Servidor de Cache con Squid

Un proxy de conexión a Internet es un servidor que hace de intermediario entre los PCs de la red y el router de conexión a Internet, de forma que cuando un usuario quiere acceder a Internet, su PC realiza la petición al servidor Proxy y es el Proxy quien realmente accede a Internet. Posteriormente, el Proxy enviará los datos al PC del usuario para que los muestre en su pantalla. El PC del usuario no tendrá conexión directa con el router, sino que accederá a Internet por medio del proxy.

Ventajas de disponer de un proxy:

-Los PCs de los usuarios no tienen acceso al router, todas las comunicaciones exteriores pasarán por el Proxy, lo que nos permitirá tener las comunicaciones bajo control. Podemos permitir o denegar el acceso web, ftp, email, messenger, p2p, etc...

-Las páginas se cachean en la memoria temporal del proxy, lo cual, acelera la descarga cuando varios usuarios acceden a las mismas páginas a la vez. Esta circunstancia se da mucho en los centros educativos cuando el profesor está explicando un tema y todos los alumnos acceden a la vez a la misma página.

-Es fácil crear una lista de urls prohibidas a las que el proxy denegará el acceso.

-Es fácil permitir o denegar el acceso a subredes o a PCs concretos. Si diseñamos la red de forma que cada aula del centro tenga un rango determinado, por ejemplo 10.0.X.Y donde X es el número de aula e Y el número de PC, sería posible permitir o denegar la conexión a Internet aula por aula.

-El proxy guarda informes de todas las conexiones que hacen los usuarios. Al principio puede ser interesante ver a qué páginas de contenido inadecuado acceden nuestros alumnos, para agregarlas a la lista de urls prohibidas.

-Los PCs de nuestra red están más seguros de ataques externos ya que el proxy hace de barrera cortafuegos.

Inconvenientes de la utilización de un Proxy:

No todo son ventajas, también hay algún inconveniente en la utilización de un Proxy:

-Para que las aplicaciones accedan a Internet a través del proxy, es necesario configurar cada aplicación: navegador web, cliente ftp, cliente de correo, etc...

-Todas las comunicaciones con el exterior pasarán por el servidor. Si el proxy falla, la red se quedará sin conexión a Internet. Para subsanar lo más rápidamente posible el problema ante un fallo del Proxy, será conveniente disponer de un proxy de repuesto.

-El proxy requiere mantenimiento. Para que todo funcione, es necesario que exista un administrador de la red que se encargue de actualizar, revisar, mantener y reparar el proxy cuando deje de funcionar.

// Instalación del servidor Proxy squid

# apt-get install squid

// Arrancar o reiniciar el servidor squid

# /etc/init.d/squid restart

// Parar el servidor squid

# /etc/init.d/squid stop

// Recargar configuración del servidor squid

# /etc/init.d/squid reload

Configuración básica del proxy squid

El archivo de configuración del proxy es el archivo /etc/squid/squid.conf. Si le abrimos con un editor de textos, veremos que es un archivo muy extenso en el que hay cientos de parámetros que podemos establecer, pero para una utilización básica, son unos pocos los parámetros que debemos configurar. De todos los apartados que dispone el archivo /etc/squid/squid.conf, sólo destacaremos los siguientes:
OPTIONS FOR AUTHENTICATION (Opciones de autentificación)
Aquí se establecen las opciones de autentificación del Proxy. Aunque en este artículo no vamos a hablar de ello, existe la posibilidad de configurar squid para que solicite usuario y contraseña para poder navegar por Internet. Si se quiere hacer uso de esta funcionalidad, lo normal sería tener almacenados los usuarios y las contraseñas en un servidor LDAP y en función de los grupos a los que pertenezcan los usuarios, podríamos habilitar o deshabilitar el acceso. Esto puede ser interesante en empresas, donde el administrador de red da acceso a Internet solo a los usuarios que lo necesitan. En un centro educativo supondría bastante trabajo llevar una administración de este tipo ya que habría que crear y gestionar un usuario para cada alumno y para cada profesor. Es más fácil administrar por redes y por aulas.

ACCESS CONTROL (Control de Acceso)
En esta sección estableceremos los permisos de acceso, es decir, quien puede navegar y quien no. Lo primero que tendremos que hacer es crear listas de control de acceso (Access Control List - ACL) y luego dar permisos a dichas listas.

