MARCELO DE ALMEIDA BORGES. Funcionalidades do Squid Implementado no Ambiente Corporativo

Transcrição

1 MARCELO DE ALMEIDA BORGES Funcionalidades do Squid Implementado no Ambiente Corporativo Guarulhos 2011

2 MARCELO DE ALMEIDA BORGES Funcionalidades do Squid Implementado no Ambiente Corporativo Trabalho de Conclusão de Curso apresentado à Faculdade Eniac, como requisito parcial para a obtenção do título de graduação Bacharelado em Sistemas de Informação. Orientador: Rodrigo Rodrigues Guarulhos 2011

3 Borges, Marcelo de Almeida Funcionalidades do Squid Implementado no Ambiente Corporativo. São Paulo, f. Trabalho de Conclusão de Curso Faculdade Eniac Sistemas de Informação. Orientador: Rodrigo Rodrigues

4 Aluno: Marcelo de Almeida Borges Título: Funcionalidades do Squid Implementado no Ambiente Corporativo A banca examinadora dos Trabalhos de Conclusão em sessão pública realizada em / /, considerou o(a) candidato(a): ( ) aprovado ( ) reprovado 1) Examinador(a) 2) Examinador(a)

5 Podem me tirar tudo que tenho só não podem me tirar às coisas boas que já fiz para quem eu amo. Obrigado, Valdice Gonçalves de Almeida.

6 Agradecimentos Gostaria de agradecer a todas as pessoas que contribuirão para a realização deste trabalho. Primeiramente a minha mãe por suportar o meu mau-humor neste período e ao meu pai pelas noites que passamos em claro fazendo a revisão. A minha querida tia Jocélia Borges pela dedicação e auxílio. Agradeço também ao empenho dos meus professores Rodrigo Rodrigues e Rita de Cássia, fundamentais no desenvolvimento e formatação do meu tcc. Em suma agradeço a todos que participarão diretamente e indiretamente na conclusão desta fase da minha vida. Obrigado.

7 Inteligência é a habilidade de evitar fazer o trabalho, e mesmo assim conseguir ter o trabalho realizado. Linus Torvalds

8 Resumo Neste trabalho de conclusão de curso estaremos abordando o tema Squid, um software open source que tem a função de prover serviços de proxy e cache. O trabalho inteiro é baseado no estudo de caso da empresa Quimitrans, sendo que, a instalação e configuração do servidor proxy foi feita na filial Bahia. Este trabalho foi estruturado em ordem cronológica, iniciando com uma breve introdução dos principais conceitos necessários para o entendimento do tema. Nos capítulos posteriores descrevo a funcionalidade e características do servidor Squid, fundamentando a minha pesquisa. No capítulo 3 será abordada a instalação do Squid na filial Bahia, tornando este capítulo extenso e didático, pois procurei detalhar todas as possibilidades de uma instalação, além de transmitir todo o conhecimento obtido na implantação do software na empresa. Após a instalação do Squid, será instalado o gerador de relatórios Sarg, ele auxiliará o administrador da rede a obter informações importantes sobre o uso do proxy na rede. Após o êxito da instalação será possível analisar o tráfego de rede, podendo assim obter diversas informações como: estatísticas de acesso, total de horas conectadas, quantidade de bytes baixados entre outros. Com essas informações definidas, será apresentada uma análise da implementação do servidor, destacando os pontos positivos e negativos, além de concluir qual o ganho, a empresa obteve com a instalação do servidor proxy Squid. Palavras Chave: Squid, Proxy, Ambiente, Corporativo.

9 Abstract In this work, completion of course discuss the issue Squid, an open source software that has the function of providing services and proxy cache. The whole work is based on the study of situations found in Quimitrans company, however, the installation and configuration of the proxy server was made at the branch Bahia. This work is structured chronologically, starting with a brief introduction of key concepts necessary for understanding the subject. In later chapters describe the functionality and features of the Squid server, giving reasons for my research. In chapter 3 will be addressed in the installation of Squid subsidiary Bahia, making this chapter and extensive teaching, because I tried to detail all the possibilities of an installation, and convey the knowledge gained in the implementation of the software company. After the installation will be installed Sarg report generator, it will assist the network administrator to obtain important information about using the proxy on the network. After successful installation you can analyze network traffic, so you can get various information such as access statistics, total hours connected, number of bytes downloaded and others. With this information set will be presented an analysis of the server implementation, highlighting the strengths and weaknesses, and conclude what benefits the company had with installing Squid proxy server. Keyword: Squid, Proxy, Ambiente, Corporativo.

10 Lista de Abreviaturas e Siglas IP URL ACL GPEDIT FTP GNU GPL HTML HTTP HTTPS JPEG KB PDF SMTP SSL TCP TCP/IP TLS URL RAM Internet Protocol Uniform Resource Locator Access Control List Group Policy Editor File Transfer Protocol. GNU Is Not Unix. General Public License. Hypertext Markup Language. Hypertext Transfer Protocol. Secure Hypertext Transfer Protocol. Joint Photographic Experts Group. Kilobyte. Portable Document Format. Simple Mail Transfer Protocol. Secure Sockets Layer. Transmission Control Protocol. Transmission Control Protocol / Internet Protocol. Transport Layer Security. Universal Resource Locator. Random Access Memory.

11 Lista de Figuras Figura 1.1: Usabilidade do Sistema Operacional Figura 3.1: Servidor Proxy utilizado na filial Bahia Figura 3.2: Informações fornecidas após a execução do comando Figura 3.3: Site MSN Bloqueado Figura 3.4: Gpedit Figura 3.5: Retorno com o êxito no registro Figura 5.1: Relatório de acesso Figura 5.2: Relatório de Sites Acessados Figura 5.3: Relatório dos 100 Sites Mais Acessados Figura 5.4: Relatório dos Sites Bloqueados Figura 5.5: Relatório de Horário Figura 5.6: Relatório de Acessos do Usuário... 66

12 Sumário Introdução Capítulo 1: Conceitos Iniciais Sistemas Operacionais Rede Proxy Capítulo 2: Squid O Começo do Squid Parâmetros Iniciais Principais TAG's do Arquivo squid.conf ACL s Regras de Acesso Capítulo 3: Implementação e Configuração do Servidor Proxy Instalação do Squid no Ambiente Windows Alterando o Arquivo squid.conf Adaptações nas ACL s Iniciando o Serviço Testando o Serviço Configurando as Estações dos Usuários Capítulo 4: Sarg Instalação do Squid no Ambiente Windows Capítulo 5: Análise de Desempenho e Resultados Considerações Finais Referências Bibliográficas Termo de Compromisso e Responsabilidade... 76

13 13 Introdução Foi a partir da necessidade de se implantar uma solução de controle de acesso à internet na empresa Quimitrans que surgiu o tema do meu trabalho de conclusão do curso. O projeto consiste em montar um servidor proxy corporativo para a filial Bahia, tendo em vista a estabilidade, segurança, compatibilidade com a nossa infraestrutura tecnológica, economicamente viável e que otimizasse o nosso link de internet. A partir dessas informações foi feita uma pesquisa na internet para identificar os softwares que se enquadrassem nos nossos requisitos e optamos pelo servidor de proxy Squid. Tendo assim como objetivo do trabalho, apresentar a implementação, configuração e monitoração dele na empresa Quimitrans. A popularização da internet, fez com que milhares de empresas entrassem no mundo digital, sendo assim, percebeu que necessitavam estar presentes na internet, com sites, comércio eletrônico, sistemas integrados e atuantes nas redes sociais, para sobreviverem nos dias atuais. Assim é de extrema importância que as organizações se preocupem em obter soluções que facilitem e otimizem o acesso à tecnologia aos funcionários. É nesse cenário que surge o Squid, software open source, licenciado sob a GNU GPL que compartilha a conexão entre vários micros, servindo como um intermediário entre eles e a internet. O Squid tem suporte a diversos protocolos como HTTP, HTTPS, FTP e funciona em vários sistemas operacionais como Linux, Unix e Windows.

