DESENVOLVIMENTO DE SISTEMA PARA CONTROLE DE ACESSOS DE SITES

Transcrição

1 DESENVOLVIMENTO DE SISTEMA PARA CONTROLE DE ACESSOS DE SITES Carlos Henrique Soares de Souzal 1 André Peres 2 RESUMO Este artigo tem como objetivo apresentar a proposta para o desenvolvimento de um sistema de controle de acessos de sites através de regras de Proxy e divisões de redes em VLANs. Serão apresentados conceitos sobre Proxy, Squid e VLANs, juntamente com as respectivas configurações que serão utilizadas, concluído com a explanação do cenário atual e as próximas atividades. Palavras Chaves: Proxy, Squid, ACL e VLAN. INTRODUÇÃO A natureza do homem tem peculiaridades, e uma delas é a busca incessante pelo controle de tudo que lhe rodeia. Uma entidade qualquer pode ter muitas qualificações específicas de seus negócios, no entanto, se não souber organizar e trabalhar adequadamente as informações que possui e necessita, não terá sucesso em seus negócios. Em um ambiente acadêmico, o serviço de ensino é considerado primordial, e para que este serviço seja efetivo, é necessário organização e controle no ambiente de aprendizagem. No caso de aulas em laboratórios de informática (Labin) o controle diz respeito também à manutenção da atenção dos alunos nos objetos de ensino. Nem sempre determinados conteúdos de uma disciplina conseguem manter a atenção total de alguns alunos. Se há um ambiente que proporcione maior distração com relação ao assunto que incomoda o indivíduo, com certeza o mesmo fará a escolha visando àquilo que mais lhe agradará. 1 Acadêmico do Curso de Sistemas de Informação da ULBRA Guaíba 2 Professor Orientador do Curso de Sistemas de Informação da ULBRA Guaíba

2 O controle a ser abordado diz respeito à restrição de acesso às páginas na internet. Sem este tipo de controle, os alunos podem dispersar sua atenção com consultas às páginas não relacionadas com a disciplina. Essa situação ocorre durante algumas aulas. E devido a este fato, nem todos os alunos conseguem ter um aproveitamento ideal das disciplinas lecionadas nas salas dos laboratórios de informática. Visando controlar situações como esta, e ter uma disseminação da informação com a adequada atenção dos alunos, foi proposto um projeto de sistema que está em questão neste trabalho. Logo a seguir serão apresentados e definidos o tema e sua delimitação, a solução proposta, o objetivo e sua justificativa, bem como o embasamento teórico para se chegar à solução proposta neste trabalho. Este artigo apresenta o desenvolvimento de uma proposta de melhoria do sistema de bloqueio de sites do Labin da ULBRA Guaíba. Tem como objetivo desenvolver um sistema de bloqueio de sites através de regras de Proxy e divisões de redes em VLANs que agregue maior controle sobre os acessos em cada sala do laboratório. Serão apresentados conceitos sobre Proxy, Squid e VLANs, juntamente com as respectivas configurações que devem ser utilizadas, concluindo com a explanação do antigo cenário e o atual bem como as próximas atividades. PROXY Marcelo (2003) considera que servidor Proxy é um servidor HTTP com características especiais de filtragem de pacotes. O Proxy aguarda por uma requisição de acesso web de um cliente, e a repassa para um servidor remoto. Este servidor recebe a resposta e a envia de volta a uma conexão para estação cliente. O Proxy pode criar regras de acesso, permitindo ou não acessos a sites. Isto é importante para que se possa evitar navegação em sites com conteúdo explicito (pornográfico), salas de Chat, ou qualquer outro conteúdo impróprio para o local ou momento. Um Proxy também serve como um firewall baseado em um protocolo (HTTP, por exemplo) e que filtra estes acessos vindos de clientes na rede interna na qual faz papel de um canal de saída. O Proxy em si possui algumas vantagens inerentes interessantes. A mais

