5/7/2010. Apresentação. Web Proxy. Proxies: Visão Geral. Curso Tecnologia em Telemática. Disciplina Administração de Sistemas Linux

Transcrição

1 Apresentação Servidor Proxy Administração de Sistemas Curso Tecnologia em Telemática Disciplina Administração de Sistemas Linux Professor: Anderson Costa Assunto da aula Proxy (Capítulo 21, seção 21.5) 2 Proxies: Visão Geral Web Proxy Proxy significa dar poder a alguém para agir em seu nome: Procuração Proxy é um conceito genérico em redes de computadores É empregado em diversos campos Proxy atua como um intermediário entre os clientes do serviço e os provedores do serviço O intermediário pode prover serviços aos clientes Clientes: Browsers Provedores: Servidores Web Funcionamento Nova requisição do Objeto, Cache responde Requisição de Objeto e Caching 3 4 1

2 Web Proxy: Serviços oferecidos Squid Caching Armazenamento dinâmico de objetos Racionalização do uso do link para internet Menor tempo de resposta para os usuários Controle de Acesso Permite implementar políticas administrativas de acesso à internet Pode ser baseado em: Horário, Tipo do conteúdo (filtros) Logs Caches mantêm registros de acessos aos objetos Podem ser levantadas estatísticas de uso O SQUID é um servidor proxy Realiza Cache de objetos FTP e páginas da web Isto inclui Updates do Windows e pacotes do APT Mantém os objetos mais utilizados na memória RAM Realiza Cache de procuras DNS Acelera a procura de máquinas Grande quantidade de documentação e estudos de caso sobre o mesmo Inclusive em português 5 6 Instalando o Squid Configuração Inicial Instalação apt-get install squid Para controlar o serviço /etc/init.d/squid start /etc/init.d/squid restart /etc/init.d/squid stop /etc/init.d/squid force-reload Configuração Único arquivo de configuração /etc/squid/squid.conf Arquivo original é extenso Diversas configurações muito bem documentadas Uma configuração funcional http_port 3128 http_access allow all Opção http_port indica a porta em que o proxy atenderá requisições Opção visible_hostname indica o nome da máquina Terceira linha define uma ACL (Access Control List) indicando todos os endereços IPs possíveis Nome: all; Conteúdo: src / Opção http_access controla a ação sobre a ACL especificada Permitir (allow) ou Negar (deny) 7 8 2

3 Controle de Acesso (1) Controle de Acesso (2) Permissões de IP http_port 3128 acl localhost src / acl redelocal src /24 http_access allow localhost http_access allow redelocal http_access deny all Requisições locais e da rede local são encaminhadas Outros IPs são negados Atenção para a ordem das regras de permissão/negação Caso uma requisição case com a regra a regra será disparada Regras mais gerais devem vir por último Permissões de Porta http_port 3128 acl Safe_ports port 80 acl Safe_ports port 443 acl localhost src / acl redelocal src /24 http_access deny!safe_ports http_access allow localhost http_access allow redelocal http_access deny all Somente requisições HTTP e HTTPS são aceitas. Outras requisições serão descartadas 9 10 Configurando o Cache (1) Configurando o Cache (2) Squid possui dois tipos de cache Cache rápido em memória RAM Ideal para armazenar pequenos objetos Ex: páginas html, imagens... Cache mais lento feito em HD Armazena arquivos maiores Ex: Atualizações, programas, pacotes... É possível configurar A quantidade de memória utilizada para cada cache O tamanho máximo/mínimo dos arquivos em cada cache Boas configurações permitirão melhor desempenho para cada número de usuários e tipo de tráfego Cache rápido em memória RAM Dois parâmetros importantes cache_mem 64 MB maximum_object_size_in_memory 64 KB Em cache_mem indica-se o uso de 1/3 ou mesmo metade da memória RAM O valor real depende do consumo de memória de outros serviços e do próprio Linux Ferramentas free e vmstat podem ser úteis O segundo parâmetro indica o tamanho máximo dos objetos armazenados na RAM Arquivos que execederem este tamanho não serão armazenados na RAM

4 Configurando o Cache (3) Configurando o Cache (4) Cache mais lento em HD Quatro parâmetros importantes maximum_object_size 512 KB minimum_object_size 0 KB cache_swap_low 90 cache_swap_high 95 Os dois primeiros parâmetros indicam o tamanho máximo e minimo dos objetos armazenados no HD Útil para downloads grandes: pacotes, atualizações etc Os outros dois parâmetros indicam o percentual de utilização da cache de disco a partir dos quais o squid começará a substituir arquivos antigos Acima do low (90%): Squid ativa a substituição de modo a Acima do high (9): Squid ativa uma política de substituição mais agressiva de modo a retornar aos 90% ou 13 80% 30% Acima do high (9): Squid ativa uma política de 14 Configurando o Cache (5) Configurando o Cache (6) Acima do high (9): Squid ativa uma política de Acima do high (9): Squid ativa uma política de 30% 80% 30% % 80% 30% 8 30% 93% Ativa substituição de objetos 16 4