14 14 O procedimento de implantação do Squid se deve ao sistema de cache de navegação, que armazena localmente objetos como páginas HTML, imagens e arquivos da internet melhorando a qualidade do serviço fornecido aos funcionários. O Proxy ajuda a diminuir o tempo médio de acesso a páginas e downloads de arquivos, porque eles (páginas Web, arquivos, fotos, etc.) geralmente são requisitados mais de uma vez, entretanto, na primeira vez que a requisição for feita, as páginas serão carregadas direto do servidor em que estiver hospedada, caso contrário, as requisições serão atendidas pelo servidor local. Além de todas as vantagens em otimização de tempo o Squid também é um ótimo programa para controle de acesso à internet. Todo o acesso à internet da empresa passa necessariamente por um filtro predefinido pelo administrador, assim é possível bloquear páginas com conteúdo indesejado, limitar acessos com base no horário, IP da máquina, Login, Mac Address, Domínio etc. Outra vantagem em se ter um servidor Squid na empresa é que ele loga todos os acessos realizados, podendo ser visualizado e interpretado por outros programas como o Sarg. Assim, é possível através de relatórios e gráfico saber estatísticas do tráfego da rede e com essas informações analisar e controlar os acessos dos funcionários à internet. Diversas empresas de todos os segmentos utilizam e aprovam o Squid, por ser estável, econômico e eficiente. Este trabalho será estruturado da seguinte forma: Primeiro Capítulo: Serão citados alguns conceitos iniciais para o leitor que não está acostumado com os termos e ideologias tecnológicas. Segundo Capítulo: Serão citados os conceitos e fundamentações do software squid, suas funcionalidades e recursos.

15 15 Terceiro Capítulo: Será apresentada a instalação e configuração do Squid na Filial Bahia. Quarto Capítulo: Será apresentada a ferramenta Sarg, um gerador de relatórios e estatísticas. Quinto Capítulo: Será apresentado o resultado da implantação do servidor Squid. Com esse conceito em mente, apresento neste trabalho uma breve análise das principais funcionalidades do servidor proxy, suas funções e vantagens no ambiente corporativo, objetivando a melhor otimização do acesso à internet da empresa com uma análise de controle dos acessos a sites dos funcionários.

16 16 Capítulo 1 Conceitos Iniciais Nesse capítulo serão abordados os principais conceitos relacionados ao trabalho, como sistemas operacionais, rede, cache e proxy Sistemas Operacionais Sistema operacional é um programa de controle do computador, responsável por alocar recursos de hardware 1, escalonar tarefas, organizar e controlar o software 2 para que ele funcione de acordo com o programado. Ele também fornece uma interface para que o usuário tenha acesso aos recursos do computador e dos programas. Sua principal função é controlar o funcionamento do computador, gerenciando os diversos recursos disponíveis no sistema. [1] Existem vários tipos de sistemas, alguns são responsáveis pela gerência de muitos usuários, outros exercem a função de controlar dispositivos de hardware. Sendo assim é fato obrigatório que qualquer computador precise de um sistema operacional para funcionar. Atualmente todos os computadores têm sistemas operacionais, desde os desktops aos smartphones. Os mais comuns são o Windows, da empresa Microsoft, 1 O hardware, circuitaria, material ou ferramental. É a parte física do computador, ou seja, é o conjunto de componentes eletrônicos, circuitos integrados e placas, que se comunicam através de barramentos.[2] 2 Software, logiciário ou suporte lógico é uma sequência de instruções a serem seguidas e/ou executadas, na manipulação, redirecionamento ou modificação de um dado/informação ou acontecimento. [3]

17 17 o Linux, criado pelo Linus Torvalds e pela comunidade OpenSource e o OS X Lion, criado pela empresa Apple de Steve Jobs. O Windows é o sistema operacional mais usado em desktop, o que faz com que ele seja a plataforma mais familiar para a maioria das pessoas comuns. O domínio da Microsoft na área de computadores desktop iniciou em 1981 com a primeira versão do MS-DOS e estende-se até hoje. Linux é o termo geralmente empregado para designar qualquer sistema operacional que utilize o núcleo Linux e tem suas raízes no Unix [5]. Disponibilizado sob licença GPL 3 para qualquer pessoa estudar, modificar e distribuir, de acordo com os termos da licença,ele também está presente com (quase) unanimidade em projetos gigantescos de supercomputadores 4 e datacenters 5. Na 34ª edição do ranking do Top 500, o Linux é citado como o sistema operacional utilizado por quase 90% dos supercomputadores listados. O Macintosh Operating System (Mac OS) é a denominação do sistema operacional padrão dos computadores Macintosh produzidos pela Apple. [5] Foi o primeiro computador pessoal a popularizar a interface gráfica, na época um desenvolvimento extraordinário e revolucionário. Ele é muito utilizado para a edição de vídeo, imagem e som. Estes são sistemas completos estáveis, multifuncionais e enormes, segundo (TANENBAUM, 2009, p. 653) O código-fonte de um sistema operacional como o 3 GNU General Public License, ou simplesmente GPL, é a designação da licença para software livre idealizada por Richard Matthew Stallman em 1989, no âmbito do projeto GNU da Free Software Foundation (FSF). [6] 4 Supercomputador é um computador com altíssima velocidade de processamento e grande capacidade de memória. Tem aplicação em áreas de pesquisa que grande quantidade de processamento se faz necessária, como pesquisas militares, científica, química, medicina. [7] 5 Um Centro de Processamento de Dados (CPD) é o local onde são concentrados os equipamentos de processamento e armazenamento de dados de uma empresa ou organização. Também conhecidos pelo nome em inglês, datacenter. [8]

18 18 Linux ou o Windows tem cerca de cinco milhões de linhas de código, assim é possível perceber que os sistemas operacionais são complexos e bem difíceis de serem construídos. Segundo (TANENBAUM, 2009, p. 653) Agora deve estar claro por que os sistemas operacionais têm vida longa eles são muito difíceis de escrever e, uma vez tendo escrito um, o proprietário não se dispõe a descartá-lo e começar de novo. O Windows 95/98/ME era basicamente um sistema operacional e o Windows NT/2000/XP/Vista é um sistema diferente. Para os usuários, eles parecem semelhantes porque a Microsoft se assegurou de que a interface com o usuário do Windows 2000/XP fosse bastante parecida com o sistema que estava substituindo, principalmente o Windows 98. Cada sistema operacional tem as suas peculiaridades, sendo amados por uns e odiados por outros. Atualmente o sistema Operacional Windows domina o mercado de Desktops com as suas diferentes versões (XP, Vista e Seven), enquanto Linux e o OS X Lion 6 vem bem atrás. Porém, cada sistema operacional acaba sendo mais eficaz em determinadas tarefas, agradando assim a um grupo especifico de usuários. 6 Mac OS X (pronuncia-se Mac OS Dez) é um sistema operacional proprietário baseado no kernel Unix titulado OpenDarwin, desenvolvido, fabricado e vendido pela empresa americana Apple, destinado exclusivamente aos computadores da linha Macintosh e que combina a experiência adquirida com a tradicional GUI desenvolvida para as versões anteriores do Mac OS com um estável e comprovado núcleo. A última versão do Mac OS X possui certificação UNIX. [9]

19 19 Figura 1.1: 1 Usabilidade do Sistema Operacional [10 10] Este gráfico mostra o perfil do usuário que utiliza o sistema operacional. operacional Enquanto no Windows os usuários preferem jogar games, o OS X se destaca pela produção, edição e otimização de vídeo e o Linux, se destaca por ter um número maior de usuários hackers7, já que é uma plataforma com maior liberdade de configuração. 7 Originalmente, e para certos programadores, hackers (singular: hacker) são indivíduos que elaboram e modificam software e hardware de computadores, seja desenvolvendo funcionalidades novas, seja adaptando as antigas, além de terem muito conhecimento em informática. [11]

