Home  |  Mappa  |  Indice  |  Cerca

Convert to GutenPalm or to PalmDoc D.S. Oberoi <ds_oberoi(at)yahoo.com> L'autore: D.S. Oberoi vive a Jammu (India). Attulmente ha problemi a collegarsi ad internet a cuasa delle attuali tensioni politiche nel suo paese. Tradotto in Italiano da: Toni Tiveron <toni(at)amicidelprosecco.com> Contenuto: Squid è installato nel nostro sistema? Configurare Squid Controllo d'Acesso Torniamo alla configurazione Configurazione della macchina client Utilizzare la funzionalità di controllo di accesso I file di log Metodi di autentificazione Riferimenti e Bibliografia Discussioni su quest'articolo

Configurare un Proxy-Server con Squid

Premessa:

Linux è divenuto un sinonimo per la rete. È utilizzato sia in ufficio che a casa in qualità di server per condivisione file, di stampa, di posta elettronica e per applicazioni. Sta anche aumentando il suo utilizzo come proxy server.

Un Proxy server fornisce accesso ad Internet a molteplici utenti allo stesso tempo, condividendo un singolo accesso ad Internet. Un buon proxy gestisce anche uno spazio per memorizzare le richieste (noto come cache), in modo da favorire il vostro accesso ai dati, utilizzando quelli presenti in questo spazio, che sono precedentemente stati già richiesti, piuttosto che chiederli direttamente al server web, contribuendo così a ridurre i tempi di accesso ed a conservare banda. Squid è un software che fa questo. Implementa una cache per l'http, l'ftp, il gopher, e molti altri protocolli... Squid supporta anche il protocollo SSL, politiche di accesso, cache delle richieste DNS e genera un log dettagliato delle richieste. Logi Sense fornisce anche una implementazione di Squid per ambienti WindowsNT.

Lo scopo di questo articolo è quello di dare al lettore una linea guida per configurare un server proxy e le modalità per gestire le politiche di accesso ad esso da parte degli utenti.

Squid è installato nel nostro sistema?

rpm -q squid
   

rpm -ivh squid-2.3.STABLE4-10.i386.rpm
   

Configurare Squid

http_port 192.168.0.1:8080

Controllo d'Acesso

• src : Origine: Indirizzo IP del client
• dst : Destinazione: Indirizzo IP del server
• srcdomain : Dominio di origine: Dominio del client
• dstdomain : Dominio di destinazione: il dominio del server
• time : Ora del giorno e giorno della settimana
• url_regex : Ricerca una sottostringa nell'URL
• urlpath_regex: Rierca una sottosrtinga nell'URL, escudendo dalla ricerca e il protocollo e l'hostname
• proxy_auth : Autentifica il client per mezzo di procedure esterne
• maxconn : Numero massimo di connessioni concomitati dall'IP di un client

acl   nome_elemento_acl    tipo_di_elemento_acl valore_della_acl

1. nome_elemento_acl è un nome, definto a piacere da un utente, assegnato ad una ACL.
2. Non vi possono essere due elementi ACL con lo stesso nome.
3. Ogni ACL consiste in una lista di valori. Quando viene eseguita la ricerca di riscontro, molteplici valori sono considerati con l'operatore logico OR. Ciò significa che, si ha un riscontro positivo allorchè si abbia almeno un elmento che risponda alla rchiesta.
4. Non tutti gli elementi ACL possono esser usati in congiunzione con le liste di accesso.
5. Più elementi ACL possono essere definiti creando molteplici righe di definizione. Squid li combinerà poi in una singola lista.

• http_access: Permette ai client che effettuino richieste di tipo HTTP di accedere alla porta HTTP. Questa è la lista di controllo di accesso controllo primario.
• no_cache: Definisce il metodo della cache basandosi sulle risposte.

1. Le regole sono controllate nell'ordine in cui esse sono definite (ovvero scritte nel file di configurazione). Appena si ha un riscontro positivo con una regola la ricerca termina.
2. Una lista di accesso è formata da più regole.
3. Se non si ha alcun riscontro tra le regole definite, il comportamento del server sarà pari al contrario dell'ultima regola espressa. È, quindi bene, definire un comportamento predefinito.
4. Tutti gli elementi di una voce di accesso sono trattati con l'operatore logico AND. Il tutto viene trattato come di seguito evidenziato:
   http_access Azione dichiarazione1 AND dichiarazione2 AND dicharazione
   OR.
   http_access Azione dichiarazone3
   Più dichiazioni http_access sono trattate con l'operatore logico OR.
5. Mi raccomando ancora... vi ricordo che le regole sono lette dalla prima scritta all'ultima.

