deve-se colocar yes → user_ip yes → topuser_sort_field BYTES reverse → topsites_num 100 → max_elapsed 28800000

Em seguida, para gerar um relatório deve-se emitir o comando

→ sarg

Figura 01: Relatório emitido pelo SARG

• Autenticando usuários

É um recurso bem interessante para controle pessoal de usuários, pois permite que ACLs individuais sejam criadas gerando assim LOGs de qualidade e precisão superiores. O ncsa_auth é a alternativa mais simples, pois está disponível junto com o Squid e pode ser implementado rapidamente.

→ Procure pela TAG: authenticate_program

insira os seguintes comandos:

auth_param basic program /usr/lib/squid/ncsa_auth /etc/squid/ auth_param basic children 5 auth_param basic realm Digite seu Login

Para tanto, cada usuário necessitará uma senha de acesso. Deve-se criar o arquivo que conterá todas as senhas dos usuários:

→ touch /etc/squid/passwd Para adicionar novos usuários deve-se emitir:

→ htpasswd /etc/squid/passwd NOVO_USUARIO

Dependendo da distribuição do Squid, o ncsa_auth pode estar em vários lugares diferentes.

� Comandos úteis para o Squid

� Reiniciando a cache do Squid:

→ squid -z

� Reiniciando as configurações do Squid:

→ squid -k reconfigure

� Parar o serviço do Squid:

→ squid stop

� Reiniciar o serviço do Squid:

→ squid restart

� Verificar status do Squid, se está rodando ou não:

→ squid status

� Para carregar o Squid junto com a inicialização do Linux:

→ chkconfig squid on

� Dicas De Squid:

• Edite o arquivo /etc/squid.conf e leia atentamente os comentários, pois neles existem explicações pra configurações possíveis...

• Squid para de analizar as regras na primeira que for atentida, quando precisar de alguma excessão de regra, por exemplo liberar um IP para não passar pelas regras, esta deverá se colocada antes da que proibe.