Proxy servery

Miroslav Tempír, xtempir@fi.muni.cz

Obsah

Princip činnosti HTTP proxy
Squid
Zpracování logů
Další HTTP proxy
Proxy jiných protokolů a na jiných vrstvách

V obecném kontextu pod pojmem proxy chápeme software zprostředkující určitou službu. Nejpoužívanější a nejznámější službou Internetu je v dnešní době www, takže není divu, že nejznámějším proxy službou je právě zprostředkování přístupu k www. Proto se v tomto referátu budu věnovat především principu činnosti těchto proxy serverů a konkrétně pak ukážu konfiguraci nejpoužívanějšího z nich: proxy serveru Squid.

Princip činnosti HTTP proxy

Proxy je program pracující na aplikační úrovni. Vůči svým klientům vystupuje v roli serveru - přijímá požadavky a předává je dál jménem původního klienta vzdáleným serverům. Pokud je proxy server umístěn na rozhraní dvou sítí, může pak fungovat v roli aplikačního firewallu. Proxy server může nabízet další lákavou funkci - kešování obsahu. Používá k tomu osvědčenou technologii vyrovnávacích pamětí: zapamatuje si odpověď na dotaz, a pokud se v dohledné době stejný dotaz zopakuje, poskytne rovnou uloženou odpověď. Tím lze dosáhnout snížení zatížení linky do Internetu a zároveň zrychlit přístup k často přistupovaným objektům.

Motivace

úspora přenosů na lince do Internetu (v praci cca 30%)
snížení latence požadavků (proxy server na lokální síti odpoví na požadavek dříve než vzdálený server)
filtrování nechtěného/zakázaného obsahu
logování provozu

Problémy

Aktuálnost poskytovaných dokumentů: Vyšší verze protokolu HTTP poskytují v odpovědi serveru informaci o poslední změně dokumentu a doby platnosti poskytnutého dokumentu (Expires). Tyto údaj si HTTP proxy uloží a v při dalším přístupu k tomuto dokumentu porovná datum aktuálně nabízené verze dokumentu s uloženou verzí (resp. požádá o aktuální verzi za podmínky, že byl dokument změněn od doby získání verze uložené v keši, pomocí hlavičky If-Modified-Since). Při nesprávné funkčnosti www serveru (neposkytuje správné datum poslední změny nebo špatně reaguje na požadavek s hlavičkou If-Modified-Since) způsobí, že proxy server neposkytuje aktuální verzi nebo vyřadí kešování a proxy server tak musí žádat o aktuální verzi při každém požadavku od svých klientů.
Správnost poskytovaných dokumentů: Pokud webserver vrací pod stejným URL různé dokumenty podle hlaviček v HTTP požadavku, proxy server může vracet nesprávnou verzi dokumentu, pokud sám správně nerozliší tyto požadavky. Jedná se především o správnou jazykovou verzi (http hlavička Accept-Language) a přenosové kódování (Accept-Encoding). K vyřešení tohoto problému nám protokol HTTP poskytuje hlavičky Vary k označení, podle kterých hlaviček HTTP požadavku server rozliší, kterou verzi má klientovi poslat, a Cache-control k omezení kešování takových dokumentů.

Squid

Squid je nejpoužívanějším HTTP proxy serverem pro unixové systémy.
Podporuje:

zprostředkování a kešování HTTP a FTP požadavků
zprostředkování SSL spojení
hierarchie keší
transparentní kešování
akcelerace požadavků z Internetu na lokální HTTP servery
kešování DNS dotazů
pokročilé nastavení přístupových práv
SNMTP, ICP, HTCP, CARP, Cache Digests, WCCP

Celkem rozsáhlý, ale dobře komentovaný, konfigurační soubor. K rozjetí proxy serveru pro malou síť ale stačí pozměnit jen několik málo parametrů.

Základní nastavení

Konfigurace spolupracujích proxy serverů (parent/sibling). Při požadavku na data, které proxy cache nemá momentálně na disku a proto je potřeba je získat z Internetu, nejdřív oslovuje všechny proxy servery typu sibling a to zasláním dotazu přes UDP (protokol ICP). V případe, že sousední cache tyto data nemají, pokusí se kontaktovat proxy server typu parent (podle nastavené topologie) nebo data stáhne z Internetu přímo.
Cesty k uložišti kešovaných objektů a logům.
Velikost obsazeného prostoru na disku a v paměti.
Definice objektů ke kešování podle typu, velikosti ...
Nastavení přístupu k proxy (autentizace uživatelů, přístupová práva). Pro pokročilejší řízení přístupu k proxy serveru se používají tzv. Access Control Listy.
```
		acl lab.fi.muni.cz src 10.0.0.0/255.255.255.0
		acl all src 0.0.0.0/0.0.0.0
		http_acces allow lab.fi.muni.cz
		http_acces deny all  
	
```
Volba acl má svůj typ:
- src pro zdrojovou IP adresu klienta
- dst pro cílovou IP adresu serveru
- srcdomain a dstdomain pro zdrojovou a cílovou doménu

Transparentní proxy

Koncept transparentní proxy umožnuje přesměrovat na proxy server běžný provoz na síti bez vědomí klientské stanice prostředky operačního systému (v Linuxu iptables). Konfigurace Linuxu:
iptables -t nat -A PREROUTING -p tcp --dport 80 -i ! eth0 -j REDIRECT --to-port 3128 (eth0 je vnější rozhraní routeru do Internetu, squid máme na portu 3128)

Konfigurace Squida:

	httpd_accel_host virtual
	httpd_accel_port 80
	httpd_accel_with_proxy on
	httpd_accel_uses_host_header on

Nevýhodou použití transparentní proxy je nemožnost potlačit jej použití ze strany klientské aplikace. Aplikace nemá žádnou možnost jak se vyhnout tomu, aby její spojení bylo přesměrované routerem na proxy.

Zpracování logů

Squid ukládá informace o svém provozu do souborů:

access.log -- všechny příchozí požadavky klientů
cache.log -- chybové a ladící zprávy
store.log -- seznam objektů udržovaných a odstraněných z cache

calamaris.pl < access.log > stats.html

Další HTTP proxy

Privoxy je HTTP proxy server, který spravuje cookies, kontroluje obsah webových stránek, odstraňuje z nich reklamy a různé bannery a potlačuje tzv. vyskakovací okna. Požadované objekty nekešuje, ale vždy znovu získává ze vzdáleného webserveru. Vychází z projektu Junkbuster.

Proxy jiných protokolů a na jiných vrstvách

FTP - ftp-gw (TIS)
svým způsobem tento koncept platí v protokolech DNS, NNTP ...
SOCKS5 - speciální protokol ke zpřístupnění vnějšího světa bez požadavku na přímou IP konektivitu. Vyžaduje modifikaci std. klientských programů.