Torniamo alla configurazione

acl mynetwork 192.168.0.1/255.255.255.0
http_access allow mynetwork

service squid start

1. service squid restart
2. /etc/rc.d/init.d/squid restart

Configurazione della macchina client

1. Scegliete il menù Strumenti -> Opzioni Internet
2. Selezionate la voce Connessione e premete sul tasto Impostazioni LAN
3. Attivate la funzionalità Utilizza proxy Server ed inserite l'indirizzo IP del server e la porta su cui Squid offre il servizio(http_port address).

1. Scegliete il menù Modifica -> Preferenze -> Avanzate -> Proxy.
2. Selezionate Configurazione Manuale del Proxy.
3. Premete il tasto Mostra. &
4. inserite l'indirizzo IP del server e la porta su cui Squid offre il servizio(http_port address).

Utilizzare la funzionalità di controllo di accesso

1. Autorizzare un gruppo di macchine di accedere ad Internet:
   

   acl allowed_clients src 192.168.0.10 192.168.0.20 192.168.0.30
   http_access allow allowed_clients
   http_access deny !allowed_clients

   Queste definizioni permettono solo alle macchine che hanno come indirizzo IP 192.168.0.20, 192.168.0.10 e 192.168.0.30 di accedere ad Internet e negare l'accesso ad Internet alle altre macchine (che non sono presenti nella dichiarazione allowed_clients).
2. Restringere l'accesso durante determinati periodi della giornata.
   

   acl allowed_clients src 192.168.0.1/255.255.255.0
   acl regular_days time MTWHF 10:00-16:00
   http_access allow allowed_clients regular_days
   http_access deny allowed_clients

   Questo permette di accedere ad Internet a tutte le macchine della classe di rete 192.168.0.1 dalle ore 10:00 alle ore 16:00 nei giorni dal Lunedì al Venerdì.
3. Accesso differenziato per orari e client
   

   acl hosts1 src 192.168.0.10
   acl hosts2 src 192.168.0.20
   acl hosts3 src 192.168.0.30
   acl mattino time 10:00-13:00
   acl ora_di_pranzo time 13:30-14:30
   acl sera time 15:00-18:00
   http_access allow host1 mattino
   http_access allow host1 sera
   http_access allow host2 ora_di_pranzo
   http_access allow host3 sera
   http_access deny all

   Queste dichiarazioni permettono al client host1 di accedere ad Internet sia la mattina sia la sera; i client host2 ed host3 possono invece accedere al servizio rispettivamente solo all'ora di pranzo e la sera.
   
   Nota:
   Tutte le definizioni di accesso sono unite tra loro con un AND logico ed eseguite con la seguente modalità

   http_access Action statement1 AND staement2 AND statement OR.

   Più dichiarazioni http_access sono valutate con operatore logico OR mentre le dichiarazioni in una singola riga sono trattate con l'operatore AND. Per questo motivo la riga

   http_access allow host1 mattino sera

   non avrebbe di certo fatto accedere al client sia la mattina che la sera in quanto non può verificarsi la condizione data dall'ora (mattino AND sera).
4. Interdizione verso alcuni siti
   Squid puù vietare l'accesso a particolari siti o a siti che contengono specifiche parole. Ciò può essere implementato nella seguente maniera:

   acl allowed_clients src 192.168.0.1/255.255.255.0
   acl banned_sites url_regex abc.com *()(*.com
   http_access deny banned_sites
   http_access allow allowed_clients
   

   La stessa operezione può essere attuata bloccando l'accesso a siti che contengono specifiche parole. Per esempio le parole dummy , fake

   acl allowed_clients src 192.168.0.1/255.255.255.0
   acl banned_sites url_regex dummy fake
   http_access deny banned_sites
   http_access allow allowed_machines

