Introducció a Squid: configuració pas a pas

Squid és un altre filtre a nivell d'aplicació que pot complementar a iptables. Squid és un servidor intermediari per a web amb memòria cau, és molt popular i lliure, a més és multiplataforma. Tot i que es pot usar per millorar el rendiment de les connexions a Internet, també es pot usar amb fins de seguretat. Des que es va iniciar el projecte en els anys 90, molt a avançat Squid i ara te la presentem perquè sàpigues com usar-la.

Per a la seva instal·lació, Pots accedir a la web oficial de el projecte i seleccionar els paquets binaris per al teu sistema operatiu o distribució. Si vols instal·lar des del paquet de codi font compilant, també tens aquesta opció. Els tarballs disponibles són tar.gz, tar.bz2 i tar.xz. Si no saps com instal·lar, pots acudir a l'article que vam editar en aquest blog sobre com instal·lar qualsevol paquet des de Linux. Ull! si tens un Debian o derivat i has vist que s'instal·la amb suo «apt-get install squid», pot ser que et d'un error, perquè has de substituir «squid» per «squid3» perquè tingui efecte ...

Ara passem directament a l'acció explicant alguns exemples de com utilitzar Squid per protegir el nostre equip. Abans m'agradaria explicar que Squid es basa en ACLs, és a dir en Acces Control List o llista de control d'accés, és a dir, unes llistes en què es detallen els permisos per controlar en aquest cas el flux de xarxa i implementar filtres similars a els de iptables però a nivell d'aplicacions.

Normalment, després de la instal·lació s'inclou un fitxer de configuració que es troba en /etc/squid3/squid.conf i és aquest el que hem de editar amb un editor com nano o gedit. En ell podem generar les nostres regles de filtrat, encara que existeixen les opcions cache_dir, cache_mem i http_port, nosaltres farem servir aquesta última per a les nostres regles de seguretat. Un altre detall és que en aquest fitxer s'especifica el port per defecte que utilitza el servei Squid, que per defecte és 3128 (veure la línia o directiva «http_port 3128» i treu-li el # per activar-la). Si vols pots canviar-lo a un altre port com el 8080 ... I una altra cosa necessària és configurar el hostname, busca el comentari «TAG: Visible_hostname» i veuràs una línia «visible_hostname» on has de posar el hostname.

Per saber el teu hostname, pots teclejar al terminal:

hostname

I el nom que et aparegui el afegeixes a la línia que no ha d'estar precedida per # perquè no sigui ignorada com un comentari. És a dir, quedaria així:

visible_hostname nom_hostname_que_et_hagi_aparegut

Si veus el el fitxer de configuració, veuràs que està molt comentat, si vols anul·lar una regla creada, pots iniciar la línia amb # i la transformes en un comentari, de manera que Squid la ignora, per tornar-la a posar en servei, esborres el # i llest. De fet, hi ha moltes regles creades i posades com a comentari que pots fer servir llevant-li #. Així no hauràs d'esborrar i tornar a escriure regles. Bé, per afegir una regla o filtre concret, aquesta ha de tenir una ACL i una directiva que indiqui el que s'ha de fer.

Per cert, quan treguis XNUMX # per activar una regla, assegura't de no deixar espais a l'inici de la línia. Per exemple:

Forma errònia:

http_port 3128

Forma correcta:

http_port 3128

¿No t'has assabentat de res? Doncs no et preocupis, amb un exemple ho veuràs tot molt millor. Imagina això:

acl bloqueig url_regex es facebook
http_access deny bloqueig

El que vol dir aquesta regla és que la acl amb nom «bloqueig» va prohibir l'accés a la URL que contingui «facebook» (per tant si intentem entrar a Facebook ens saltrará un error al navegador). Si en lloc de «deny» fas servir «allow», permetries l'accés en comptes de prohibir-lo. També es pot fer servir el paràmetre! per excloure, per exemple, imagina que vols permetre l'accés a llista1 però no a llista2:

http_access allow lista1 !lista2

Un altre exemple podria ser crear un fitxer / etc / squid3 / ipspermitidas i en ell guardar una llista d'IPs que volem permetre l'accés. Per exemple, imagina que el contingut de ipspermitidas és:

192.168.30.1

190.169.3.250

192.168.1.26

I després vam crear la acl per permetre l'accés a aquestes IPs:

acl nuevaregla src "/etc/squid3/ipspermitidas"

Un exemple bastant pràctic, Imagina que el teu equip el fan servir nens menors de 18 anys i vols restrigir l'accés a certs llocs de contingut adult. El primer és crear un fitxer anomenat / etc / squid3 / llista amb el contingut:

adult

pornografia

sexe

Poringa

I ara en  el fitxer squid.conf posem la següent regla:

acl denegados url_regex "/etc/squid3/lista"

http_access allow !denegados

com veus hem fet servir allow que en principi és per permetre, però si et fixes hem afegit! per negar, per tant, seria equivalent a posar:

acl denegados url_regex "/etc/squid3/lista"

http_access deny denegados

També es poden crear llistes, no només de noms de domini o IP com hem fet, també pots posar dominis i ara restrigir l'accés a dominis com .xxx, .gov, etc. Vegem un exemple basant-nos en la regla anterior. Creem un fitxer / etc / squid3 / dominis que tingui:

.edu

.es

.org

I ara la nostra regla, Per denegar l'accés a la llista de llocs prohibits que vam crear, però permtiendo l'accés a URL amb aquests dominis:

acl denegados url_regex "/etc/squid3/lista" 
acl permitidos dstdomain "/etc/squid3/dominios"

http_access allow !denegados dominios

AMPLIACIÓ:

Perdó, a l'veure els comentaris m'he adonat que m'ha faltant el més important. M'he limitat a posar exemples de com es fa servir i vaig oblidar dir que per iniciar el servidor Squid:

sudo service squid3 start

Abans s'aixecava amb «/etc/init.d/squid start», però ara has de fer servir aquesta altra línia que t'he posat. Igual que el fitxer de configuració ja no està en /etc/squid/squid.conf, sinó en /etc/squid3/squid.conf. D'acord, un cop creades les polítiques de filtrat, i iniciar-, també hem de configurar el navegador, per exemple, si fas servir Mozilla Firefox o derivats, pots dirigir-te a menú de configuració (ja saps, les tres barretes), i després a Preferències, Avançat , ia la pestanya Xarxa, prem a Configuració de l'apartat Connexió. Allà, vam seleccionar Configuració manual d'el proxy i posem la nostra IP i el port que estigui fent servir Squid, en aquest cas 3128. Indica les també «Utilitza el mateix servidor intermediari per a tot» i sal guardant els canvis.

Si us plau, no oblidis deixar els teus comentaris, Dubtes o el que vulguis ... Encara que és un tutorial molt per sobre de Squid, espero que et serveixi d'ajuda.