20 Rede Uma rede de computadores consiste em dois ou mais computadores e outros dispositivos interligados entre si de modo a poderem compartilhar recursos físicos e lógicos, estes podem ser dos tipos: dados, impressoras, mensagens ( s), entre outros. [12] Atualmente, com a importância cada vez maior de se prover meios de acesso aos dados e as informações de uma forma fácil e intuitiva, as redes de computadores não param de crescer e se expandir. A arquitetura OSI 8 é um modelo que divide as redes de computadores em sete camadas, obtendo assim camadas de abstração, cada protocolo implementa uma funcionalidade específica assinalada a uma determinada camada. Segundo (MORIMOTO, 2009, p. 550) O famoso modelo OSI, que tenta explicar o funcionamento da rede, dividindo-a em 7 camadas: 7- Aplicações (aqui está o programa, que envia e recebe dados através da rede) 6- Apresentação 5- Sessão 4- Transportes (aqui entra o protocolo TCP e o sistema operacional, que controla a transmissão dos dados, detectando problemas na transmissão e corrigindo erros) 3- Camadas de Rede (aqui está o protocolo IP) 2- Links de dados (aqui estão as placas de rede e os switches) 1- Camada Física (aqui estão os cabos e os hubs). 8 Open Systems Interconnection. [13]

21 21 A ideia básica do modelo de referência OSI é: cada camada é responsável por algum tipo de processamento, e cada camada apenas se comunica com a camada imediatamente inferior ou superior. [14] Os principais componentes da Internet precisam de protocolos de comunicação, eles servem para controlar o envio e a recepção das informações na Internet. O TCP e o IP são os principais protocolos de comunicação da Internet. Por este motivo são também conhecidas como rede TCP/IP. O conjunto de protocolos pode ser visto como um modelo de camadas, onde cada camada é responsável por um grupo de tarefas, fornecendo um conjunto de serviços bem definidos para o protocolo da camada superior. [15] O protocolo IP é o responsável por estabelecer a rota pelo qual os pacotes passarão pela malha de roteadores da internet, sendo esta rota construída como base. O endereço de destino de cada pacote é referenciado como um endereço IP. Atualmente, redes de computadores são o núcleo da comunicação moderna. O escopo da comunicação cresceu significativamente na década de 1990 e essa explosão nas comunicações não teria sido possível sem o avanço progressivo das redes de computadores. [16] Proxy

22 22 O Proxy é um servidor que atende a requisições repassando os dados do cliente à frente: um usuário (cliente) conecta-se a um servidor proxy, requisitando algum serviço, como um arquivo, conexão, página web, ou outro recurso disponível em outro servidor.. [17] Alguns exemplos das suas finalidades são: registro, controle de acesso,filtragem, tradução, varredura antivírus e cache. Segundo (MORIMOTO, 2009, p. 555) Usar um servidor proxy permite logar os acessos, impor restrições diversas, baseadas em horários, endereços e outras condições, limitar o uso de banda e assim por diante, o que faz com que eles sejam bastante populares em redes empresariais, onde a redução no uso de banda e o possível aumento na produtividade compensem o trabalho necessário. Ele basicamente atua como um intermediário em uma transação web, sendo utilizado com freqüência em firewalls 9 para aumentar a segurança, recebendo e processando as requisições dos clientes e as encaminhando para os servidores de origem. Os proxies também são conhecidos como application layer gateways ou gateways de camada de aplicação, isto se deve pelo fato, dele atuar na camada de aplicação do modelo de referência OSI, assim como os clientes e os servidores. Existem vários softwares de proxy no mercado, sendo o Squid o mais usado e recomendado, pois ele é bem documentado, completo e disponibilizado sobre a licença GPL. 9 Firewall (em português: muro anti-chamas) é um dispositivo de uma rede de computadores que tem por objetivo aplicar uma política de segurança a um determinado ponto da rede e filtros de pacotes e de proxy de aplicações, comumente associados a redes TCP/IP. [18]

23 23 Capítulo 2 - Squid O servidor de proxy Squid é um software licenciado nos termos da GPL, gratuito e pode ser utilizado tanto no ambiente comercial ou particular. Ele suporta os sistemas operacionais Linux, FreeBSD, OpenBSD, NetBSD e Windows. De acordo com (WESSELS p. 444): O Squid é um dos servidores Proxy mais utilizado no mundo, dado a sua robustez, segurança e recursos que oferece. Apesar dos poucos protocolos que ele consegue trabalhar, no caso apenas o HTTP, HTTPS, FTP e gopher, é ainda uma alternativa muito interessante, já que estes são os principais protocolos da internet, e além do mais, muitos dos aplicativos que usam outros protocolos têm capacidade de usar o Squid através de um dos protocolos suportados por ele. A função do Squid é servir como um intermediário em uma transação web, aceitando as requisições da máquina cliente, processando e encaminhando à internet, além de servir como um cache, armazenando os conteúdos digitados para uma nova utilização. Na próxima vez que o mesmo site for solicitado, as informações poderão ser servidas a partir do cache do servidor, ao invés de buscar na internet, fazendo assim uma nova requisição. Outra vantagem em se utilizar o Squid é o registro de acessos, assim todo acesso à internet pelas máquinas configuradas no proxy é registrado em arquivos de log, podendo ser utilizado para as mais diversas finalidades, entre elas estão: a análise de performance do servidor, geração de relatórios detalhados dos acessos à internet, estatísticas de acesso, entre outros.

24 24 Com isso ele consegue suprir a necessidade das organizações de terem um controle sobre qual conteúdo os funcionários acessam durante o expediente de trabalho, segundo uma pesquisa da Unisys 10, encomendada à IDC 11, com o propósito de saber sobre o uso pessoal de dispositivos móveis, sites e softwares no ambiente de trabalho, onde foi apontado que: A maioria dos funcionários, afirma usar seus aparelhos pessoais e softwares no horário de trabalho, além de acessar suas páginas das redes sociais e sites "proibidos", enquanto a maioria das empresas diz não permitir este tipo de atividade. [19] O Squid permite criar regras avançadas de restrição de acesso, definindo quais computadores terão acesso irrestrito, enquanto outros poderão apenas acessar determinado conjunto de sites pré-estabelecidos e outros podendo acessar qualquer site da internet. 2.1 O Começo do Squid Em 1994 existia o servidor HTTP CERN que além de funcionar como servidor HTTP foi também o primeiro proxy e cache, sendo que o módulo cache foi criado por Ari Luotonen em Neste mesmo ano o IRTF-RD 12 começou o projeto Harvest, 10 A Unisys é uma empresa mundial de serviços e soluções de Tecnologia da Informação. Trabalha com consultoria, integração de sistemas, outsourcing e serviços de infra-estrutura combinados com tecnologia para servidores corporativos. [20] 11 IDC (International Data Corporation), empresa líder em inteligência de mercado, consultoria e conferências nos segmentos de Tecnologia da Informação e Telecomunicações. [21] 12 Internet Research Task Force Group on Resource Discovery [22]

25 25 que consistia em um conjunto integrado de ferramentas para coletar, extrair, organizar, localizar, e replicar informações da Internet. Os dois projetos no inicio eram bem parecidos, porém o cache Harvest se destacava em três melhorias em relação ao CERN: maior velocidade no uso do sistema de arquivos, design de processo único e hierarquias de cache através do Internet Cache Protocol. Em 1995 os autores originais do código do Harvest Peter Danzig e Anawat Chank hunthod tornaram-no um produto comercial que posteriormente foi adquirido pela empresa Network Appliance, No início de 1996, Duane Wessels integrou-se ao NLANR 13 para trabalhar no projeto IRCache 14, financiado pela National Science Foundation. Neste projeto, o códigodo cache do Harvest foi renomeado para Squid, e liberado sob a licença GNU GPL. O financiamento do projeto acabou em julho de 2000 e atualmente sobrevive graças a milhares de voluntários espalhados pelo mundo, tendo uma linha de desenvolvimento muito ativa. Ocasionalmente o projeto recebe suporte financeiro e outras formas de auxílio de empresas, além de voluntários que utilizam o Squid Parâmetros Iniciais 13 National Laboratory for Applied Network Research [23] 14 Information Resource Cache [24]