   Risulta poco funzionale inserire tutti siti e le parole che si vogliano bloccare all'interno del file di configuarazione. Possiamo invece includere questa lista in un file esterno (per esempio il file /etc/banned.list) e la ACL può inglobare queste informazioni prelevandole dal file da noi definito.

   acl allowed_clients src 192.168.0.1/255.255.255.0
   acl banned_sites url_regex "/etc/banned.list"
   http_access deny banned_sites
   http_access allow allowed_clients

5. Ottimizzarne l'uso
   Squid può limitare il numero di connessioni da un client; questa funzionalità si attiva per mezzo della definizione maxconn. Per poter utlizzare questa limitazione si deve prima attivare la funzionalità client_db.

   acl mynetwork 192.168.0.1/255.255.255.0
   acl numconn maxconn 5
   http_access deny mynetwork numconn

   Nota:
   La ACL maxconn utilizza un confronto basato su minore di. Essa quindi è vera allorquando il numero di connessioni supera il valore (numconn) da noi definito. Questo è il motivo per cui non abbiamo una dichiarazione http_access allow.
6. Memorizzazione dei dati richiesti
   Le risposte alle richieste sono immediamente messe in cache. Questa è una ottima cosa se tratta di pagine il cui contenuto sia statico. Non vi è, dall`altro canto, la minima utlità di memorizzare localmente pagine cgi o Servlet. Si può prevenire la memorizzazione locale di queste pagine per mezzo della ACL no_cache.

   acl cache_prevent1 url_regex cgi-bin /?
   acl cache_prevent2 url_regex Servlet
   no_cache deny cache_prevent1
   no_cache deny cache_prevent2

7. Personalizzare i messaggi d'errore.
   È possibile creare i propri messaggi di errore associati ad una regola di divieto. Questo viene implementato per mezzo della dichiarazione deny_info. Tutti i messaggi d'errore di Squid sono memorizzati in /etc/squid/errors/ La cartella contenente i messaggi d'errore può essere cambiata con un'altra per mezzo della dichiarazione error_directory. Un'altra soluzione è quella di ricorrere alla modifica dei messagi d'errore già presenti.

   acl allowed_clients src 192.168.0.1/255.255.255.0
   acl banned_sites url_regex abc.com *()(*.com
   http_access deny banned_sites
   deny_info ERR_BANNED_SITE banned_sites
   http_access allow allowed_clients

   Nell'esempio precedente, un messaggio personalizzato verrà visualizzato allorquando un utente cercherà di accedere al sito contenente i termini che vogliamo interdire. Il file che viene dato come parametro (in tal caso ERR_BANNED_SITE) deve esistere nella cartella degli errori. Questo tipo di file deve esser scritto con codice HTML. Gli esempi qui esposti sono solo alcune opzioni, capacità e delle dichiarazioni di una ACL. Il lettore può trovare nella sezione inerente le FAQ (sito in inglese) molte altre spiegazioni su un uso più complesso e funzionale delle opzioni inerenti le dichiarazioni ACL e le poltiche di accesso al servizio.

I file di log

cache_access_log      Per il file access.log
cache_log             Per il file cache.log
cache_store_log       Per il file store.log (Store manager)
pid_filename          Per il file che regista il PID del processo.

Metodi di autentificazione

1. LDAP : Utlizza il protocollo LDAP
2. NCSA : Utilizza un file contenente username e password secondo lo standard NCSA
3. SMB : Utilizza il protocollo SMB (implentato su server Samba o WindowsNT)
4. MSNT : Utilizza il protocollo di autentifica dei domini WindowsNT
5. PAM : Utlizza il protocollo PAM
6. getpwam : Ricorre all'autentifica per mezzo del file di password di sistema.

acl pass proxy_auth REQUIRED
acl mynetwork src 192.168.0.1/255.255.255.0
http_access deny !mynetwork
http_access allow pass
http_access deny all

Riferimenti e Bibliografia

• Il sito di Squid, www.squid-cache.org
• Il progetto della documentazione inerente Squid, squid-docs.sourceforge.net
• visolve.com
• Sistemi di autentificazione per Proxy, home.iae.nl/users/devet/squid/proxy_auth

Discussioni su quest'articolo

2002-02-23, generated by lfparser version 2.25