Transparentní proxy - Historie editací

Milan.Kerslager: Fix

2009-04-06T20:13:49Z

Fix

Milan.Kerslager: +kat

2009-04-06T19:58:52Z

+kat

Milan.Kerslager: /* Cache na jiném disku */ Firefox a MSIE

2007-10-31T00:12:51Z

‎Cache na jiném disku: Firefox a MSIE

Milan.Kerslager: /* Konfigurace programu Squid */ typo

2007-10-31T00:08:44Z

‎Konfigurace programu Squid: typo

Milan.Kerslager: Rozšíření o Squid 2.6

2007-10-31T00:03:05Z

Rozšíření o Squid 2.6

Milan.Kerslager: /* Konfiguarace programu Squid */ typo

2007-10-30T21:48:22Z

‎Konfiguarace programu Squid: typo

Milan.Kerslager: Založení článku

2007-09-28T20:25:38Z

Založení článku

Nová stránka

Počítače ve vnitřní síti mohou využívat k surfování maškarádu, jak je uvedeno jinde. Nicméně pokud bude linka do Internetu pomalá, bude lepší ve vnitřní síti zřídit proxy cache, která bude často stahované dokumenty nebo obrázky ukládat na disk a při opakovaném požadavku je velmi rychle poskytne. Zřízení proxy cache spočívá ve spuštění programu Squid a jeho nastavení tak, aby byl ochoten sloužit nejen aplikacím spuštěným na stejném počítači, ale i stanicím ve vnitřní síti.

== Nastavení NAT ==

Pokud již proxy zřizujete, je lepší ji rovnou udělat transparentní. Ušetříte si tak práci s obcházením všech stanic a nastavováním parametrů proxy do všech používaných prohlížečů. Princip je založen na použití NAT (Network Address Translation), kterému dáme pokyn, aby všechny datagramy mířící z vnitřní sítě do Internetu na port 80 (tj. k WWW serverům) přesměroval do proxy (tj. na port, kde naslouchá Squid). Přesměrování do proxy lze zajistit automaticky i pro programy spuštěné na tom samém počítači pomocí druhého pravidla (eth0 je vnější rozhraní, 10.0.0.0/24 je vnitřní síť):

iptables -t nat -A PREROUTING -p tcp -i ! eth0 -s 10.0.0.0/24 --dport 80 -j REDIRECT --to 3128
iptables -t nat -A OUTPUT -p tcp -o eth0 --dport 80 -j REDIRECT --to 3128

Všechna nastavení iptables lze uložit. Při každém startu je můžeme obnovovat tak, že povolíme start služby iptables. Uložení aktuálních pravidel a povolení jejich obnovení při startu pak zajistíme těmito dvěma příkazy:

/etc/init.d/iptables save
chkconfig iptables on

== Konfiguarace programu Squid ==

Nesmíme zapomenout na konfiguraci samotného programu Squid. Kromě povolení přístupu k jeho službám pro stanice z vnitřní sítě (pomocí definice ACL pravidla nasesit) musíme proxy říct, že bude pracovat jako transparentní. Proto přidejte na začátek jeho konfiguračního souboru <CODE>/etc/squid/squid.conf</CODE> následující parametry:

http_port 3128
httpd_accel_host virtual
httpd_accel_port 80
httpd_accel_with_proxy on
httpd_accel_uses_host_header on
httpd_accel_single_host off
cache_dir ufs /var/spool/squid 700 16 256
acl nasesit src 10.0.0.0/255.255.255.0
acl nasesit src 123.123.123.1
error_directory /usr/share/squid/errors/Czech

Prvních 6 řádků slouží k zajištění fungování transparentní proxy. Direktiva <CODE>cache_dir</CODE> určuje adresář, kam se budou ukládat dočasné soubory, číslo 700 je maximální velikost cache v MB. Další dvě čísla definují počet adresářů, do kterých se budou soubory ukládat a není je obvykle potřeba měnit. ACL pravidla pro <CODE>nasesit</CODE> definují IP adresy, ze kterých povolíme k cache přístup. První řádek definuje pomocí masky IP adresy ve vnitřní síti a další řádek zahrnuje mezi povolené IP adresy i vnější IP adresu našeho počítače (některé místní programy se mohou místo rozhraní loopback spojovat právě z této adresy, takže je lepší ji do seznamu zahrnout). Poslední řádek slouží k aktivaci chybových zpráv v českém jazyce. Pozor – adresář musí být platný, jinak Squid nemusí nastartovat (což je samozřejmě chyba).