26 26 Toda a configuração necessária para usar o squid é feita no arquivo squid.conf, que por padrão vem localizado dentro do diretório /etc/squid/, este arquivo por padrão vem com o máximo de detalhamento possível, cerca de 3000 linhas, a fim de explanar e explicar a maior parte das funcionalidades do mesmo. Segundo (MORIMOTO, 2008, p. 735) O arquivo original, instalado junto com o pacote, é realmente enorme, contém comentários e exemplos para quase todas as opções disponíveis. Porém, para o funcionamento do Squid, pode-se optar em zerar o squid.conf e fazer uma configuração minimalista, facilitando assim a leitura e entendimento da configuração. O Squid trabalha em modo bash 15, ou seja, por linha de comando. Existem algumas ferramentas que facilitam a configuração apresentando uma interface gráfica amigável como o Webmin 16, todavia não será tratada neste projeto. Como o Squid é multiplataforma existem métodos diferentes para usar os comandos, geralmente variando de distribuição para distribuição. No Ubuntu 17 para reiniciar o serviço você tem que usar a sintaxe: service <nome do serviço><ação a ser executada> No caso: #service squid restart #service squid stop #service squid start [25] 15 O bash é um interpretador de comandos, uma espécie de tradutor entre o sistema operacional e o usuário, normalmente conhecido como shell. [26] 16 Webmin é uma interface baseada na web para administração do sistema para Unix. Usando qualquer navegador web moderno, você pode configurar contas de usuário, Apache, DNS, compartilhamento de arquivos e muito mais. [27] 17 Ubuntu é um sistema operacional baseado em Linux desenvolvido pela comunidade e é perfeito para notebooks, desktops e servidores. Ele contém todos os aplicativos que você precisa - um navegador web, programas de apresentação, edição de texto, planilha eletrônica, comunicador instantâneo e muito mais. [28]

27 27 Esses comandos são os principais para a administração do servidor Squid Principais TAG's do Arquivo squid.conf A TAG http_port é o parâmetro onde fica definida a porta em que o serviço Squid passará a escutar as requisições. Por padrão, esta opção vem comentada e não precisa ser descomentada, caso não se deseje alterá-la, porém, alguns administradores preferem alterá-las para evitar ataques ao servidor. Exemplo: http_port 3128 A TAG cache_mem é o parâmetro que configura a quantidade de memória utilizada para cache e objetos. Segundo (MORIMOTO, 2008, p. 735) você pode reservar 32 ou 64 MB para o cache em servidor não dedicado, que atende a apenas alguns micros..,.. e até 1/3 da memória RAM total em um servidor Proxy dedicado, que atende um volume maior de usuários. Exemplo:cache_mem 32 MB

28 28 Continuando, temos a TAG visible_hostname, que define o hostname 18 a qual será mostrado nas mensagens de erro do Squid e caso não seja alterada, o Squid não inicia, porque por padrão ela vem definida como none. Exemplo: visible_hostname nome.seudominio.com.br A TAG maximum_object_size_in_memory define o tamanho máximo dos arquivos que serão guardados dentro do cache feitona memória RAM. Os arquivos restantes irão para o cache feito no hd. É obvio que o cache na memória é muito mais rápido, entretanto, os computadores disponibilizam uma quantidade de memória RAM limitada, desta forma é preferível deixá-la disponível para conteúdos da web. Exemplo: maximum_object_size_in_memory 64 KB Os próximos a serem definidos são os parâmetros maximum_object_size e minimum_object_size. Eles são responsáveis por estabelecer o tamanho máximo e mínimo para os arquivos que serão armazenados no cache do hd. Por padrão o Squid utiliza essas opções em 16MB para o máximo e 0KB para o mínimo, assim ele garante que até imagens e arquivos pequenos sejam armazenados. Esta TAG pode ser explorada para diversas finalidades. 18 Um hostname é um rótulo que é atribuído a um dispositivo conectado a uma rede de computadores e que é usado para identificar o dispositivo em várias formas de comunicação eletrônica, tais como a World Wide Web, ou Usenet. [29]

29 29 Segundo (MORIMOTO, 2008, p. 735). Se você faz download de arquivos grandes e deseja que eles fiquem armazenados no cache, aumente o valor da opção maximum_object_size. Isto é especialmente útil para quem precisa baixar muitos arquivos através do apt-get ou Windows update em muitos micros da rede. Exemplo:maximum_object_size 16 MB Exemplo: minimum_object_size 0 KB As TAG s cache_swap_low e cache_swap_high ajustam a porcentagem de uso do cache, descartando os arquivos antigos assim que for atingido o limite máximo. Cache_swap_low, cache_swap_high - estes valores definem os valores mínimo e máximo para reposição de objetos armazenados. Estes valores, são expressos em porcentagem. Quanto mais próximo o valor máximo, mais objetos são descartados do cache para entrada de novos. O default sendo 90% para cache_swap_low e 95% para cache_swap_high. [30] Exemplo:cache_swap_low 90 Exemplo:cache_swap_high 95

30 30 A opção cache_dir é composta por várias definições. O primeiro especifica o tipo de sistema de alocação que será usado, geralmente utiliza-se o UFS 19.Em seguida, será indicado o diretório onde o Squid armazenará os arquivos de cache. As próximas configurações são de extrema importância, o "512" indica a quantidade de espaço disponibilizada no HD para uso do cache e os números se referem à quantidade de subpastas criada dentro do diretório. Por padrão temos 16 pastas com 256 subpastas cada uma. Exemplo: cache_dir ufs /var/spool/squid A opção error_directory possibilita trocar o padrão do idioma apresentado nos erros mensagens de erro, facilitando a vida do usuário, pois o Squid vem com o idioma inglês como padrão. Em /usr/share/squid/errors/ existem vários subdiretórios com as linguagens suportadas pelo Squid. E estas mensagens, inclusive, podem ser facilmente personalizadas, pois, estão em arquivos no formato HTML. [31] Exemplo: error_directory /usr/share/squid/errors/portuguese ACL s 19 O Sistema de Arquivos Unix, do inglês Unix File System (UFS), é um sistema de arquivos usado por muitos sistemas operacionais Unix e assemelhados. Também é conhecido como Berkeley Fast File System (Sistema de Arquivos Rápido da Berkeley), BSD Fast File System ou simplesmente FFS. [32]

31 31 As ACL s estão entre as configurações mais importantes de um servidor Squid, pois, são elas que elevam o nível de segurança para a sua rede através dos bloqueios. As ACL's - (Access Control Lists) ou listas de controle de acesso, constituem-se na grande flexibilidade e eficiência do Squid, é através delas que podemos criar regras para controlar o acesso à internet das mais diferentes formas. Praticamente todo o processo de controle do Squid é feito com o seu uso. [33] As ACL s são fáceis e objetivas, porém possuem algumas pegadinhas. O Squid interpreta as ACL s de cima para baixo, então imagine que existam duas regras: Trava_Google e Libera_Google, se a ACL Trava_Google estiver na linha 1 e a regra Libera_Google estiver na linha 7 o site ficará bloqueado. O padrão para as ACL s é trabalhar como case-sensitive 20, diferenciando letras maiúsculas das minúsculas. Uma regra que bloqueia palavras começando com Orkut (maiúsculo) não necessariamente bloquearia a palavra orkut em minúsculo. Existem alguns meios de fugir desse padrão, utilizando-se a opção -i ou mudando-se para uma versão mais nova do Squid. 20 Case sensitive termo em inglês que significa Sensível ao tamanho, sendo que esse tamanho refere-se a maiúsculas e minúsculas na definição de variáveis, métodos e comando em um programa ou um compilador, faz a distinção entre os tamanhos das letras. [34]

32 Regras de Acesso A Sintaxe das ACL's é definida com o seguinte padrão: acl nome tipo string arquivo'' Existe uma enorme variedade de tipos de ACL s, cada uma com uma função específica que nada mais é do que a ferramenta que o Squid utiliza para mostrar quem pode e quem não pode o que pode e o que não pode. O tipo src é utilizado para especificar um determinado host ou uma rede, sendo umas das opções mais utilizadas no Squid. Exemplo: acl teste_tcc src /24 O tipo dst contém as mesmas características do src, porém, é utilizada para especificar um host ou uma rede de destino. Exemplo: aclip_teste dst /24 srcdomain - tipo indicado para verificar o domínio da máquina cliente. Os domínios serão obtidos por resolução reversa de IP, o que pode causar atrasos para a resposta da requisição. A definição do domínio

