Bu, proxy için kesin bir kullanım örneğidir . Normal bir proxy, ters proxy değil (yük dengeleyicileri).
En tanınmış, özgür ve açık kaynak kalamar . Neyse ki, bir tek ile kolayca kurulabilen apt-get install squid3ve tek bir dosya ile yapılandırılabilen birkaç iyi açık kaynaklı yazılımdan biridir /etc/squid3/squid.conf.
İyi uygulamaları ve bilinmesi gereken dersleri gözden geçireceğiz.
Resmi yapılandırma dosyası biraz değiştirildi (5000 yararsız yorum satırı kaldırıldı).
# WELCOME TO SQUID 3.4.8
# ----------------------------
#
# This is the documentation for the Squid configuration file.
# This documentation can also be found online at:
# http://www.squid-cache.org/Doc/config/
#
# You may wish to look at the Squid home page and wiki for the
# FAQ and other documentation:
# http://www.squid-cache.org/
# http://wiki.squid-cache.org/SquidFaq
# http://wiki.squid-cache.org/ConfigExamples
#
###########################################################
# ACL
###########################################################
acl SSL_ports port 443
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 # https
acl Safe_ports port 1025-65535 # unregistered ports
acl CONNECT method CONNECT
#####################################################
# Recommended minimum Access Permission configuration
#####################################################
# Deny requests to certain unsafe ports
http_access deny !Safe_ports
# Deny CONNECT to other than secure SSL ports
http_access deny CONNECT !SSL_ports
# Only allow cachemgr access from localhost
http_access allow localhost manager
http_access deny manager
#####################################################
# ACL
#####################################################
# access is limited to our subnets
acl mycompany_net src 10.0.0.0/8
# access is limited to whitelisted domains
# ".example.com" includes all subdomains of example.com
acl repo_domain dstdomain .keyserver.ubuntu.com
acl repo_domain dstdomain .debian.org
acl repo_domain dstdomain .python.org
# clients come from a known subnet AND go to a known domain
http_access allow repo_domain mycompany_net
# And finally deny all other access to this proxy
http_access deny all
#####################################################
# Other
#####################################################
# default proxy port is 3128
http_port 0.0.0.0:3128
# don't forward internal private IP addresses
forwarded_for off
# disable ALL caching
# bandwidth is cheap. debugging cache related bugs is expensive.
cache deny all
# logs
# Note: not sure if squid configures logrotate or not
access_log daemon:/var/log/squid3/access.log squid
access_log syslog:squid.INFO squid
# leave coredumps in the first cache dir
coredump_dir /var/spool/squid3
# force immediaty expiry of items in the cache.
# caching is disabled. This setting is set as an additional precaution.
refresh_pattern . 0 0% 0
İstemci Yapılandırması - Ortam Değişkenleri
Bu iki ortam değişkenini tüm sistemlerde yapılandırın.
http_proxy=squid.internal.mycompany.com:3128
https_proxy=squid.internal.mycompany.com:3128
Çoğu http istemci kitaplığı (libcurl, httpclient, ...) ortam değişkenleri kullanılarak kendi kendine yapılandırılır. Uygulamaların çoğu ortak kütüphanelerden birini kullanıyor ve bu nedenle kullanıma hazır proxy'leri destekliyorlar (geliştiricilerin bunu bilmeleri gerekmeden).
Sözdiziminin katı olduğunu unutmayın:
- Değişken adı
http_proxyçoğu Linux'ta küçük harf OLMALIDIR.
- Değişken değeri
http(s)://BAŞLATMAMALIDIR (proxy protokolü http (s) DEĞİLDİR).
İstemci Yapılandırması - Özel
Bazı uygulamalar, ortam değişkenlerini yok sayar ve / veya değişkenler ayarlanmadan önce hizmet olarak çalıştırılır (örn. Debian apt).
Bu uygulamalar özel yapılandırma gerektirir (örn. /etc/apt.conf).
HTTPS Proxy'si - Bağlan
HTTPS proxy uygulaması tasarım tarafından tamamen desteklenir. Tarayıcı ile proxy arasında bir tür tünel oluşturan özel bir "CONNECT" yöntemi kullanır.