3 comum é como um filtro de IPs, permitindo ou não acessos a sites da web. De um outro ponto de vista, um Proxy é uma excelente ferramenta de auditoria de acessos, já que tem a capacidade de armazenar em seus arquivos de registros (logs) todas as conexões feitas através do mesmo. O Proxy tem muitas funcionalidades interessantes, no entanto será utilizado, para este trabalho, apenas sua capacidade de filtragem e de criar regras. Existem muitos softwares que fazem o papel de um Proxy, todavia, será utilizado, para o desenvolvimento do sistema, o Squid (atualmente utilizado na instituição). SQUID Marcelo (2003) considera que o Squid é um servidor Proxy em software livre, ou seja, gratuito. Apresenta-se como um dos melhores softwares para a função do mercado. É projetado principalmente para rodar em sistemas operacionais LINUX O Squid 2 está em desenvolvimento faz muito tempo, por isso, é completo, robusto, confiável, e tem seu código aberto com licença GNU GPL. Squid é um Proxy-cache de alto desempenho para clientes WEB. É apoiado por muitos protocolos, embora seja principalmente usado para HTTP e FTP. O Squid tem se tornado obrigatório na instalação dos provedores de qualquer empresa que deseja garantir um bom desempenho de sua conexão ou criar regras de acesso (ACLs, Access Lists) para servidores web. ACLS LISTAS DE ACESSOS (ACCESS LISTS) Uma das características do Proxy é a restrição de acesso a sites não autorizados. Isto inibe os usuários a acessarem sites pornôs, sites de jogos, ou qualquer outro tipo de site que possa desviá-los do seu principal objetivo. As ACLs também podem ser utilizadas para regular acessos por hora e data. No caso do SQUID, o arquivo squid.conf possui um parâmetro ligado às ACLs. No exemplo abaixo é possível verificar uma lista de acesso por máquinas: Acl all src / Acl manager proto cachê_object Acl localhost src / Acl SSL_ports port Acl Safe_ports port Acl CONNECT method CONNECT 2 Pode ser obtido através de download do site

4 Os parâmetros citados criam uma série de listas, como por exemplo: Acl all src / Nesta linha criou-se uma lista de acesso chamada all onde os endereços IPs válidos são todos os da Internet ( / ). Por exemplo, para criar uma lista de Labin01, seria colocada uma lista com o seguinte conteúdo: Acl Labin01 scr acl Labin01. Nesta lista, as máquinas com os endereços IP anteriormente mostrados, farão parte da Logo abaixo, estão definidas as restrições e algumas regras serão mostradas: #Default configuration: http_access allow manager localhost http_access deny manager http_access deny!safe_ports http_access deny CONNECT!SSL_ports # No primeiro grupo de regras foram relacionadas com as ACLs padrão criadas. Para uma boa estrutura de regras é indicado que sempre se comece com as regras que têm o parâmetro allow, ou seja, de autorização, em seguida sempre as de proibição deny. No próximo exemplo estão liberados acessos a acl Labin01 e negado a acesso aos endereços restantes. #INSERT YOUR OWN RULE(S) HERE TO ALLOW ACCESS FROM YOUR CLIENTS # http_access allow Labin01 http_access deny all ACLS ESPECIAIS Existem muitos regras que podem ser criadas nas ACLs do Squid. No entanto, para este trabalho, são apresentadas apenas as necessárias na resolução do principal problema apresentado neste TCC. Por Hora: Existem outros tipos de situações para as quais o Squid pode contribuir, e muito, com o controle de acesso em uma rede. Supondo que uma Universidade só permita o acesso à Internet após a aula, ou então, na hora de intervalo. Para isso, seria criada uma lista de acesso na hora do intervalo para todos os usuários numa rede Seria criada uma regra com o seguinte formato: Acl users src /0 Acl intervalo time MTWHF 20:45-21:00 http_access allow users intervalo