33 deve ser feita da seguinte forma: ``.meudominio.com.br'', não podendo ser esquecido o ``.'' (ponto) no início; [35] 33 Exemplo: acl domínio_teste srcdomain.quimitrans.com A opção dstdomain, assim como a dst, verifica o domínio listado. Porém, apenas com relação ao destino. Exemplo: acl domínio_teste2 dstdomain.google.com url_regex - Este tipo percorre a URL a procura da expressão regular especificada. Deve ser observado que a expressão é case-sensitive, para que seja case-insensitive 21 deve ser usada a opção -i. É o tipo mais comum de ACL dada a flexibilidade proporcionada pelo uso de expressões regulares; [36] Exemplo: acl palavra_proibida url_regex -i sexy Essas não são as únicas opções de ACL s do Squid, existem inúmeras como: port; proto; method; browser; time; urpath_regex; entre outras. Cada uma destas 21 Tratamento ou interpretação superior e minúsculas letras como sendo o mesmo. Muitas vezes usado em ciência da computação para indicar uma comparação ou teste de igualdade que não faz distinção entre letras que só diferem no caso. [37]

34 34 opções possui uma utilidade específica para ajudar o administrador na resolução do seu problema. A criação das ACL s é apenas o primeiro passo, deve-se agora construir as regras de acesso, baseando-se no uso dos operadores das ACL s. O operador mais comum é o http_access sendo capaz de construir regras baseado nos protocolos HTTP e FTP. Para cada ACL usada será necessário criar um http_access. Esta regra está especificando, que apenas, requisições provenientes da rede /24 serão aceitas. As requisições fora desta faixa de rede serão negadas. acl redelocal src /24 http_access allow redelocal Esta regra estará limitando o uso apenas à rede informada, assim qualquer acesso para outro destino será negado. acl dst_teste dst /24 http_access allow dst_teste As regras srcdomain e dstdomain são muito parecidas. Neste caso requisições vindas de.quimitrans.com.br e com destino a.google.com.br serão liberadas, porém as outras serão negadas. acl domínio_teste srcdomain.quimitrans.com

35 35 acl domínio_teste2 dstdomain.google.com http_access allow.domínio_teste domínio_teste2 O url_regex significa pesquisar toda a URL para a expressão regular que você especificar. [38] Isso significa que toda url, que contenha a palavra sexy será bloqueada. acl palavra_proibida url_regex -i sexy http_access deny palavra_proibida É possível criar diversas regras e combiná-las para atender melhor a uma determinada situação, porém, é importante lembrar que: O Squid aplica o oposto da última regra da lista, portanto é muito importante que seja incluída como última linha das regras de acesso http_access deny all '. Desta forma não vamos deixar que esta inversão de regra possa provocar algum dissabor, pois negaremos qualquer acesso que não tenha uma regra específica. [39] Abaixo será mostrado um modelo do arquivo squid.conf. Este modelo está simplificado, todavia é funcional e servirá como base para o desenvolvimento mais elaborado do mesmo, lembrando que, na internet existem milhares de modelos préconfigurados à sua escolha. Uma recomendação são os sites e este segundo mantido por Carlos Eduardo Morimoto, um renomado autor e difusor do tema Linux, além de ser o criador da distribuição Linux Kurumin.

36 36 http_port 8080 hierarchy_stoplist cgi-bin? acl QUERY urlpath_regex cgi-bin \? no_cache deny QUERY cache_mem 16 MB maximum_object_size_in_memory 64 KB maximum_object_size 16 MB minimum_object_size 0 KB cache_swap_low 90 cache_swap_high 95 error_directory C:\squid\share\errors\Portuguese cache_dir ufs C:\squid\var\spool\squid cache_access_log C:\squid\var\logs\access.log visible_hostname seu-servidor refresh_pattern ^ftp: 15 20% 2280 refresh_pattern ^gopher: 15 0% 2280 refresh_pattern % 2280 acl all src / acl manager proto cache_object acl localhost src / acl SSL_ports port acl Safe_ports port 80 acl Safe_ports port 21 acl Safe_ports port acl Safe_ports port 70 acl Safe_ports port 210 acl Safe_ports port acl Safe_ports port 280 acl Safe_ports port 488 acl Safe_ports port 591 acl Safe_ports port 777 acl Safe_ports port 901 acl purge method PURGE acl CONNECT method CONNECT acl palavra_proibida url_regex -i sexy http_access allow localhost http_access allow purge localhost http_access deny palavra_proibida http_access deny purge http_access deny!safe_ports http_access deny CONNECT!SSL_ports http_access deny all Exemplo do arquivo squid.conf Autor: Marcelo Borges

37 37 Capítulo 3 - Implementação e Configuração do Servidor Proxy A empresa Quimitrans é uma empresa focada no segmento de transporte químico. Atualmente concentra suas principais atividades na matriz localizada no estado de São Paulo, possuindo mais três filiais em pontos estratégicos (Rio de Janeiro, Bahia e Pernambuco) para uma melhor distribuição logística. A matriz possui aproximadamente 60 funcionários administrativos, que utilizam de estações de trabalho informatizadas para desenvolver os seus afazeres diários. Na matriz estão concentrados diversos servidores como: Servidor de Câmera, Servidor de Banco de Dados, Servidor de AD e Servidor Proxy Squid, concentrando assim a melhor estrutura tecnológica da empresa. As filiais possuem um número bem abaixo de funcionários administrativos e se encontram em desenvolvimento da estrutura tecnológica. Diante deste cenário, foi necessário montar um projeto de servidor proxy corporativo para a filial Bahia, tendo em vista a estabilidade, segurança e compatibilidade com a infra-estrutura tecnológica. A primeira filial a implantar o servidor Squid será a Bahia e possuirá oito usuários, que utilizarão o serviço de Proxy em suas estações de trabalho. O servidor proxy será instalado em uma máquina com as seguintes configurações: Processador Single Dual-Core AMD Opteron 2.8GHz, Memória de 1 GB DDR-2 667/800, HD de 500 GB, fonte redundante, placa de vídeo integrada, placa de rede Intel 10GbE 1 port PCIe x8 Base-T,Modelo Dell T105.

38 O computador opera sobre o sistema operacional Microsoft Windows Server Figura 3.1: Servidor Proxy utilizado na filial Bahia Instalações do Squid no Ambiente Windows Neste capitulo será apresentado passo a passo à instalação e configuração realizada na empresa Quimitrans. Devem-se interpretar todas as frases alinhadas à esquerda e com negrito, como sendo códigos a serem executados. O software Squid originalmente foi projetado para sistemas operacionais Unix/Linux, porém, está licenciado sobre os termos GNU GPL e foi portado para diversos sistemas operacionais. Desde a versão 2.6.STABLE4 está disponível para o ambiente Windows.

39 39 É requisito fundamental, que a máquina esteja acessando e navegando na internet e que possua instalado um software de descompactação de arquivos, exemplo winrar. Acesse pela internet o site para executar o download do Squid preparado para o Windows, versão Squid2.7 estável. Na seção download escolha o mirror de sua preferência, de acordo com disponibilidade e a distância do seu link de internet com o mirror. Escolhendo o mirror 1 você será redirecionado para a sessão binaries, onde terá que fazer o download do Squid 2.7 Stable8 (release date 13/03/2010), lembrando que essa versão é a atual em agosto de 2011, podendo haver mudanças dependendo de novas atualizações. Salve o arquivo squid-2.7.stable8-bin.zip na pasta de sua preferência e descompacte-o na unidade C:\\ do seu HD. Será criada uma pasta chamada squid que conterá todos os arquivos necessários para a instalação. Depois acesse: Iniciar > Executar > cmd Assim estará entrando no prompt de comando 22 do Windows que é um interpretador de linha de comando no OS/2 e de sistemas baseados no Windows NT. Dentro do prompt o cursor estará piscando do lado da linha referente à sua 22 Prompt de Comando é um interpretador de linha de comando no OS/2 e de sistemas baseados no Windows NT. Ele é um comando análogo ao command.com do MS-DOS e de sistemas Windows 9x, ou de shells utilizados pelos sistemas Unix. [40]