5 Configurando o Cache (7) Configurando o Cache (8) 30% Acima do high (9): Squid ativa uma política de 93% Objeto Descartado 17 30% Acima do high (9): Squid ativa uma política de 93% Objeto Descartado 30% 8 18 Configurando o Cache (9) Políticas de acesso (1) 30% Acima do high (9): Squid ativa uma política de 9 93% Objeto Descartado 30% 8 30% Ocorrerá uma substituição mais agressiva!!! 19 Com o squid é possível filtrar requisições Por URL ou palavra na URL Por IP, Por horário etc... Por URL ou palavra na URL acl bloquear url_regex i /etc/squid/bloqueados http_access deny bloquear Palavras ou URLs contidas no arquivo bloqueados não serão acessíveis Útil para impedir acesso de sites específicos Lista de palavras deve ser mantida Para listas de palavras mais completas é recomendável utilizar um filtro específico como DansGuardian 20 5

6 Políticas de acesso (2) Autenticação (1) Por IP acl ips-bloqueados dst http_access deny ips-bloqueados Negando o acesso à sites específicos utilizando os IPs Por horário É possível determinar horários em que o serviço poderá ser utilizado acl bloquear url_regex i /etc/squid/bloqueados acl almoco time 12:00-14:00 http_access allow almoco http_access deny bloquear No exemplo, os usuários poderiam acessar as páginas bloqueadas no horário de almoço, mas em outros horários seria proibido 21 Pode-se adicionar uma camada extra de segurança através da autenticação Permite controle do acesso Permite a auditoria dos acessos, por usuário Para configurar autenticação é preciso o uso do htpasswd Instalado através do pacote apache2-utils Crie o arquivo /etc/squid/passwd Cadastre os logins usando o comando htpasswd /etc/squid/passwd asa Configure o Squid auth_param basic program /usr/lib/squid/ncsa_auth /etc/squid/passwd acl autenticados proxy_auth REQUIRED http_access allow autenticados 22 Autenticação (2) Proxy Transparente (1) Pode-se criar políticas por usuário Suponha que os usuários asa e test terão acesso irrestrito. O usuário lamb terá acesso somente pela manhã, os demais logados terão acesso durante o almoço, e os usuários não logados não terão qualquer acesso. http_port 3128 auth_param basic program /usr/lib/squid/ncsa_auth /etc/squid/passwd acl autenticados proxy_auth REQUIRED acl permitido proxy_auth asa test acl restrito proxy_auth lamb acl manha time 08:00-12:00 acl almoco time 12:00-14:00 Configurado o proxy, deve-se configurar os browsers dos usuários Navegadores podem ser desconfigurados Para resolver isto utiliza-se o Proxy transparente Conexões dirigidas à Internet são redirecionadas ao proxy http_access allow permitido http_access allow restrito manha http_access allow autenticados almoco http_access deny all

7 Proxy Transparente (2) Proxy Transparente (3) Para ativação do proxy transparente iremos precisar do SQUID e do IPTABLES No arquivo squid.conf altere a opção http_port por: http_port 3128 transparent No Linux executa-se o comando iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 3128 Redireciona as requisições dirigidas à interface eth0 na porta 80 para a porta 3128 OBS: este comando deve ser executado em uma linha só! Nos clientes Deve-se apenas configurar corretamente o gateway O gateway pode ser ou a própria máquina em que roda o Squid ou Um roteador que possua uma regra para redirecionar tráfego HTTP para a máquina em que roda o squid Desvantagem do Proxy transparente Não trabalha com autenticação Existem soluções que permitem isso A maioria proprietárias Soluções livres: NatACL: NoCatAuth: Outras configurações Quando um usuário tem seu acesso negado O Squid retorna uma página de erro em inglês É possível mudar a página de erro para português error_directory /usr/share/squid/errors/portuguese As páginas deste diretório podem ainda ser personalizadas Basta substituir as páginas no diretório Exemplo: arquivo de configuração http_port 5060 error_directory /usr/share/squid/errors/portuguese cache_mem 256 MB maximum_object_size_in_memory 128 KB auth_param basic program /usr/lib/squid/ncsa_auth /etc/squid/passwd acl autenticados proxy_auth REQUIRED acl almoco time 12:00-14:00 acl Safe_ports port 80 acl Safe_ports port 443 acl localhost src / acl redelocal src /24 acl permitido proxy_auth asa http_access allow localhost http_access deny!safe_ports http_access allow permitido redelocal http_access allow autenticados redelocal almoco http_access deny all

8 Relatórios de acesso SARG (1) O Squid pode manter um registro de todos acessos Permite auditoria Estes registros são salvos em um arquivo de log que deve ser indicado através do parâmetro abaixo access_log /var/log/squid/access.log squid Este é um arquivo texto que pode ser lido com qualquer ferramenta Existem ferramentas que geram relatórios de acesso Squid Analysis Report Generator (SARG) Instalando o SARG apt-get install sarg SARG gera relatórios em formato de páginas web Precisa do Apache para funcionar SARG cria scripts em /etc/cron.daily /etc/cron.weekly /etc/cron.monthly Para gerar os relatórios iniciais basta executar o comando sarg como root Os relatórios gerados são acessados através de um browser pela URL SARG (2) SARG (3)

9 Servidor Proxy Administração de Sistemas Professor: Anderson Costa 9