5 http_access deny user É importante observar na regra acima que as letras MTWHF são os dias da semana em inglês: (Monday, Tuesday, e os demais). Nota-se que, na situação apresentada neste trabalho, cada sala deve estar configurada como uma subrede independente, para que se possam criar as regras de ACL. No caso da Ulbra Guaíba, todas as salas do laboratório de informática possuem um dispositivo de switch, o qual se conecta em um switch principal. Esta ligação cria uma única estrutura de subrede, a qual deve ser separada para que o mecanismo seja efetivo. A forma de separação, nestas situações, é feita através da configuração de subredes virtuais no switch principal (VLAN s). O funcionamento e configuração das subredes e VLANs será descrito a seguir. VLANS - REDES LOCAIS VIRTUAIS Tanenbaum (2002) Define redes locais como um sistema de comunicação de dados confinado a uma área geográfica limitada, possuindo altas taxas de transmissão, de acordo com a tecnologia utilizada. Entretanto, diz-se que uma LAN é "um único domínio broadcast". Ou seja, é o grupo de todos os dispositivos que receberão os quadros de broadcast originários de qualquer dispositivo que pertença a este mesmo grupo. Os domínios de broadcast são tipicamente delimitados por roteadores, já que estes não encaminham quadros deste tipo. As VLANs são uma solução alternativa ao uso de roteadores para conter o tráfego broadcast, já que estas segmentam as redes locais em diferentes domínios desta natureza. Elas aumentam tanto o desempenho, conservando a largura de banda, quanto a segurança de uma rede local, limitando o tráfego a domínios específicos. As VLANs podem ser criadas de diversas formas utilizando as camadas OSI, no entanto apenas uma dessas divisão é inerente ao trabalho. Os membros de uma VLAN podem ser definidos de acordo com as portas da ponte/switch utilizado. Por exemplo, em um switch com dez portas, as portas 1, 2, 3 e 8 pertencem a VLAN 0. Já as portas 4, 9 e 10 fazem parte da VLAN 1. As demais pertencem a VLAN 2. Este método vem sendo o mais utilizado na implementação de VLANs, pois sua configuração é rápida e simples. Além disso, deve se ressaltar que ao conectar um repetidor, um hub ou outro switch a uma porta pertencente a uma VLAN, todas as estações conectadas e este dispositivo se tornaram membros desta VLAN.

6 SOLUÇÃO PROPOSTA Há uma necessidade por parte dos professores em bloquear alguns sites em determinados dias, pelo período de aula em cada sala do Labin. O problema é enfrentado por grande parte dos professores que lecionam no Labin. Apesar da necessidade de utilizar os computadores no período de aula, os alunos acabam se dispersando com outros conteúdos na Internet. A proposta deste trabalho esta centrada em dividir as salas do Labin em VLANs. Essa divisão é utilizada na criação de regras para o Proxy. As regras também utilizam os sites indicados e as datas necessárias para o bloqueio. Para isso, foi elaborado um sistema via web, que será acessado pelos professores cadastrados, que crie um arquivo contendo as regras para o bloqueio. Este bloqueio terá como parâmetro, para criação das regras, os sites e a data que serão indicados pelo professor no momento do agendamento. Na etapa de desenvolvimento são utilizadas as linguagens de programação PHP e HTML e seus editores mais apropriados. METODOLOGIA A metodologia para elaboração deste projeto teve várias etapas, que envolvem a pesquisa de bibliografia, livros, sites que tratem dos assuntos relacionados. Após pesquisa e seleção de bibliografias teve-se um processo de leitura para conceituar os assuntos abordados. As informações referentes aos parâmetros de acesso as regras do Proxy foram obtidas através de reunião com o administrador do servidor. Paralelo a isso, foram realizadas modificações de rede do Labin, transformando cada sala em uma VLAN. Para elaboração da interface, também foi necessário estudo das linguagens de programação WEB PHP e HTML (CONVERSE, 2003). Porque PHP e HTML? Porque estas linguagens de programação têm seus funcionamentos básicos voltados para desenvolvimento WEB. As funcionalidades da linguagem PHP proporcionam maior segurança ao utilizar a aplicação a ser implementada. O diagrama de caso de uso é utilizado na figura 1 para demonstrar amplamente os personagens relacionando seus processos (GUEDES, 2004).