40 localização como C:\Documents and Settings\nomedousuario>, execute o comando. 40 cd c:\squid\sbin Este comando servirá para acessar a unidade C, diretório squid e subdiretório sbin, assim entrará da pasta que é destinado aos executáveis do sistema, utilizados somente por usuários com permissões de administrador. Agora será criado um serviço nativo no Windows para que o Squid seja iniciado automaticamente a cada reinicialização da máquina, ainda dentro do prompt de comando, execute o comando. squid -i -n squid informações. Após o êxito do comando, será apresentado um feedback com as seguintes "Registry stored HKLM\SOFTWARE\GNU\Squid\2.6\squid\ConfigFile value c:/squid/etc/squid.conf Squid Cache version 2.7.STABLE8 for i686-pc-winnt Installed successfully as squid Windows System Service. To run, start it from the Services Applet of Control Panel. Don't forget to edit squid.conf before starting it." Informações fornecidas se o comando for bem sucedido. Autor: Marcelo Borges

41 41 Esse feedback estará indicando o local da chave de registro criada para o squid, o local de origem do arquivo de configuração principal squid.conf, a versão instalada, a plataforma de origem, como iniciar o serviço do squid, algumas dicas de alteração do squid.conf e a informação que a instalação foi concluída com êxito. Será preciso criar algumas pastas dentro do squid para que alguns serviços importantes sejam iniciados, então entre no prompt de comando e crie as pastas \spool\squid. Primeiro entre no diretório C:\squid\var com o comando: cd c:\squid\var Crie as pastas: mkdir spool\squid Agora através do Windows Explorer 23 acesse o diretório C:\squid\etc e altere o nome dos documentos squid_radius_auth.conf.default, mime.conf.default, cachemgr.conf.default para squid_radius_auth.conf., mime.conf., cachemgr.conf., esse é um procedimento padrão a ser utilizado, pois os arquivos vem com a palavra default, justamente para ser usado como modelo caso queira substituí-los. Agora utilize o arquivo squid.conf criado no capitulo 1 substituindo assim o squid.conf.default original, porém é preciso que seja feito algumas 23 Windows Explorer é um gerenciador de arquivos e pastas do sistema Windows. Ou seja, é utilizado para a cópia, exclusão, organização, movimentação e todas as atividades de gerenciamento de arquivos, podendo também ser utilizado para a instalação de programas. [41]

42 modificações para adaptá-lo ao sistema operacional Microsoft Windows Server Alterando o Arquivo squid.conf Como citado no capitulo 2 o arquivo squid.conf é responsável por toda a configuração de parâmetros feito no squid e como consiste basicamente de um documento de texto contendo os comandos, ele pode ser usado independente da versão ou sistema operacional usado, entretanto, como foi desenvolvido no capitulo 2 um squid.conf baseado no Linux, será necessário que se altere algumas linhas para adaptá-lo ao esquema de organização e gerenciamento do sistema operacional Windows. Comece abrindo o arquivo squid.conf pelo bloco de notas, localizado no diretório C:/squid/etc, nele altere as seguintes linhas. error_directory /usr/share/squid/errors/portuguese Para error_directory C:\squid\share\errors\Portuguese Repare que foi alterado o caminho da localização, assim ao invés do squid ir procurar a página de erro no diretório /usr/share/.. ele irá procurar dentro do C:\squid\share\... e foram trocadas as barras para o padrão do Windows \ já que na plataforma Linux utiliza-se a barrado lado oposto /.

43 43 Depois altere a linha de configuração que contenha essas informações. cache_dir ufs /var/spool/squid Para cache_dir ufs C:\squid\var\spool\squid Esta localização é importante, pois é nela que o Squid armazena por padrão os arquivos de cache e como já citado, a localização dela vem padronizada para a plataforma Linux. Também foi alterada a quantidade de espaço no HD 24 para 2048 MB, que será usado para armazenamento do cache. Os números 16 e 256 não serão alterados. Segundo (MORIMOTO, 2008, p. 735) Por padrão, temos 16 pastas com 256 subpastas cada uma. O número "ideal" de pastas e subpastas para um melhor desempenho varia de acordo com o sistema de arquivos usado, mas esta configuração padrão é adequada para a maioria das situações. Agora será preciso fazer a alteração do local onde o Squid salva os logs de acesso, sendo essa localização muito importante, pois o Sarg (programa gerador de relatório) precisa desse arquivo para funcionar. cache_access_log /var/log/squid/access.log 24 O disco rígido mais conhecido como HD é uma memória não-volátil, ou seja, as informações não são perdidas quando o computador é desligado, sendo considerado o principal meio de armazenamento de dados em massa. [42]

44 44 Para cache_access_log C:\squid\var\logs\access.log Nessa modificação a principal alteração feita foi à troca da pasta log para logs, motivo de muitos erros na instalação do Squid. Troque o nome do servidor, sendo este de caráter pessoal. visible_hostname nomedoservidorsquid Essas foram às alterações feitas, para adaptação no sistema operacional Windows, agora será explicada a configuração do controle de acesso. 3.3 Adaptações nas ACL s Será preciso criar uma estrutura de diretórios 25 para a melhor otimização do serviço squid, comece acessando o prompt de comando, através do comando: Iniciar > Executar > cmd Depois execute o comando: cd \ 25 Em informática, diretório, é uma estrutura utilizada, para organizar arquivos em um computador ou um arquivo que contenha referências a outros arquivos. [43]

45 45 Assim a localização será mudada para a raiz do sistema operacional Windows, a unidade C:\ do computador. O próximo passo será criar a estrutura de pasta que contenha os arquivos de controle de acesso do Squid. Mkdir Liberar_Url Liberar_IP Bloquear_Url Bloquear_IP Bloquear_Palavra Este comando criará as seguintes pastas dentro na unidade C:\ e cada pasta dessas conterá o seu respectivo arquivo de configuração. Liberar_Url: Esta pasta irá conter o arquivo Liberar_Url.txt, ele irá armazenar as palavras que irão ser liberadas pelo proxy. Liberar_IP: Esta pasta irá conter o arquivo Liberar_IP.txt, sendo este arquivo responsável por listar os IP que serão liberados do bloqueio. Bloquear_Url: Esta pasta irá conter o arquivo Bloquear_Url.txt. Toda string 26 contida nesse arquivo será comparada à URL requisitada e caso haja coincidência o site será bloqueado, sendo muito utilizado para bloquear domínios, exemplo google.com. Bloquear_IP: Esta pasta irá conter o arquivo Bloquear_IP.txt. Qualquer IP contido neste arquivo será bloqueado, ficando assim sem nenhum acesso a páginas da internet. Bloquear_Palavra: Esta pasta irá conter o arquivo Bloquear_Palavra.txt. Todas as palavras armazenadas neste arquivo serão analisadas e 26 String = Sequência ordenada de caracteres (símbolos) escolhidos a partir de um conjunto pré-determinado. [44]

46 comparadas com base em palavras dispostas na url de acesso sendo feito o bloqueio do site. 46 Após criar as pastas com os seus respectivos arquivos, devem-se criar as ACL s indicando a nova localização das pastas e seus arquivos. acl Liberar_Url url_regex -i "c:\liberar_url\liberar_url" acl Liberar_IP src "c:\liberar_ip\liberar_ip.txt" acl Bloquear_Url url_regex -i "c:\bloquear_url\bloquear_url" acl Bloquear_IP src "c:\bloquear_ip\bloquear_ip.txt" acl Bloq_Palavra dstdom_regex "c:\bloquear_palavra\bloquear_palavra.txt" Lembrando que, a ordem é muito importante para o funcionamento das regras, pois segundo (MORIMOTO, 2008, p. 735) A ordem é importante, pois o Squid interpreta as regras em que são colocadas no arquivo Então se você coloca uma ACL que bloqueia um determinado site e em sequência coloca outra ACL que libera o site, o site ainda continuará bloqueado, pois, ele está executando as regras na ordem seqüencial do arquivo. Porém, estas linhas apenas criam as ACL s tendo que dizer ao Squid se deve travá-las ou liberálas, usando os seguintes comandos: http_access allow Liberar_Url http_access allow Liberar_IP http_access deny Bloquear_Url

47 47 http_access deny Bloquear_IP http_access deny Bloq_Palavra Agora é só salvar o arquivo, pois, as configurações básicas para o programa estão prontas Iniciando o Serviço Dentro do diretório c:\squid\sbin execute o comando: squid z Esse comando, cria a estrutura de pastas do Squid de acordo com as indicações feitas no squid.conf, esse comando retornará um feedback positivo no prompt de comando indicando o êxito da operação. Exemplo: Figura 3.2: Informações fornecidas após a execução do comando. Autor: Marcelo Borges