Bu konuda çok şey bilmiyorum ama yıllar içinde hiç sorun yaşamadım. Sadece çalışıyor.
HTTPS Özel Kasa - Şeffaf Proxy
Şeffaf proxy hakkında bir not. (örn. Proxy gizlidir ve istemcilerin isteklerini keser. ortadaki adam).
Şeffaf proxy'ler HTTPS'yi kırıyor. İstemci bir proxy olduğunu bilmiyor ve özel Connect yöntemini kullanmak için bir nedeni yok.
İstemci, kesilen doğrudan bir HTTPS bağlantısı deniyor. Müdahale tespit edilir ve her yere hatalar atılır. (HTTPS, ortadaki adam saldırılarını tespit etmek içindir).
Alan adı ve CDN beyaz listesi
Alan adı ve alt alan adı beyaz listesi kalamar tarafından tamamen desteklenir. Bununla birlikte, zaman zaman beklenmedik şekillerde başarısız olmak zorundadır.
Modern web siteleri her türlü etki alanı yönlendirmesine ve CDN'ye sahip olabilir. Bu, insanlar her şeyi tek bir alana düzgün bir şekilde koymak için fazladan yol kat etmediklerinde ACL'yi kıracaktır.
Bazen, çalıştırmadan önce ev sahibini aramak veya harici bağımlılıkları almak isteyen bir yükleyici veya paket olacaktır. Her seferinde başarısız olacak ve bu konuda yapabileceğiniz hiçbir şey yok.
Önbelleğe almak
Sağlanan yapılandırma dosyası her türlü önbelleğe almayı devre dışı bırakıyor. Eşeği sağlam kazığa bağlamak.
Şahsen, şu anda bulutta bir şeyler çalıştırıyorum, tüm örneklerin en az 100 Mbps bağlantısı var ve sağlayıcı otomatik olarak bulunan popüler şeyler (örneğin Debian) için kendi depolarını çalıştırıyor. Bu, bant genişliğini daha az umursamayacağım bir mal haline getirir.
Sorun gidermede beynimi eritecek tek bir önbellek hatasını deneyimlemekten ziyade önbelleği tamamen devre dışı bırakmayı tercih ederim. İnternetteki herkes tek başına önbellek başlıklarını ALAMAZ.
Yine de tüm ortamlar aynı gereksinimlere sahip değildir. Ekstra mil gidebilir ve önbellekleme yapılandırabilirsiniz.
ASLA proxy üzerinde kimlik doğrulaması gerekmez
İstemcilerden, tipik olarak LDAP hesaplarıyla parola kimlik doğrulaması yapılmasını gerektiren bir seçenek vardır. Evrendeki her tarayıcıyı ve her komut satırı aracını kıracaktır.
Proxy üzerinde kimlik doğrulaması yapmak istiyorsanız, yapmayın.
Yönetim kimlik doğrulaması istiyorsa, bunun mümkün olmadığını açıklayın.
Bir geliştiriciyseniz ve doğrudan interneti engelleyen ve proxy kimlik doğrulamasını zorlayan bir şirkete katıldıysanız, YAPABİLİRSİNİZ ÇALIŞIN.
Sonuç
Ortak yapılandırma, yaygın hatalar ve vekil sunucu hakkında bilinmesi gereken şeylerden geçtik.
Alınan ders:
- Proxy (kalamar) için iyi bir açık kaynaklı yazılım var
- Basit ve yapılandırması kolaydır (tek bir kısa dosya)
- Tüm (isteğe bağlı) güvenlik önlemlerinin ödünleşimi vardır
- En gelişmiş seçenekler bir şeyleri kıracak ve sizi rahatsız edecek
- Şeffaf proxy'ler HTTPS'yi kırıyor
- Proxy kimlik doğrulaması kötülüktür
Programlama ve sistem tasarımında her zaman olduğu gibi gereksinimleri ve beklentileri yönetmek çok önemlidir.
Proxy kurarken temel bilgilere bağlı kalmanızı tavsiye ederim. Genel olarak konuşursak, belirli bir filtrelemesiz düz bir proxy iyi çalışır ve sorun çıkarmaz. Sadece istemcileri yapılandırmayı (otomatik) hatırlamalıyım.