7 Figura 1 Caso de Uso. Gerenciar Acessos: no referido processo tanto o Administrador quanto o Professor, que é o personagem principal, podem interagir. Neste, o professor fará seus agendamentos, consultando no banco que contem as sugestões de sites, para encurtar sua pesquisa. No momento de criação da regra o professor também devera especificar qual sala ira lecionar e em qual data fará as devidas restrições. Envio de Regras: o envio de regras é um processo que foi feito após o processo de gerência de acessos. Nesse, após criadas regras com base nos parâmetros definidos pelo professor, será enviada para o servidor proxy Squid, que por sua vez processará as regras conforme pré-estabelecido em sua programação de atualização. Gerenciar Usuários: o processo de gerenciar usuários irá interagir apenas com o Administrador do sistema. Este, por sua vez, criará usuários para cada professor ou irá apagar aqueles que não estiverem sendo utilizados. CENÁRIO ATUAL O cenário atual envolve a divisão lógica das redes entre as salas do Labin e a adição de um sistema via WEB que fará as regras de bloqueios baseadas nos parâmetros indicados pelos professores. Até o momento as configurações do proxy Squid, que estão atuando nas salas do Labin, vigoram em um regime de 24x7, ou seja, 24 horas por dia e 7 dias da semana, As regras de bloqueio dos sites parte de um arquivo nomeado Bloq.txt. Esse arquivo tem sites fixados e alguns são liberados e outros são bloqueados, dependendo do estudo de caso de uso de cada um deles por parte do administrador da rede. É possível visualizar na figura 2 que o proposto neste trabalho é manter a condição de rede que utiliza endereçamento de IP Dinâmico, separando as salas em sub-redes diferentes através de VLANs na camada 1 (por portas no switch).

8 Para este cenário que foi desenvolvido, o Squid está configurado com a retenção independente da rede de cada sala. Essa filtragem será definida conforme os parâmetros informados por cada professor. Portanto, poderão ser programadas por horário e data. Estará disponível para o professor consultar, cada vez que o mesmo for programar um bloqueio, a lista com os sites bloqueados e os permitidos podendo nesse momento ser excluído ou inserido novo site. Essa consulta será feita em um arquivo onde serão geradas as referidas listas de bloqueios e apresentadas através da interface Web disponibilizada ao professor. O sistema irá converter as informações definidas pelos professores em ACLs para o proxy. O proxy irá consultar estas ACLs e atualizar a política de acesso a páginas no momento do cadastro. A ACL irá controlar o acesso no período definido pelo professore no sistema. O sistema é seguro com relação a fraudes de liberações e de bloqueios. Para tanto, o sistema utiliza cifragem de todo o trafego por utilizar o protocolo HTTPS, e a segurança, também será definida por trabalhar com a linguagem de programação Web PHP, que por sua vez fará as consultas todas no servidor ao contrario das outras que fazem a consulta no cliente e enviam os resultados via rede. Essa linguagem de programação permite a utilização de um algoritmo de cifragem de senhas chamado MD5, o que vem a agregar para garantir a segurança do sistema. Entretanto, é importante ressaltar que apesar de toda a tecnologia empregada ainda é possível usufruir da melhor forma possível dos recursos empregados. E dessa forma é que será estabelecido o sistema de retenção que fará a filtragem dos sites utilizados durante as aulas. Com isso, serão melhor aproveitados os equipamentos do Labin e haverá um aumentando da atenção dos alunos, que atualmente é dispersa, durante as aulas nos Laboratórios.

9 Figura 2 Cenário Proposto INTERFACES A tela de Login apresentada na figura 3 será comum para todos os professores. Figura 3 Login O Professor Administrador, ou seja, que terá nível de acesso não só como utilizador do Sistema, mas também fará edição e cadastro de usuário, estará disponível na tela para de Criação de regras de acesso, os Links para Cadastrar Professor e Editar Professor, conforme apresentado na figura 4.

10 Figura 4 Cria Regra Quando marcada a opção Somente Rede Interna, conforme figura 4, o professor insere uma linha de comando do Squid que restringe o acesso daquele Labin apenas aos computadores da rede interna ao laboratório da ULBRA. Para o Professor que terá nível de acesso apenas de usuário, estará disponível a tela para utilização na Criação de regras de acesso apresentada na figura 4, porém sem as opções de cadastro e edição de professores e sem a opção LABIN. Para Criar a regra, tanto o professor Administrador quanto o usuário, irá completar os campos apresentados na Figura 4, conforme solicitado e clicara sobre o botão Gerar Regra. Quando o Professor Administrador, clicar no Link Cadastrar Professor, o mesmo será remetido para outra tela para inserção do novo usuário, conforme a figura 5. Figura 5 Cadastra Professor.