Una lista de control de acceso (acl) se crea utilizando la palabra acl seguido del nombre que queramos dar a la lista y seguido de una condición que cumplirán los miembros de la lista. Entre las condiciones más utilizadas destacamos: src (IPs o URLs origen), dst (IPs o URLs destino), port (puertos) y proto (protocolos). Ejemplos:

Si en mi red local utilizo el direccionamiento 10.0.0.0/8, puedo crear una lista para definir a toda mi red:

//acl para definir toda mi red

acl todos src 10.0.0.0/8

Si en mi red local utilizo el direccionamiento 10.0.X.0/24, para el aula X, puedo crear una lista para cada aula:

//Una acl para cada aula

acl aula1 src 10.0.1.0/24 acl aula2 src 10.0.2.0/24 acl aula3 src 10.0.3.0/24 acl aula4 src 10.0.4.0/24 acl aula5 src 10.0.5.0/24

Luego tendría que dar permiso a las listas. Para ello se utiliza la palabra clave http_access seguido del permiso allow (permitir) o deny (denegar) y seguido del nombre de la lista. Ejemplos:

Si quiero dar permiso a toda mi red para que navegue por Internet:

//Permiso para que navegue toda mi red

http_access allow todos

Si quiero dar permiso a las aulas 1, 2 y 3 para que navegue por Internet pero no quiero que naveguen las aulas 4 y 5:

//Permiso para que naveguen las aulas 1, 2 y 3 y no naveguen las aulas 4 y 5

http_access allow aula1 http_access allow aula2 http_access allow aula3 http_access deny aula4 http_access deny aula5

Por defecto, squid viene configurado para actuar como caché de acceso a Internet, pero no tiene creadas listas de control de acceso. Si configuramos el navegador de Internet de los PCs cliente para que utilicen el Proxy, veremos que tenemos denegado el acceso al Proxy. Para empezar a disfrutar del Proxy, tendremos que crear una lista de control de acceso con el rango de nuestra red y darla permiso. Si en nuestra red utilizamos el rango 10.0.0.0/8, deberíamos añadir en /etc/squid/squid.conf:

//Permiso para que navegue toda mi red.
acl todos src 10.0.0.0/8 http_access allow todos

Cuando creamos acls, podemos sustituir el rango de IPs por el nombre de un archivo externo, y de esa manera podemos indicar el en archivo externo el rango o los rangos de IPs a los que queremos referirnos, sin necesidad de estar continuamente modificando el archivo squid.conf. Más adelante veremos un ejemplo cómo tener un archivo externo con las urls prohibidas a las que no podrán navegar nuestros alumnos.

NETWORK OPTIONS (Opciones de red)
En esta sección estableceremos con el parámetro http_port, el puerto en el que escucha el Proxy. Lo mejor es dejar el valor por defecto que es el puerto 3128:

//Configurar squid en el puerto 3128

http_proxy 3128

Squid puede trabajar en modo transparente. La ventaja de configurar squid en dicho modo de trabajo, es que no sería necesario configurar el navegador de los PCs clientes para trabajar con el proxy, sino que simplemente configuramos la puerta de enlace del PC cliente con la IP del servidor proxy. Posteriormente tendremos que configurar el cortafuegos del servidor para que redirija las peticiones al puerto 80 hacia el puerto 3128 y así las reciba squid. Si deseamos poner el Proxy en modo transparente, deberemos indicarlo después del puerto. En tal caso, el parámetro http_port quedaría así:

//Configurar squid en el puerto 3128, en modo transparente

http_proxy 3128 transparent

//Redirigir las peticiones al puerto 80 hacia el puerto 3128. Ejecutar como root:

# iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to-port 3128

MEMORY CACHE OPTIONS
En esta sección estableceremos la memoria RAM utilizada para la caché. Una buena opción es utilizar sobre un tercio de la memoria RAM del sistema. Ejemplo, si nuestro sistema tiene 512 MB de memoria RAM, una buena opción sería:

//RAM utilizada por squid

cache_mem 192 MB

DISK CACHE OPTIONS
En esta sección estableceremos el espacio de disco duro utilizado para la caché. Una buena opción es utilizar el 50% de la capacidad total del disco duro. Ejemplo, si nuestro disco tiene sistema tiene 80 GB, una buena opción sería utilizar 40 GB. Deberemos utilizar la palabra clave cache_dir seguida de la palabra ufs que es el formato utilizado por squid, de la carpeta donde queremos que se almacene la cache, el tamaño de la caché en MB, el número de subdirectorios de primer nivel y el número de subdirectorios de segundo nivel. Ejemplo, si queremos que la caché se guarde en /var/spool/squid, que utilice 40 GB y que cachee hasta 16 subdirectorios de primer nivel y hasta 256 subdirectorios de segundo nivel, escribiremos:

//Espacio en disco utilizado por squid

cache_dir ufs /var/spool/squid 40000 16 256

Autor original: 
Osmany Montero Estrada
Categoría: