Introduktion til blæksprutte: Trin-for-trin opsætning

Squid er et andet applikationsniveaufilter som kan supplere iptables. Squid er en caching web proxy-server, den er meget populær og gratis, og den er på tværs af platforme. Selvom det kan bruges til at forbedre ydeevnen af ​​internetforbindelser, kan det også bruges til sikkerhedsformål. Siden projektet startede i 90'erne, har Squid avanceret meget, og nu præsenterer vi det for dig, så du ved, hvordan du bruger det.

Til din installation, kan du få adgang til projektets officielle hjemmeside og vælg de binære pakker til dit operativsystem eller distribution. Hvis du vil installere det fra kildepakken ved at kompilere, også du har den mulighed. De tilgængelige tarballs er tar.gz, tar.bz2 og tar.xz. Hvis du ikke ved, hvordan du installerer, kan du gå til artiklen, vi har redigeret i denne blog om hvordan man installerer enhver pakke fra linux. Øje! hvis du har en Debian eller derivat, og du har set, at den er installeret med sudo "apt-get install squid", kan det give dig en fejl, fordi du er nødt til at erstatte "squid" med "squid3" for at det træder i kraft. ..

Vi går nu direkte til handling ved at forklare nogle eksempler på, hvordan man bruger Squid for at beskytte vores udstyr. Først vil jeg gerne forklare, at Squid er baseret på ACL'er, det vil sige på adgangskontrollister, det vil sige nogle lister, der beskriver tilladelserne til at kontrollere, i dette tilfælde, netværksflowet og implementere filtre, der ligner dem for iptables, men på applikationsniveau.

Normalt er der efter installationen inkluderet en konfigurationsfil, som er placeret i /etc/squid3/squid.conf og det er dette, vi skal redigere med en editor som nano eller gedit. I den kan vi generere vores filtreringsregler, selvom der er muligheder cache_dir, cache_mem og http_port, vil vi bruge sidstnævnte til vores sikkerhedsregler. En anden detalje er, at denne fil specificerer standardporten, der bruges af Squid-tjenesten, som er 3128 som standard (se "http_port 3128"-linjen eller -direktivet og fjern # for at aktivere den). Hvis du vil, kan du ændre den til en anden port som 8080... Og en anden ting, der er nødvendig, er at konfigurere værtsnavnet, se efter kommentaren "TAG: Visible_hostname", og du vil se en linje "visible_hostname", hvor du skal sætte dit værtsnavn.

For at finde ud af dit værtsnavn kan du skrive i terminalen:

hostname

Og det navn, der vises for dig, føjes til linjen, der ikke skal indledes med #, så det ikke ignoreres som en kommentar. Det vil sige, det vil se sådan ud:

synligt_værtsnavn navn_værtsnavn_der_har_vist_til dig

Hvis du ser på konfigurationsfilen, vil du se, at den er meget kommenteret, hvis du vil tilsidesætte en oprettet regel, kan du starte linjen med # og du forvandler den til en kommentar, som Squid ignorerer den med, for at sætte den i brug igen, sletter du #, og det er det. Faktisk er der mange regler oprettet og kommenteret ud, som du kan bruge ved at fjerne # fra den. Så du behøver ikke at slette og omskrive regler. Nå, for at tilføje en bestemt regel eller filter, skal den have en ACL og et direktiv, der angiver, hvad der skal gøres.

Forresten, når du fjerner et # for at udløse en regel, sørg for, at du ikke efterlader mellemrum i begyndelsen af ​​linjen. For eksempel:

forkerte vej:

http_port 3128

Korrekt måde:

http_port 3128

Har du ikke hørt noget? Nå bare rolig, med Et eksempel du vil se alt meget bedre. Forestil dig dette:

acl blokerer url_regex som facebook
http_adgang nægte blokering

Hvad denne regel betyder er, at acl'et med navnet "blokering" vil forbyde adgang til URL'en, der indeholder "facebook" (så hvis vi forsøger at komme ind på Facebook får vi en fejl i browseren). Hvis du i stedet for "deny" bruger "allow", ville du tillade adgang i stedet for at nægte det. Du kan også bruge parameteren ! for at ekskludere, for eksempel, forestil dig, at du vil tillade adgang til liste1, men ikke liste2:

http_access allow lista1 !lista2

Et andet eksempel kunne være at oprette en fil /etc/squid3/ipsallowed og i den gemme en liste over IP'er, som vi vil tillade adgang. Forestil dig for eksempel, at indholdet af tilladte tips er:

192.168.30.1

190.169.3.250

192.168.1.26

Og så laver vi acl for at tillade adgang til disse IP'er:

acl nuevaregla src "/etc/squid3/ipspermitidas"

Et ret praktisk eksempel, forestil dig, at din computer bruges af børn under 18 år, og du vil begrænse adgangen til visse websteder med voksenindhold. Den første ting er at oprette en fil kaldet /etc/squid3/list med indholdet:

voksen

porno

køn

poringa

og nu i  filen squid.conf vi laver følgende regel:

acl denegados url_regex "/etc/squid3/lista"

http_access allow !denegados

Som du kan se vi har brugt tillade hvilket i princippet er for at tillade, men hvis du kigger har vi tilføjet ! at negere ville derfor svare til at sætte:

acl denegados url_regex "/etc/squid3/lista"

http_access deny denegados

Du kan også oprette lister, ikke kun domænenavne eller IP'er, som vi har gjort, du kan også sætte domæner og for eksempel begrænse adgangen til domæner som .xxx, .gov osv. Lad os se et eksempel baseret på den tidligere regel. Vi opretter en fil /etc/squid3/domains, der har:

. Edu

.es

org.

Og nu vores regel, for at nægte adgang til listen over forbudte websteder, som vi har oprettet, men at tillade adgang til webadresser med disse domæner:

acl denegados url_regex "/etc/squid3/lista" 
acl permitidos dstdomain "/etc/squid3/dominios"

http_access allow !denegados dominios

UDVIDELSE:

Undskyld, da jeg så på kommentarerne, indså jeg det Jeg har savnet det vigtigste. Jeg har begrænset mig til at give eksempler på, hvordan det bruges, og jeg glemte at sige det for at starte Squid-serveren:

sudo service squid3 start

Før blev det startet med "/etc/init.d/squid start", men nu skal du bruge denne anden linje, som jeg har givet dig. Ligesom konfigurationsfilen ikke længere er i /etc/squid/squid.conf, men i /etc/squid3/squid.conf. Ok, når først filtreringspolitikkerne er blevet oprettet og startet, skal vi også konfigurere browseren, hvis du for eksempel bruger Mozilla Firefox eller derivater, kan du gå til konfigurationsmenuen (du ved, de tre bjælker) og derefter til Præferencer, Avanceret, og på fanen Netværk skal du klikke på Indstillinger i afsnittet Forbindelse. Der vælger vi Manuel proxy-konfiguration og sætter vores IP og den port, Squid bruger, i dette tilfælde 3128. Vælg også "Brug samme proxy til alt", og afslut med at gemme ændringerne.

Venligst, Glem ikke at efterlade dine kommentarer, tvivl eller hvad du vil... Selvom det er en tutorial langt over Squid, håber jeg, at det hjælper dig.