Squid – це зручний проксі-сервер з відкритим кодом, який забезпечує кешування та проксі-сервіс для протоколів HTTP, HTTPS, FTP та інших мережевих протоколів. Він широко використовується в корпоративних мережах для оптимізації трафіку, підвищення безпеки та контролю доступу до веб-ресурсів.

Основними перевагами Squid є його висока продуктивність, гнучкість налаштування та можливість значного зменшення навантаження на канал зв’язку завдяки кешуванню. Це робить його відмінним вибором як для малих офісів, так і для великих організацій.

За роки розвитку Squid став стандартом де-факто для Linux-систем, пропонуючи багатий функціонал для фільтрації контенту, автентифікації користувачів та моніторингу мережевого трафіку.

Процедура встановлення

sudo apt update
sudo apt upgrade -y

sudo apt install squid -y

sudo systemctl status squid

sudo yum update -y

sudo yum install squid -y

sudo systemctl status squid

Базова конфігурація

1. Відкрийте конфігураційний файл:

sudo nano /etc/squid/squid.conf

2. Базові налаштування:

http_port 3128
acl localnet src 192.168.1.0/24
http_access allow localnet
http_access deny all

3. Перезапуск сервісу:

sudo systemctl restart squid

Налаштування автентифікації користувачів

Встановлення утиліт для автентифікації

Для Debian/Ubuntu:

sudo apt install apache2-utils -y

Для CentOS:

sudo yum install httpd-tools -y

Створення файлу паролів

1. Створіть директорію для паролів:

sudo mkdir -p /etc/squid/passwords

2. Створення першого користувача (використовується тільки для першого користувача, оскільки створює новий файл):

sudo htpasswd -c /etc/squid/passwords/passwd newuser
New password: 123456789
Re-type new password: 123456789

Додавання наступних користувачів (без опції -c, щоб не перезаписати файл):

sudo htpasswd /etc/squid/passwords/passwd seconduser
New password: ********
Re-type new password: ********

3. Встановлення правильних прав:

sudo chown -R proxy:proxy /etc/squid/passwords
sudo chmod -R 640 /etc/squid/passwords

Налаштування конфігурації для автентифікації

Відредагуйте файл /etc/squid/squid.conf, це можна зробити командою sudo nano /etc/squid/squid.conf.

# Налаштування автентифікації
auth_param basic program /usr/lib/squid/basic_ncsa_auth /etc/squid/passwords/passwd
auth_param basic realm Squid proxy-caching web server
auth_param basic credentialsttl 2 hours

# Створення ACL для автентифікованих користувачів
acl authenticated proxy_auth REQUIRED

# Дозвіл доступу тільки автентифікованим користувачам
http_access allow authenticated
http_access deny all

Додаткові налаштування безпеки автентифікації

1. Обмеження кількості одночасних з’єднань:

acl user1 proxy_auth username1
tcp_outgoing_connection_limit user1 10

2. Обмеження швидкості:

delay_pools 1
delay_class 1 2
delay_parameters 1 -1/-1 10000/20000
delay_access 1 allow authenticated

3. Обмеження доступу за часом:

acl working_hours time MTWHF 9:00-18:00
http_access allow authenticated working_hours

Моніторинг доступу користувачів

Для перегляду активності користувачів використовуйте:

sudo tail -f /var/log/squid/access.log | grep username

Налаштування брандмауера

Налаштування Iptables

sudo iptables-save > /root/iptables.backup

sudo iptables-restore < /root/iptables.backup

Базові правила для Squid:

# Дозволяємо вхідні з'єднання на порт проксі
sudo iptables -A INPUT -p tcp --dport 3128 -j ACCEPT

# Дозволяємо вихідні з'єднання для проксі
sudo iptables -A OUTPUT -p tcp --sport 3128 -j ACCEPT

# Дозволяємо NAT для клієнтів проксі
sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

Розширені правила безпеки:

# Обмежуємо доступ до проксі тільки з локальної мережі
sudo iptables -A INPUT -p tcp --dport 3128 -s 192.168.1.0/24 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 3128 -j DROP

# Логування відхилених спроб підключення
sudo iptables -A INPUT -p tcp --dport 3128 -j LOG --log-prefix "SQUID_DENIED: "

Налаштування переадресації портів:

# Перенаправлення HTTP трафіку на Squid
sudo iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 3128

# Перенаправлення HTTPS трафіку
sudo iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 443 -j REDIRECT --to-port 3128

sudo apt install iptables-persistent
sudo netfilter-persistent save

sudo service iptables save

sudo ufw allow 3128/tcp

sudo firewall-cmd --permanent --add-port=3128/tcp
sudo firewall-cmd --reload

Автоматизація налаштування Iptables

Створіть файл setup_squid_iptables.sh, це можна зробити командою: sudo nano setup_squid_iptables.sh;

#!/bin/bash

# Очищення існуючих правил
iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X

# Встановлення базової політики
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

# Дозвіл локального трафіку
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

# Дозвіл встановлених з'єднань
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# Правила для Squid
iptables -A INPUT -p tcp --dport 3128 -s 192.168.1.0/24 -j ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

# Збереження правил
if [ -f /etc/debian_version ]; then
    netfilter-persistent save
else
    service iptables save
fi

Перевірка роботи.

Для перевірки роботи проксі-сервера можна використати команду:

curl -x http://localhost:3128 http://www.example.com

Додаткові налаштування

Налаштування кешування:

cache_dir ufs /var/spool/squid 10000 16 256
maximum_object_size 4096 KB

Налаштування логування:

access_log /var/log/squid/access.log
cache_log /var/log/squid/cache.log