Dále je potřeba do stejného konfiguračního souboru Squidu vložit mezi seznam pravidel povolujících HTTP přístup k cache řádek, který se odkáže na naši nadefinovanou síť nasesit. Tj. vložte za řádek, na kterém je text: INSERT YOUR OWN RULE(S) následující direktivu:

http_access allow nasesit

Program Squid spustíme a zajistíme jeho automatické spuštění při startu systému:

/etc/init.d/squid start
chkconfig squid on

=== Nastavení klientů ===

Na klientovi ve vnitřní síti (Internet Explorer, Mozilla apod.) nastavte, aby nepoužíval žádnou proxy (transparentní funguje sama). V MSIE je to menu Nástroje - Možnosti - Připojení - Nastavení místní sítě - a zde zrušit všechna tři zaškrtnutí (automatická konfigurace MSIE je rozebrána na jiném místě).

== Sledování činnosti ==

Pokud bude transparentní proxy správně fungovat, budou se objevovat záznamy o poskytnutých stránkách v logovacím souboru. Průběžně můžete přibývající údaje sledovat např. pomocí příkazu <CODE>tail</CODE> (při použití parametru <CODE>-f</CODE> přerušíte vypisování stiskem kombinace kláves CTRL+c). Hlášení programu se ukládají do logovacího souboru <CODE>/var/log/squid/cache.log</CODE>.

tail -f /var/log/squid/access.log

== Cache na jiném disku ==

Někdy je vhodné umístit prostor pro odkládání cachovaných souborů na speciální oddíl (partition). Zbytek systému souborů tak nebude zatěžován častými zápisy, nebude tlačeno na riziko vyšší fragmentace zbytku systému souborů a budeme moci nastavit parametry pro vyšší výkon. Pokud se k tomuto kroku rozhodnete, zastavte program Squid, smažte případné nacachované soubory (můžete je do nového oddílu i přesunout), vytvořte oddíl o příslušné velikosti (viz direktiva cache_dir), nastavte na něm příslušná přístupová práva (aby mohl Squid zapisovat) a pak můžete proxy znovu spustit (správný start zkontrolujte v logu):

/etc/init.d/squid stop
rm -rf /var/spool/squid/*
fdisk /dev/hda # vytvoření oddílu
mke2fs -b 1024 -N 200000 -m0 /dev/hda3 # vytvoření FS
tune2fs -j -c0 -i0 /dev/hda3 # ext3, bez periodických kontrol
e2label /dev/hda3 Squid # nastavení labelu
mount /dev/hda3 /var/spool/squid # připojení oddílu
chown squid.squid /var/spool/squid # nastavení práv
/etc/init.d/squid start

Ve výše uvedeném příkladu je použit oddíl, na kterém je vytvořen systém souborů ext3. Podle pozorování je vhodné snížit velikost bloku na 1024 bajtů a na každé 2GB diskového prostoru vytvořit cca 200000 inodů (normálně se jich vytváří více, avšak zbytečně zabírají datový prostor). Pro další zvýšení výkonu můžete při připojování oddílu použít volby noatime,nosuid,noexec,nodev. První vyřadí aktualizaci časů při přístupech do adresářů (zvýšení výkonu), ostatní jsou spíše bezpečnostní opatření. Záznam v souboru <CODE>/etc/fstab</CODE> by pak mohl vypadat třeba takto:

LABEL=Squid /var/spool/squid ext3 noatime,nosuid,noexec,nodev 1 2

Při použití transparentní proxy se někdy můžete setkat s tím, že prohlížeč bude vytrvale zobrazovat starou stránku, i když na serveru bude již novější. V takovém případě může být chyba buď přímo v prohlížeči na stanici, který vytrvale zobrazuje stránku, kterou má uloženu ve své cache na pevném disku. Proto zkuste v prohlížeči nejprve stisknout a podržet klávesu SHIFT a pak klepnout myší na ikonu pro obnovení stránky. Tím byste měli dosáhnout toho, že si prohlížeč vyžádá stránku přímo od serveru znovu (zkuste případně podržet i klávesu CTRL). Pokud to nepomůže, vyprázdněte cache na disku (v Internet Exploreru je to menu Nástroje - Možnosti Internetu - Odstranit dočasné soubory Internetu.

== Nežádoucí cachování ==

Někdy i přes všechnu snahu nelze získat novější verzi stránky. Příčinou může být nevhodná informace o stáří či trvanlivosti stránky, kterou Squidu poskytne server, na kterém je stránka umístěna. V takovém případě je nejvhodnější umístit neposlušné servery do pravidla, které zajistí, že se jejich dokumenty nebudou ukládat do cache, tj. přidat do souboru <CODE>/etc/squid/squid.conf</CODE> tyto řádky:

acl donotcache domain.cz
always_direct allow donotcache

← Starší verze		Verze z 6. 4. 2009, 20:13
Řádka 107:		Řádka 107:
	always_direct allow donotcache		always_direct allow donotcache

−	~~[[Kategorie:Linux]]~~
	[[Kategorie:Síťové služby v Linuxu]]		[[Kategorie:Síťové služby v Linuxu]]

← Starší verze		Verze z 6. 4. 2009, 19:58
Řádka 106:		Řádka 106:
	acl donotcache domain.cz		acl donotcache domain.cz
	always_direct allow donotcache		always_direct allow donotcache
		+
		+	[[Kategorie:Linux]]
		+	[[Kategorie:Síťové služby v Linuxu]]

@@ Řádka 7: / Řádka 7: @@
 Direktiva <CODE>cache_dir</CODE> určuje adresář, kam se budou ukládat dočasné soubory, číslo 100 je maximální velikost cache v MB. Další dvě čísla definují počet adresářů, do kterých se budou soubory ukládat a není je obvykle potřeba měnit. Níže uvedený řádek je implicitní konfigurace, pokud chcete velikost cache větší nebo ji umístit jinam, můžete upravený řádek použít:
-  cache_dir ufs /var/spool/squid 100 16 256
+ cache_dir ufs /var/spool/squid 100 16 256
 Následující řádek slouží k aktivaci chybových zpráv v českém jazyce (adresář upravte, zprávy mohou být ve vašem počítači jinde). Pozor &ndash; adresář musí být platný, jinak Squid nemusí nastartovat (což je samozřejmě chyba):

@@ Řádka 98: / Řádka 98: @@
   LABEL=Squid /var/spool/squid  ext3 noatime,nosuid,noexec,nodev 1 2
-Při použití transparentní proxy se někdy můžete setkat s tím, že prohlížeč bude vytrvale zobrazovat starou stránku, i když na serveru bude již novější. V takovém případě může být chyba buď přímo v prohlížeči na stanici, který vytrvale zobrazuje stránku, kterou má uloženu ve své cache na pevném disku. Proto zkuste v prohlížeči nejprve stisknout a podržet klávesu SHIFT a pak klepnout myší na ikonu pro obnovení stránky. Tím byste měli dosáhnout toho, že si prohlížeč vyžádá stránku přímo od serveru znovu (zkuste případně podržet i klávesu CTRL). Pokud to nepomůže, vyprázdněte cache na disku (v Internet Exploreru je to menu Nástroje - Možnosti Internetu - Odstranit dočasné soubory Internetu.
+Při použití transparentní proxy se někdy můžete setkat s tím, že prohlížeč bude vytrvale zobrazovat starou stránku, i když na serveru bude již novější. V takovém případě může být chyba buď přímo v prohlížeči na stanici, který vytrvale zobrazuje stránku, kterou má uloženu ve své cache na pevném disku. V prohlížeči Firefox stiskněte a podržte klávesu SHIFT a pak klepněte myší na ikonu pro obnovení stránky. Tím byste měli dosáhnout toho, že si prohlížeč vyžádá stránku přímo od serveru (v Microsoft Internet Exploreru podržte klávesu CTRL). Pokud to nepomůže, vyprázdněte cache na disku (v Internet Exploreru je to menu Nástroje - Možnosti Internetu - Odstranit dočasné soubory Internetu.
 == Nežádoucí cachování ==