11 Somente o professor Administrador fará exclusão, assim como a inserção de um usuário (tela apresentada na figura 6). Figura 6 Editar Usuário. O Professor Administrador poderá Editar os usuários trocando seus dias de aula, seu Labin ou até mesmo sua senha, caso não opte por modificar o campo de senha, apenas não preenchera o campo como mostrado na figura 7. Figura 7 Editando Professor A opção LABIN, vista na figura 4, após acessada, traz as opções para editar ou cadastrar nova sala de aula no sistema. É possível acessar o menu edição, de cada sala, clicando no link com o nome do laboratório como visto na figura 8. Essas opções apenas são acessadas pelo usuário administrado do sistema. Figura 8 Tela de Exibição dos Labins.

12 Na figura 9, é possível visualizar a tela de editar labin. A mesma tela é apresentada no momento de se inserir um novo laboratório, porém, com os campos em branco. Figura 9 Editar Labin As configurações preenchidas pelo sistema são armazenadas em um banco de dados, o qual é utilizado pelo sistema para manutenção das regras do proxy. Sempre que uma alteração é realizada no sistema, automaticamente será criado um novo arquivo de configuração do Squid (squid.conf ver Anexo A). Desta forma, sempre que um professor decide ter o controle de acessos de sua sala, no horário especificado por ele, o sistema automaticamente irá realizar esta nova configuração. Esses dados são gravados em um banco e nele, também, manipulados. A interface estabelece uma conexão realizando o armazenamento e manipulação desses dados inseridos pelos professores. CRIAÇÃO DE VLANS Foram criadas diversas VLANs no Labin, dividindo as salas em diferentes subredes. Para Criação das VLANs foi utilizado como interface com o Switch gerenciável, da Marca 3COM, conexão através de TELNET, com os seguintes comandos, após Logado no Switch. Opção Bridge. Menu options: Com SuperStack 3 Switch bridge - Administer bridge-wide parameters gettingstarted - Basic device configuration logout - Logout of the Command Line Interface physicalinterface - Administer physical interfaces protocol - Administer protocols security - Administer security system - Administer system-level functions trafficmanagement - Administer traffic management Opção VLAN para administra as subredes. Menu options: Com SuperStack 3 Switch addressdatabase - Administer bridge addresses broadcaststormcont - Enable/disable broadcast storm control linkaggregation - Administer aggregated links multicastfilter - Administer multicast filtering port - Administer bridge ports

13 spanningtree - Administer spanning tree summary - Display summary information vlan - Administer VLANs Opção CREATE para criar uma nova VLAN. Menu options: Com SuperStack 3 Switch create - Create a VLAN delete - Delete a VLAN detail - Display detailed information modify - Modify a VLAN summary - Display summary information Logo a seguir inseridos parâmetros para a criação da nova VLAN. Select VLAN ID (2-4094)[2]: número da vlan (ex.2) Enter VLAN Name [VLAN 24]: nome da vlan (ex: lab4) Opção MODIFY para adicionar uma porta a VLAN criada. Menu options: Com SuperStack 3 Switch create - Create a VLAN delete - Delete a VLAN detail - Display detailed information modify - Modify a VLAN summary - Display summary information Opção ADD PORT Select VLAN ID (1,21-22,24-27)[1]: número da vlan (ex: 1) Select bridge ports (AL1-AL4,unit:port...,?): número do switch (como só tem 1...) : número da porta Enter tag type (untagged,tagged): para o switch da sala... untagged... para o firewall tagged UTILIZAÇÃO DO PROXY SQUID Para criação das regras do novo squid.conf, foi utilizado, como parâmetro, o arquivo de configuração antigamente utilizado para a contenção de acessos. Foram mantidas as configurações originais necessárias para se ter o funcionamento correto e seguro do sistema, e apenas adicionadas as linhas de comando que farão os bloqueios através das listas de acessos criadas pelos professores. Logo abaixo é possível visualizar a estrutura do novo arquivo de configuração criado automaticamente pelo sistema, o squid.conf, do qual estão sendo demonstrados pequenos blocos da configuração utilizada como o exemplo abaixo. No momento em que as regras são geradas, o sistema faz a criação de pastas de arquivos, designada pelo nome do Labin, contendo sub-pastas em que seu nome refere-se a cada dia da semana. Dentro dessas sub-