48 48 Agora, com os diretórios criados, é necessário iniciar o serviço Squid. Para isso acesse o menu iniciar > executar e digite o comando: services.msc Este comando irá abrir uma janela de serviços do Windows. Procure pelo nome squid e depois clique com o botão direito do mouse em cima dele, selecionando a opção propriedades, altere o tipo de inicialização para automático e clique em iniciar. Uma janela de progresso será aberta e dentro de alguns segundos o status do serviço squid irá mudar para iniciado, caso isso não aconteça, revise as opções alteradas no arquivo squid.conf e repita este comando. 3.5 Testando o Serviço Com o serviço squid ativo, vamos testá-lo no próprio servidor para uma primeira verificação. Acesse o navegador 27 Internet Explorer e clique em: ferramentas> opções da internet> conexões >configuração de lan. 27 Navegador, também conhecido pelos termos ingleses web browser, é um programa de computador que habilita seus usuários a interagirem com documentos virtuais da Internet.[45]

49 49 Selecione a opção usar servidor Proxy e coloque o endereço e na opção porta, configure o endereço Abra o navegador Internet Explorer e digite um endereço bloqueado na barra de URL, exemplo Figura 3..3: Site MSN Bloqueado Autor: Marcelo Borges Será exibida a página de bloqueio, indicando que aquelee site está impedido de ser requisitado. Lembrando que, esta página pode ser personalizada para o design da sua empresa, acessando a pasta C:\squid\share\errors\Portuguese e alterando o arquivo ERR_ACCESS_DENIED. Pronto, o squid está configurado e ativo no servidor, agoraa é preciso alterar as máquinas dos usuários para que o navegador requisite o proxy do servidor. 3.6 Configurando as Estações dos Usuários

50 50 Ao término da configuração no servidor é necessário configurar cada estação dos usuários manualmente, pois esse squid não está otimizado para ser um proxy transparente. Este procedimento pode parecer ultrapassado e não prático, porém, levando em consideração que serão poucas estações a serem configuradas o custo x benefício é aceitável. Para ser feita a configuração nas máquinas, primeiro deve-se saber o IP do servidor squid, então dentro do prompt de comando do windows digite: ipconfig Este comando irá fornecer diversas informações de diagnósticos relacionados com a configuração de rede do protocolo TCP/IP da sua máquina. Nele será necessário encontrara linha escrita endereço IP, exemplo: Endereço IP.... : Agora com o IP do servidor localizado acesse na máquina do usuário com navegador Internet Explorer e clique em: ferramentas > opções da internet > conexões > configuração de lan. Selecione a opção usar servidor proxy e coloque o endereço do IP do servidor e a porta configurada no squid.conf e aperte ok. Esta configuração é a mesma que foi usada para testar as funcionalidades do Squid no subcapítulo 3.5, mudando apenas o endereço IP.

51 51 Com essa configuração a máquina já estará fazendo requisições ao proxy antes de sair para a internet, porém, deve-se travar a alteração da configuração de LAN, evitando-se assim que o usuário burle o proxy. Um método bem eficiente de travar a alteração é usar o gpedit, que consiste em um recurso disponível para os usuários com privilégios de administrador e tem a função de bloquear ou alterar uma série de recursos nativos do Windows. Com um usuário administrador acesse: Iniciar > Executar > cmd E digite o comando: gpedit.msc Será aberta a janela de diretiva de grupo contendo duas divisões: A parte da esquerda mostrará as opções, sendo que o conteúdo é exibido à direita quando expandido. Clicando no sinal de positivo (+) no início de Configuração do usuário, três subitens expansíveis aparecem: Configurações de software: geralmente esta opção permite a configuração de softwares fornecidos por terceiros. É pouco usada; Configurações do Windows: permite a ativação de scripts a serem executados na inicialização do computador; permite alterar as configurações de segurança; permite alterações no Internet Explorer; Modelos administrativos: este é o item com mais recursos e que será usado neste tutorial. Ele permite realizar uma série de configurações que são guardadas em arquivos de extensão.adm. Estes, por sua

52 vez, baseiam suas configurações diretamente no Registro do Windows. [46] 52 Para impedir a alteração da configuração da LAN, é preciso acessar o subitem Modelos Administrativos e acessar o subgrupo Componente do Windows. Dentro desse grupo irá aparecer o item do navegador nativo da Microsoft Internet Explorer. Depois de acessá-lo procure a opção Desativar a alteração das configurações do proxy. Para alterá-lo é preciso dar duplo clique com o botão esquerdo do mouse 28 sobre o item aparecerá uma janela, onde se deve clicar na guia Configuração e escolher a opção Ativado, clicando em seguida em ok. Agora o usuário estará impedido de alterar o IP e assim burlar o sistema de proxy. Figura 3.4: Gpedit Autor: Marcelo Borges 28 O rato ou mouse é um periférico de entrada que, historicamente, se juntou ao teclado como auxiliar no processo de entrada de dados, especialmente em programas cominterface gráfica. [47]

53 53 Para facilitar e otimizar esse processo foi criado um arquivo.reg 29 que tem a função de inserir as configurações do proxy e travar a alteração do mesmo na máquina do cliente, facilitando muito o trabalho de instalação. Exemplo: Windows Registry Editor Version 5.00 [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings] "ProxyEnable"=dword: "ProxyServer"=" :8080" "ProxyOverride "=" " [HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel] "Proxy"=dword: Exemplo do arquivo bloqueia_proxy.reg Autor: Marcelo Borges Este modelo é extremamente funcional e prático, portanto é necessário apenas algumas alterações para deixá-lo adaptado ao seu proxy. ProxyEnable = Esta opção ativa a configuração de proxy no navegador, deixe dword: para ativá-lo ou dword: caso queira fazer um script 30 para desativá-lo ProxyServer= Esta opção serve para definir o IP e a porta do servidor Squid a ser usado pelo navegador. 29.REG é uma extensão usada para alteração de registros do Windows [48] 30 Linguagem de script são linguagens de programação executadas do interior de programas e/ou de outras linguagens de programação, não se restringindo a esses ambientes. As linguagens de script servem para estender a funcionalidade de um programa e/ou controlá-lo. [49]

54 54 ProxyOverride=Ela tem a finalidade de selecionar, quais os destinos que não serão alcançados pelo seu proxy, ou seja, os destinos que serão ignorados pelo proxy. Proxy=Esta opção ativa o bloqueio para alterações nas configurações do proxy no navegador, deixe dword: para ativá-lo ou dword: para desativá-lo. Com as alterações feitas é só salvar o arquivo com um nome de sua preferência, porém, com o final.reg, assim o seu arquivo se tornará um registro do Windows, necessitando apenas clicar e apertar ok, para que as configurações sejam ativadas. Figura 3.5: Retorno com o êxito no registro Autor: Marcelo Borges Agora o servidor está configurado e rodando perfeitamente nas estações.o próximo passo é instalar o SARG, que servirá para gerar um relatório de acesso das estações.

55 55 Capítulo 4 Sarg O SARG (Squid Analysis Report Generator) é um software livre, que gera relatórios a partir dos arquivos de log do Squid, criando relatórios completos no formato HTML. Ele foi criado por Pedro Lineu Orso, desenvolvido em linguagem C 31 e opera em sistemas operacionais Linux e Windows. Segundo (MORIMOTO, 2008, p. 735) Sempre que executado, ele cria um conjunto de páginas, divididas por dia, com uma lista de todas as páginas que foram acessadas e a partir de que máquina da rede veio cada acesso. Esse relatório pode ser acessado de qualquer estação da rede ou mesmo via web, mas para que isso aconteça, um servidor web tem que estar configurado, exemplo: Apache 32. Ele suporta arquivos de log do Squid, do Microsoft ISA 33 e do Novell Border Manager 34 e está disponível em diversos idiomas, incluindo o português Implementando o Sarg no Ambiente Windows 31 C é uma linguagem de programação compilada de propósito geral, estruturada, imperativa, padronizada pela ISSO, criada em 1972, por Dennis Ritchie, no AT&T Bell Labs, para desenvolver o sistema operacional Unix(que foi originalmente escrito em Assembly).[50] 32 O servidor Apache (ou Servidor HTTP Apache, em inglês: Apache HTTP Server, ou simplesmente: Apache) é o mais bem sucedido servidor web livre. [51] 33 Microsoft Internet Security and Acceleration Server (ISA Server) é um firewall de stateful packet inspection (significando, ele analisa o cabeçalho dos pacotes de IP) e do application layer (analisam os dados na busca de tráfego não permitido). [52] 34 BorderManager é um multi propósito de segurança de rede aplicativo desenvolvido pela Novell, Inc. BorderManager é concebido como um servidor proxy, firewall, e ponto de acesso VPN. [53]

56 56 O SARG também oferece uma versão simples para o Windows, todavia, ela será utilizada para analisar os logs de acesso do Squid na filial Bahia. A primeira etapa a ser executada é acessar o site e fazer o download do arquivo sarg.zip. Depois será necessário descompactar este arquivo "Sarg" para uma pasta dentro do diretório C: \, sendo muito importante que este caminho não seja alterado, pois, o arquivo de configuração sarg.conf está com os parâmetros definidos para c: / sarg. Com a pasta squid localizada dentro do C: \ acesse a subpasta etc e localize o arquivo sarg.conf. Abra-o com o editor de texto de sua preferência. Exemplo: Notepad. 35 O arquivo sarg.conf reúne todas as configurações possíveis para edição do sarg. Segundo (MORIMOTO, 2008, p. 735) O arquivo é autoexplicativo, nele você pode alterar os diretórios-padrão, alterar o layout da página, cores e títulos, etc. Outro recurso interessante, é o envio de uma cópia do relatório por sempre que o Sarg for executado. O sarg.conf vem com alguns parâmetros definidos por default para a plataforma Linux, então será necessário alterar algumas opções. Comece alterando a TAG user_ip. Ela serve, para os proxies que não são autenticados por usuários, gerando assim relatórios com base no IP das máquinas. 35 O Windows Notepad (ou Bloco de notas em português) é um editor de texto simples que foi incluído em todas as versões Microsoft Windows desde a versão 1.0 em [54]

57 57 # TAG: user_ip yes/no # Use Ip Address instead userid in reports. # sarg p user_ip yes Autor: Marcelo Borges Outra alteração importante a ser feita é a TAG language, ela suporta diversos idiomas, tendo o português como um deles. # TAG: language #Available languages: language Portuguese Autor: Marcelo Borges A última alteração a ser feita é na TAG access_log. Ela é muito importante, pois, indica onde está localizado o arquivo de log do.squid.caso haja a troca desse endereço, altere essa TAG. # TAG: access_log file # Where is the access.log file # sarg -l file # access_log c:/squid/var/logs/access.log Autor: Marcelo Borges

58 Com essas configurações o sarg está pronto para começar a gerar relatórios. Para isso acesse: 58 Iniciar > Executar > cmd Depois execute o comando: cd c:\sarg\sbin Agora basta digitar sarg para criar um relatório completo. Este relatório será criado dentro da pasta c:/sarg/report caso a TAG 'output_dir' não esteja alterada. Segundo (MORIMOTO, 2008, p. 735) Inicialmente, o relatório poderá ser visualizado apenas a partir do próprio servidor, o que pode ser imprático se você o acessa remotamente, para um acesso externo, no Linux pode ser instalado o serviço Apache e no Windows o IIS. O relatório terá como página inicial o index.html, sendo necessário abri-la em um browser para visualizá-la. Para gerar o relatório para uma data específica, use o comando: sarg - d DD / MM / AAAA Para que o sarg crie relatórios com um período específico, utilize o comando: sarg - d DD / MM / AAAA-DD / MM / AAAA

59 59 Existe a opção de você programar os relatórios de log para serem gerados automaticamente, conforme a sua necessidade. Esses relatórios podem ser diários, semanais e mensais. Para isso, deve-se criar um script que pode ser executado a partir de Tarefas Agendadas Com as Tarefas agendadas, é possível agendar a execução de qualquer script, programa ou documento no momento mais conveniente. As Tarefas agendadas iniciam sempre que o Windows XP é iniciado e executam em segundo plano, iniciando cada tarefa agendada na hora especificada na criação da tarefa. [55]

60 60 Capítulo 5 Análise de Desempenho e Resultados A implantação da solução Squid na filial Bahia ocorreu no dia 28 de setembro de 2011 e a partir dessa data pode-se obter um controle sobre o conteúdo acessado pelos funcionários. Os relatórios gerados pelo Sarg trouxeram diversas informações sobre os perfis de acesso de cada usuário. Com ele foi possível identificar quais funcionários permaneciam mais tempo conectados à web, qual a duração, em qual horário eles mais acessavam a internet, dentre outros. Para melhor visualização dos acessos foi criado um relatório do dia 01/10/2011 ao 31/10/2011 e a partir dele foram extraídas inúmeras informações. Figura 5.1 Relatório de acesso Autor: Marcelo Borges

61 61 Este relatório é bem completo e pode ser facilmente personalizado pelo arquivo sarg.conf, de acordo com as preferências da empresa. Foi possível perceber que o proxy, está configurado para 8 usuários, mais o localhost, sendo identificados pelos seus respectivos endereços IP. O IP ocupa a 1ª posição do relatório e o utilizaremos, para exemplificar a análise de dados feita sobre o relatório. O total de horas navegadas na internet durante o mês de outubro na filial Bahia foi de 179h32m07s, sendo que deste total, 48,60% foi utilizado apenas pelo IP , obtendo uma taxa de 2.2GB mensal baixados. Percebendo uma diferença de acessos entre este usuário e os demais, foi feita uma pesquisa mais profunda, a fim de identificar os fatores que ocasionaram essa discrepância. Figura 5.2 Relatório de Sites Acessados Autor: Marcelo Borges

62 62 Aprofundando um pouco mais a pesquisa, foi gerado um relatório de todos os sites acessados pelo IP durante o mês de Outubro e foi constatado o motivo da discrepância de valores. Em primeiro lugar com 80,01% do tempo utilizado e 1.85Gb baixados, está o endereço porta Este é o endereço do servidor de aplicação da filial Bahia. Concluiu-se então, que o programa cliente, instalado na máquina do usuário, estava realizando as conexões com o servidor através do proxy, elevando assim as estatísticas deste usuário. Nesse mesmo relatório foi possível gerar uma lista dos 100 sites mais acessados na filial, ordenados pelo número de conexões, bytes baixados e tempo de acesso. Figura 5.3 Relatório dos 100 Sites Mais Acessados Autor: Marcelo Borges

63 63 Este relatório foi essencial para descobrirmos informações extremamente importantes, conseguindo assim traçar um perfil dos sites mais acessados e a sua permanência neles. O próximo relatório é feito através dos sites bloqueados pelo Squid. Nele as informações vêm ordenadas pelos campos: Usuário, IP/Nome, Data/Hora, Local Acessado. Essas informações nos permitiram descobrir quais sites inadequados os usuários tentaram acessar e os seus respectivos horários. Figura 5.4 Relatório dos Sites Bloqueados Autor: Marcelo Borges

64 64 Um exemplo deste relatório é o usuário do IP , que no dia 05/10/2011 ás 14m02h32s tentou acessar o site do Facebook, sendo bloqueado pelo proxy. Para um detalhamento maior das atividades do usuário foi criado um relatório de acesso por horário. Este relatório exibe com riqueza de detalhes os horários do dia em que o usuário esteve conectado e a sua duração. Figura 5.5 Relatório de Horário Autor: Marcelo Borges

65 65 Este relatório específico está dimensionado para listar os acessos do horário 06h00m-18h00m, representando assim o horário de trabalho. O relatório consegue estabelecer em quais horários a internet foi mais utilizada no mês de Outubro. Neste caso específico, podemos notar que o usuário no horário das 08h00m obteve um total de 12h30m30s de acesso mensal. Com estas informações, a diretoria pode estabelecer um comparativo do desempenho do funcionário com o horário mais acessado na web. Junto com o relatório de acessos, foi criado um gráfico para exemplificar melhor a quantidade de Bytes baixados pelo usuário durante o mês de Outubro. Figura 5.6 Relatório de Acessos do Usuário Autor: Marcelo Borges