@@ Řádka 1: / Řádka 1: @@
 Počítače ve vnitřní síti mohou využívat k surfování maškarádu, jak je uvedeno jinde. Nicméně pokud bude linka do Internetu pomalá, bude lepší ve vnitřní síti zřídit proxy cache, která bude často stahované dokumenty nebo obrázky ukládat na disk a při opakovaném požadavku je velmi rychle poskytne. Zřízení proxy cache spočívá ve spuštění programu Squid a jeho nastavení tak, aby byl ochoten sloužit nejen aplikacím spuštěným na stejném počítači, ale i stanicím ve vnitřní síti.
-== Nastavení NAT ==
+== Konfigurace programu Squid ==
-Pokud již proxy zřizujete, je lepší ji rovnou udělat transparentní. Ušetříte si tak práci s obcházením všech stanic a nastavováním parametrů proxy do všech používaných prohlížečů. Princip je založen na použití NAT (Network Address Translation), kterému dáme pokyn, aby všechny datagramy mířící z vnitřní sítě do Internetu na port 80 (tj. k WWW serverům) přesměroval do proxy (tj. na port, kde naslouchá Squid). Přesměrování do proxy lze zajistit automaticky i pro programy spuštěné na tom samém počítači pomocí druhého pravidla (eth0 je vnější rozhraní, 10.0.0.0/24 je vnitřní síť):
+ acl nasesit src 10.0.0.0/255.255.255.0
- iptables -t nat -A PREROUTING -p tcp -i ! eth0 -s 10.0.0.0/24 --dport 80 -j REDIRECT --to 3128
+Dále vložte za řádek, na kterém je text: INSERT YOUR OWN RULE(S) následující direktivu:
-Všechna nastavení iptables lze uložit. Při každém startu je můžeme obnovovat tak, že povolíme start služby iptables. Uložení aktuálních pravidel a povolení jejich obnovení při startu pak zajistíme těmito dvěma příkazy:
+ http_access allow nasesit
- /etc/init.d/iptables save
+Další konfigurace je rozdílná pro Squid do verze 2.6 a pro verze 2.6 a novější:
-== Konfigurace programu Squid ==
+=== Squid do verze 2.6 ===
-Nesmíme zapomenout na konfiguraci samotného programu Squid. Kromě povolení přístupu k jeho službám pro stanice z vnitřní sítě (pomocí definice ACL pravidla nasesit) musíme proxy říct, že bude pracovat jako transparentní. Proto přidejte na začátek jeho konfiguračního souboru <CODE>/etc/squid/squid.conf</CODE> následující parametry:
+Na začátek konfiguračního souboru <CODE>/etc/squid/squid.conf</CODE> přidejte následující parametry, které slouží k nastavení Squidu jako transparentní proxy:
   http_port 3128
@@ Řádka 23: / Řádka 34: @@
   httpd_accel_uses_host_header on
   httpd_accel_single_host off
-Prvních 6 řádků slouží k zajištění fungování transparentní proxy. Direktiva <CODE>cache_dir</CODE> určuje adresář, kam se budou ukládat dočasné soubory, číslo 700 je maximální velikost cache v MB. Další dvě čísla definují počet adresářů, do kterých se budou soubory ukládat a není je obvykle potřeba měnit. ACL pravidla pro <CODE>nasesit</CODE> definují IP adresy, ze kterých povolíme k cache přístup. První řádek definuje pomocí masky IP adresy ve vnitřní síti a další řádek zahrnuje mezi povolené IP adresy i vnější IP adresu našeho počítače (některé místní programy se mohou místo rozhraní loopback spojovat právě z této adresy, takže je lepší ji do seznamu zahrnout). Poslední řádek slouží k aktivaci chybových zpráv v českém jazyce. Pozor &ndash; adresář musí být platný, jinak Squid nemusí nastartovat (což je samozřejmě chyba).
+Prvních 6 řádků slouží k zajištění fungování transparentní proxy.
-Dále je potřeba do stejného konfiguračního souboru Squidu vložit mezi seznam pravidel povolujících HTTP přístup k cache řádek, který se odkáže na naši nadefinovanou síť nasesit. Tj. vložte za řádek, na kterém je text: INSERT YOUR OWN RULE(S) následující direktivu:
+ always_direct allow all
- http_access allow nasesit
+== Spuštění programu Squid ==
 Program Squid spustíme a zajistíme jeho automatické spuštění při startu systému:
@@ Řádka 39: / Řádka 54: @@
   chkconfig squid on
-=== Nastavení klientů ===
+== Nastavení NAT ==
 Na klientovi ve vnitřní síti (Internet Explorer, Mozilla apod.) nastavte, aby nepoužíval žádnou proxy (transparentní funguje sama). V MSIE je to menu Nástroje - Možnosti - Připojení - Nastavení místní sítě - a zde zrušit všechna tři zaškrtnutí (automatická konfigurace MSIE je rozebrána na jiném místě).
@@ Řádka 47: / Řádka 78: @@
 Pokud bude transparentní proxy správně fungovat, budou se objevovat záznamy o poskytnutých stránkách v logovacím souboru. Průběžně můžete přibývající údaje sledovat např. pomocí příkazu <CODE>tail</CODE> (při použití parametru <CODE>-f</CODE> přerušíte vypisování stiskem kombinace kláves CTRL+c). Hlášení programu se ukládají do logovacího souboru <CODE>/var/log/squid/cache.log</CODE>.
-  tail -f /var/log/squid/access.log
+  tail -f /var/log/squid/access.log /var/log/squid/cache.log
 == Cache na jiném disku ==

@@ Řádka 13: / Řádka 13: @@
   chkconfig iptables on
-== Konfiguarace programu Squid ==
+== Konfigurace programu Squid ==
 Nesmíme zapomenout na konfiguraci samotného programu Squid. Kromě povolení přístupu k jeho službám pro stanice z vnitřní sítě (pomocí definice ACL pravidla nasesit) musíme proxy říct, že bude pracovat jako transparentní. Proto přidejte na začátek jeho konfiguračního souboru <CODE>/etc/squid/squid.conf</CODE> následující parametry: