Proxy/Cache. Prof: Alberto Felipe Friderichs Barros

Transcrição

1 Proxy/Cache Prof: Alberto Felipe Friderichs Barros

2 Proxy Um proxy, em português procurador, é um servidor, um sistema ou uma aplicação que age como um intermediário para requisições de clientes solicitando recursos de outros servidores.

3 Proxy Um cliente conecta-se ao servidor proxy, solicitando algum serviço, como um arquivo, conexão, página web e o proxy avalia a solicitação como um meio de simplificar e controlar sua complexidade.

4 Proxy O servidor proxy surgiu da necessidade de conectar a rede local à Internet através de um computador da rede que compartilha sua conexão com as demais máquinas. Geralmente, as máquinas da rede interna não possuem endereços válidos na Internet e, portanto, não têm uma conexão direta com a mesma.

5 Tipos de Proxy Transparente; Anônimo; Reverso; Caching; Web.

6 Proxy Podemos dizer que o Proxy é parte fundamental da segurança da empresa. Deve-se também ter um Firewall. O Proxy não controla IMAP, POP e SMTP, pois ele é um Proxy Web.

7 Firewall Um firewall, em português parede de fogo, é um dispositivo de uma rede de computadores que tem por objetivo aplicar uma política de segurança a um determinado ponto da rede, bloqueando ou liberando acesso a recursos.

8 Firewall Os firewalls do tipo filtro de pacotes, analisam individualmente cada pacote que atravessa a rede, verificando o cabeçalho das camadas de rede e de transporte.

9 Firewall Com base no cabeçalho TCP/IP o firewall toma decisões com base: na porta, protocolo e IP de origem e destino.

10 Proxy No entanto, o proxy vai além e complementa o firewall atuando na camada de aplicação, podendo implementar restrições de: URL, extensões, conteúdos, horários, usuários, etc.

11 Vantagens Controle de sites com conteúdo indesejado; Restrições de acesso: com base no horário, login, etc; Diminuição do uso de largura de banda; Cache: arquivos de atualização. Controle de banda Logs Privacidade.

12 Desvantagens É mais lento que os filtros de pacotes; Não aceita todos os serviços; Cada serviço requer o seu servidor proxy; Consome bastante recurso; Configuração complexa.

13 Funcionamento Quando o cliente faz a requisição de uma página na Web, o Proxy verifica se ela está no cache. Senão, o Proxy procura na Web e guarda no cache. Quando outro cliente acessar a mesma página, o Proxy verifica se ela foi alterada. Senão, o cliente recebe a página que está no cache, mais rapidamente, melhorando a velocidade de acesso.

14 Funcionamento O Squid é o serviço de Proxy/Cache mais utilizado no mundo. Ele possibilita um controle sofisticado de acessos dos clientes, bem como diversas opções para melhorar o acesso a internet. O Squid é open source, muito utilizado em escolas e empresas.

15 Funcionamento O Servidor Proxy/Cache Squid escuta na porta 3128 do protocolo TCP, recebendo e respondendo as solicitações de navegação dos clientes. O Squid pode atuar em modo transparente, isto é, de forma automática sem necessidade de configuração dos navegadores. No entanto este modo de operação não suporta autenticação de usuários.

16 Proxy transparente Para ativar o proxy transparente, basta direcionar as requisições recebidas da porta 80 para a porta 3128 onde está rodando o squid, neste caso o servidor atuará como gateway da rede, realizando o encaminhamento de pacotes de uma interface a outra. # echo 1 > /proc/sys/net/ipv4/ip_forward # iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 3128

17 Proxy O Proxy não transparente, não atuará como gateway da rede, apenas irá tratar a requisição de páginas. Este modo de operação, exige a configuração dos navegadores dos clientes para passar pelo proxy.

18 Instalação no Debian # apt-get install squid3 Observação: Será criado o diretório: /etc/squid3 onde ficarão os arquivos de configuração

19 Configurações Habilitar a configuração básica; Habilitar para todos da rede interna saiam; Bloquear URL específica; Habilitar autenticação;

20 Squid.conf # Porta padrão e hostname http_port 3128 visible_hostname IFSC # Memória utilizada para objetos em trânsito cache_mem 900 MB # memoria RAM utilizada para cache, geralmente 1/3 da RAM. maximum_object_size_in_memory 1 MB # Tamanho máximo dos objetos armazenados na RAM. maximum_object_size 10 MB # Tamanho máximo dos objetos armazenados no disco, downloads. minimum_object_size 0 KB # Tamanho mínimo dos objetos armazenados no cache. cache_swap_high 95 # A partir do momento em que o cache atingir 95%, serão descartados arquivos mais antigos. cache_swap_low 90 # Os arquivos antigos serão descartados até que a porcentagem fique abaixo de 90%.

21 Squid.conf # Página de Erros error_directory /usr/share/squid3/errors/portuguese # Define o tamanho do cache em disco cache_dir ufs /etc/squid3/cache # Tamanho máximo em MB, quantidade de pastas e subpastas. # Logs de acesso cache_access_log /var/log/squid3/access.log

22 ACL Com o squid é possível o bloqueio ou liberação de acesso a determinados sites, redes, etc. Para operacionalizar esta função, primeiramente deve-se criar as chamadas ACLs (Access Control List). As ACLs são criadas no seguinte modelo: acl nome_da_acl opções acl redelocal src /24

23 Squid.conf - ACL acl all src / acl redelocal src /24 acl localhost src / acl SSL_ports port acl Safe_ports port acl sites_proibidos url_regex -i /etc/squid3/sites_proibidos acl redes_sociais dstdomain.facebook.com.youtube.com acl downloads_proibidos url_regex -i \.exe \.torrent \.avi \.mp3 acl horario_almoco time MTWHF 12:00-13:00 acl manager proto cache_object acl purge method PURGE acl CONNECT method CONNEC

24 Bloqueio e permissão O Squid lê as regras de cima para baixo, então se quer bloquear algo, primeiro bloqueie o o que deseja, depois libere o restante. Com a instrução deny, proibimos o acesso e com a expressão allow liberamos o acesso. http_access allow redelocal

25 Squid.conf http_access http_access allow manager localhost http_access deny manager http_access allow purge localhost http_access deny purge http_access deny!safe_ports http_access deny CONNECT!SSL_ports http_access deny sites_proibidos http_access allow redes_sociais horário_almoço http_access deny redes_sociais http_access deny downloads_proibidos http_access allow localhost http_access allow redelocal http_access deny all

26 Autenticação Você pode adicionar uma camada extra de segurança exigindo autenticação no proxy. Este recurso pode ser usado para controlar quem tem acesso à internet e auditar os acessos em caso de necessidade.

27 Autenticação Para ativar a autenticação Instale o pacote apache2-utils Crie o arquivo para armazenar as senhas: touch /etc/squid3/squid_passwd Cadastre os logins com o comando: htpasswd /etc/squid3/squid_passwd usuário

28 Squid.conf Autenticação auth_param basic program /usr/lib/squid3/ncsa_auth /etc/squid3/squid_passwd auth_param basic children 5 auth_param basic realm Digite sua senha auth_param basic credentialsttl 2 hours auth_param basic casesensitive off acl autenticados proxy_auth REQUIRED http_access allow autenticados

29 Navegador Deve-se configurar o proxy nos navegadores de cada usuário. No Firefox, vá em Opções, selecione Avançado > Rede e na guia Conexão, clique em Configurações. Na janela que aparece, marque a caixa Configuração manual do proxy. No campo Proxy HTTP, digite o IP do servidor Proxy ao qual você deseja se conectar e a porta.

30 Relatórios de acesso Uma das grandes vantagens do Squid é que ele cria o arquivo de log e registra todos os acessos web. Pode-se analisar e verificar se alguém acessou sites impróprios, horários de acesso, entre outros.

31 Sarg O SARG (Squid Analysis Report Generator) é uma ferramenta que permite ver o que os usuários da rede estão acessando na Internet através da análise do arquivo de log do Squid. Ele é responsável por transcrever as informações de acesso existentes e organizá-las de forma intuitiva para o administrador da rede.

32 Instalação no Debian # apt-get install sarg Arquivo de configuração: /etc/sarg/sarg.conf

33 Sarg.conf Charset UTF-8 # acentuação access_log /var/log/squid3/access.log # o caminho do arquivo de log do squid output_dir /var/www/html/sarg # caminho que irá gerar os relatórios

34 Sarg Para gerar o relatório basta digitar o comando: sarg Para acessar o relatório basta abrir a URL:

35 Controle de banda Com o recurso de limite de banda no Squid você pode priorizar a banda para certo grupo de usuários. Dessa forma não corremos o risco de um diretor da empresa estar necessitando baixar um importantíssimo pelo link, enquanto um estagiário puxa o último episódio de sua minissérie favorita.

36 Controle de banda Este controle ocorre somente na navegação e download. Caso os usuários utilizem algum outro software, via P2P, o Squid não controla.

37 Squid.conf acl chefes proxy_auth i /etc/squid3/chefes # Cria outra acl com os usuários chefes. delay_pools 2 # Significa que teremos dois controles de banda delay_class 1 2 # Primeiro controle delay_class 2 2 # Segundo controle # -1/-1 significa que não teremos limites para a delay pool 1 delay_parameters 1-1/-1-1/-1 delay_access 1 allow chefes # Limita a sua banda para Kbits delay_parameters / / delay_access 2 allow autenticados

38 Cálculo O Squid trabalha com bytes; Um link de 1 megabit (1024 kbits); (valor em kbits / 8 ) * 1024 = valor em bytes (1024/8) * 1024 = bytes

39 Exercícios 1. Crie um servidor proxy autenticado com controle de banda para downloads de 128Kb/s para todos os usuários e bloqueie downloads de extensões do tipo executável. 2. Gere o relatório de acessos do usuário e realize um teste de conexão.

40 Proxy/Cache Prof: Alberto Felipe Friderichs Barros