14 pastas são criados dois arquivos, um com o nome lib.txt que referencia os sites liberados e outro que é o bloq.txt que referencia os sites bloqueados, que são utilizados para fazer as devidas restrições e liberações conforme o Labin e o dia mencionados nos nomes das patas acima referidas. tcp_port 3128 cache_access_log /var/log/squid/access.log cache_mem 200 MB maximum_object_size_in_memory 64 KB maximum_object_size 5 MB cache_swap_low 90 cache_swap_high 95 cache_dir ufs /var/spool/squid acl all src / acl rede_interna src /16 acl LABIN01 src /24 acl segunda time M 19:15-22:30 acl terca time T 19:15-22:30 acl LABIN01Segundal url_regex -i LABIN01/Segunda/lib.txt acl LABIN01Segundab url_regex -i LABIN01/Segunda/bloq.txt acl LABIN01Tercal url_regex -i LABIN01/Terca/lib.txt acl LABIN01Tercab url_regex -i LABIN01/Terca/bloq.txt #LABIN 01 http_access allow all LABIN01 segunda LABIN01Segundal http_access deny all LABIN01 segunda LABIN01Segundab http_access allow all LABIN01 terca LABIN01Tercal http_access deny all LABIN01 terca LABIN01Tercab http_access allow rede_interna http_access deny all CONCLUSÃO Inicialmente, a proposta não apresentou grandes dificuldades. No entanto, durante seu desenvolvimento os obstáculos surgiram. Uma grande dificuldade foi a etapa de criação da interface, quando foi escolhida a linguagem para o desenvolvimento, não se tinha o conhecimento, da linguagem, necessário para consolidar uma boa interface. Mas, com a ajuda do professor orientador e de outros colegas, se obteve o conhecimento de ferramentas adequadas para desenvolver essa etapa. Outra dificuldade foi a migração da interface do sistema para a plataforma Linux, haja vista que a mesma fora desenvolvida toda com o sistema operacional Windows. A estruturação do novo sistema contendo as regras (ACLs) foi a maior das dificuldades, pois nessa etapa foram empregados todos conhecimentos obtidos e demonstrados no referencial teórico, entretanto não foram suficientes para explorar a lógica

15 da estrutura e da inserção das regras no Squid. Porém, essas etapas foram vencidas, e com isso foi possível concluir a proposta inicial que foi o sistema para o controle de acessos. O sistema tem como resultado a interface entre os Professores e as Regras do Proxy. Utilizando-se do conjunto de parâmetros, informados pelo professor, através do sistema de controle de acessos, é possível bloquear os sites que interferem na atenção do aluno com relação à aula. Através desse sistema o professor tem total controle dos acessos às páginas da Web durante sua aula, podendo, assim, liberar os sites relacionados às pesquisas inerentes à disciplina lecionada naquele momento. O professor cadastrado nesse sistema definirá qual sites estarão liberados para acesso, bem como bloqueá-los conforme o dia, a sala e o horário em que desejar. É possível ainda cessar o trafego apenas a endereços externos ao Labin, assim o professor, por exemplo, bloqueia toda a navegação externa, liberando acesso ao DCLabin (servidor de arquivos) ou até mesmo o Moodle (ambiente virtual de apoio ao ensino). BIBLIOGRAFIA ALMEIDA, Marcelo Barros 2006, Disponível em: < Acessado em 02/10/2007 BASTOS, Eri Ramos 2005, Disponível em: < Acessado em 13/10/2007 CONVERSE, Tim e PARK, Joyce PHP, A Bíblia 2 Edição GUEDES, Gilleanes T. A. UML Uma abordagem Prática GREEAR S, Ben 2005, Disponível em: < Acessado em 02/10/2007 LUNARDI. Marco, Agisander Squid Prático e Didático MARCELO, Antonio SQUID - Configurando o Proxy para Linux. 2. ed. Rio de Janeiro: Brasport, OSTERLOH, Heather - IP Routing Primer PLUS TANENBAUM, Andrew S - Redes de computadores 2002.