Squid – это удобный прокси-сервер с открытым кодом, который обеспечивает кеширование и прокси-сервис для протоколов HTTP, HTTPS, FTP и других сетевых протоколов. Он широко используется в корпоративных сетях для оптимизации трафика, повышения безопасности и контроля доступа к веб-ресурсам.

Основными преимуществами Squid являются его высокая производительность, гибкость настройки и возможность значительного уменьшения нагрузки на канал связи благодаря кешированию. Это делает его отличным выбором как для малых офисов, так и для крупных организаций.

За годы развития Squid стал стандартом де-факто для Linux-систем, предлагая богатый функционал для фильтрации контента, аутентификации пользователей и мониторинга сетевого трафика.

Процедура установки

sudo apt update
sudo apt upgrade -y

sudo apt install squid -y

sudo systemctl status squid

sudo yum update -y

sudo yum install squid -y

sudo systemctl status squid

Базовая конфигурация

1. Откройте конфигурационный файл:

sudo nano /etc/squid/squid.conf

2. Базовые настройки:

http_port 3128
acl localnet src 192.168.1.0/24
http_access allow localnet
http_access deny all

3. Перезапуск сервиса:

sudo systemctl restart squid

Настройка конфигурации для аутентификации

Создание файла паролей

1. Создание пользователя с использованием digest аутентификации:

sudo htdigest -c /etc/squid/passwords proxy newuser

Добавление следующих пользователей (без опции -c):

sudo htdigest /etc/squid/passwords proxy seconduser

2. Установка правильных прав:

sudo chown -R proxy:proxy /etc/squid/passwords
sudo chmod -R 640 /etc/squid/passwords

Настройка конфигурации для аутентификации

Отредактируйте файл /etc/squid/squid.conf:

# Настройка digest аутентификации
auth_param digest program /usr/lib/squid/digest_file_auth -c /etc/squid/passwords
auth_param digest realm proxy
acl authenticated proxy_auth REQUIRED
http_access allow authenticated
http_port 3128
dns_v4_first on

Дополнительные настройки безопасности аутентификации

1. Ограничение количества одновременных соединений:

acl user1 proxy_auth username1
tcp_outgoing_connection_limit user1 10

2. Ограничение скорости:

delay_pools 1
delay_class 1 2
delay_parameters 1 -1/-1 10000/20000
delay_access 1 allow authenticated

3. Ограничение доступа по времени:

acl working_hours time MTWHF 9:00-18:00
http_access allow authenticated working_hours

Мониторинг доступа пользователей

Для просмотра активности пользователей используйте:

sudo tail -f /var/log/squid/access.log | grep username

Настройка брандмауэра

Настройка Iptables

sudo iptables-save > /root/iptables.backup

sudo iptables-restore < /root/iptables.backup

Базовые правила для Squid:

# Разрешаем входящие соединения на порт прокси
sudo iptables -A INPUT -p tcp --dport 3128 -j ACCEPT

# Разрешаем исходящие соединения для прокси
sudo iptables -A OUTPUT -p tcp --sport 3128 -j ACCEPT

# Разрешаем NAT для клиентов прокси
sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

Расширенные правила безопасности:

# Ограничиваем доступ к прокси только из локальной сети
sudo iptables -A INPUT -p tcp --dport 3128 -s 192.168.1.0/24 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 3128 -j DROP

# Логирование отклоненных попыток подключения
sudo iptables -A INPUT -p tcp --dport 3128 -j LOG --log-prefix "SQUID_DENIED: "

Настройка переадресации портов:

# Перенаправление HTTP трафика на Squid
sudo iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 3128

# Перенаправление HTTPS трафика
sudo iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 443 -j REDIRECT --to-port 3128

sudo apt install iptables-persistent
sudo netfilter-persistent save

sudo service iptables save

sudo ufw allow 3128/tcp

sudo firewall-cmd --permanent --add-port=3128/tcp
sudo firewall-cmd --reload

Автоматизация настройки Iptables

Создайте файл setup_squid_iptables.sh, это можно сделать командой: sudo nano setup_squid_iptables.sh;

#!/bin/bash

# Очистка существующих правил
iptables -F
iptables -X
iptables -t nat -F
iptables -t nat -X

# Установка базовой политики
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

# Разрешение локального трафика
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

# Разрешение установленных соединений
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# Правила для Squid
iptables -A INPUT -p tcp --dport 3128 -s 192.168.1.0/24 -j ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

# Сохранение правил
if [ -f /etc/debian_version ]; then
    netfilter-persistent save
else
    service iptables save
fi

Проверка работы.

Для проверки работы прокси-сервера можно использовать команду:

curl -x http://localhost:3128 http://www.example.com

Дополнительные настройки

Настройка кеширования:

cache_dir ufs /var/spool/squid 10000 16 256
maximum_object_size 4096 KB

Настройка логирования:

access_log /var/log/squid/access.log
cache_log /var/log/squid/cache.log