Debian, Squid, Squidguard, step by step

1. Squid telepítése
   Debian alatt ez a folyamat viszonylag egyszerű:

   # apt-get install squid

2. Squid beállítása
   Mint minden szolgáltatás esetében, most sem szabad rögtön a bonyolult, kifinomult szabályokkal kezdeni, lássunk működni egy teljesen alap squid-et. Aztán lehet bonyolítani...
   A squid config file-ja alapértelmezésben (debian alatt): /etc/squid/squid.conf . Ebben az alapvető működéshez legalább az alábbi soroknak kell lennie:

   
   http_port 3128 # mely porton dolgozik (hova kell irányítani a 80-ast...)
   
   hierarchy_stoplist cgi-bin ?
   acl QUERY urlpath_regex cgi-bin \?
   cache deny QUERY
   
   access_log /var/log/squid/access.log squid # a log helye
   cache_mem 64 MB # a squid-nek adott memória mennyisége, szabadon választott
   maximum_object_size 32 MB # a legnagyobb objektum (kép video stb.) amit tárol
   cache_dir ufs /var/spool/squid 1024 64 128 # a cache könyvtár helye, a mögötte lévő számok sorrendben: cache mérete(MB) könyvtárakszáma alkönyvtárakszáma
   
   # néhány alap szabály, amit nem jó kihagyni 
   acl all src 0.0.0.0/0.0.0.0
   acl manager proto cache_object
   acl localhost src 127.0.0.1/255.255.255.255
   acl localnet src 192.168.2.0/255.255.255.0
   
   # Őszinte leszek: ezt pontosan magam sem tudom micsoda, de ha kiveszem nem igazán megy.
   acl purge method PURGE
   acl CONNECT method CONNECT
   
   # most pedig az engedélyzések
   http_access allow localhost
   http_access deny all
   http_access allow localnet
   

   Ez elvileg a minimális squid.conf egy sima, _nem_ transzparens proxy működéséhez. (Aki úgy érzi ennél több kell, vagy elég kevesebb is, az hozzászólásban jelezze, és ha szükséges akkor javítom.) Komolyabb hozzáférési szabályokért nézd meg például ezt.

3. Transzparens proxy: attól hogy az átjárón van squid, még nem megy simán a proxy szolgáltatás. Kivéve, ha minden belső böngészőnek külön beállítod a proxyt, de ez ugyebár kényelmetlen nagyobb hálózat esetén.
   A squid transzparens módba állítható, ha a config fájl elején lévő

   http_port 3128

   sort kiegészíted így:

   http_port 3128 transparent

   Ennyi.
   Szívás: a transzparens proxy beállítása a squid 2.5-től felfele változott. Néhány régi howto-ban megtalálható, hogy a transzparens proxihoz még négy sor kell a squid.conf-ba:

       
       httpd_accel_host virtual
       httpd_accel_port 80
       httpd_accel_with_proxy on
       httpd_accel_uses_host_header on
   

   Ez csak akkor igaz, ha squid-ed 2.5-nél korábbi, az újabb nem is kezeli.

4. Tűzfal beállítása: ha nem gondolsz arra, hogy a 80-as portra irányuló kéréseket a squid a 3128-on szeretné fogadni, akkor a squid csak csendben ülni fog a fenekén, és nem dolgozik. Ezért a tűzfal beállításaihoz hozzá kell csapni az alábbi sort:
   

   /sbin/iptables -t nat -A PREROUTING -i [belsohalokartya] -p tcp --dport 80 -j REDIRECT --to-port 3128

5. Squidguard telepítése
   A dolog hasonló bonyolultságú mint a squid telepítése volt:

   # apt-get install squidguard

6. Squidguard beállítása: a squidguard config-file-ja debian alatt alapártelmezésben: /etc/squid/squidGuard.conf . Minimális config igazából nincs, leszámítva az lábbi két sort:
   

   dbhome /var/lib/squidguard/db # az adatbázisok helye (pl blacklist)
   logdir /var/log/squid # a naplók helye

   Ha ezen kívül üresen hagyod a squidGuard.conf-ot, akkor csak naplóbejegyzéseket fog pakolni a squid minden indításakor (vagy azt sem), de gond nélkül müxik tovább a webelérés. Ha szerkeszteni szeretnénk a squidGuard configját (ami logikus, különben miért telepítettük?), akkor a benne lévő kommentek nagyon jó segítséget nyújtanak (időintervallumra korlátozás, IP-korlát stb.). Ha valaki a komolyabb lehetőségekre is kíváncsi, akkor a squidguard dokumentációja könnyen értelmezhető, sok példával van megáldva.

7. A squid és a squidGuard házasítása: a squidguard-ot a squid hívogatja minden kapcsolatnál, tehát ha squidnek nem mondjuk meg hogy van mögötte egy squidguard is, akkor ... de ez nyilvánvaló. A squid.conf állományba bele kell tenni ezt a sort:
   

   url_rewrite_program /usr/bin/squidGuard

   Így már menni fog :)
   Szívás: Néhány régi howto a 2.5 előtti squid-ekre ezt a paramétert írja:

   redirect_program /usr/bin/squidGuard

   Az új squid-ek ezt már nem használják, nem is ismerik.

8. A feketelista: számomra a squidguard legfontosabb előnye (és gyakorlatilag az egyetlen ok amiért feltettem), hogy lehetőség van olyan adatbázisok használatára feketelistaként, melyek igen nagy arányban ismerik a spyware-terjesztő, vagy vírust terjesztő, vagy agresszív oldalakat. Ezek blokkolása önmagában is komoly vírusvédelmet jelent a belső hálózat windows-ai számára. Ilyen adatbázis letülthető például innen.
9. Feketelista átadása a squidguard-nak: a feketelista letöltése után azt kicsomagoljuk, és kitesszük a
   

   /var/lib/squidguard/db

   könyvtárba. Ez ugyanis az alapértelmezett adatbázis könyvtár (kivéve ha squidGuard.conf-ba mást írsz).
   Szívás: Könnyű elfelejteni, hogy a listákra a megfelelő jogokat meg kell adni a proxy usernek. Adjuk hát meg a megfelelő jogosultságokat:

   chown -R proxy:proxy /var/lib/squidguard/db
   chmod -R =rwsr-xr-x /var/lib/squidguard/db

   Most pedig a squdGuard.conf-ban definiálunk egy szabályt, amivel a spyware terjesztő oldalakat blokkoljuk:

   
   # definialjuk a szabalyt
   dest spyware {
       domainlist   spyware/domains
       urllist      spyware/urls
   }
   
   # ervenybe leptetjuk a szabalyt
   acl {
       default {
           pass !spyware all
           redirect http://localhost/blocked.html
       }
   }
   

   A 'redirect' szó utáni URL tetszés szerinti helyre mutathat, az itt látható blocked.html-t én készítettem a felhasználók tájékoztatására.
   Természetesen ilyen módosítás után mindig:

   /etc/init.d/squid reload

   Szívás!!!: A squidguard alapesetben a db formájú listákat szereti, de elég okos ahhoz hogy kezeljen szövegeseket is. A letöltött listáról látható, hogy síma szöveges file-ok. Ha így hagyjuk, akkor a squid reload-ja után (vagy az első webes kérés után) a proxy gépnek a load-ja az egekbe szökik (ha van fennt egy nagios, akkor az elkezdi dobálni a "Load Critical" leveleket), és gyakorlatilag megszűnik a web elérés. Mindennek az az oka, hogy elfelejtettük db-formára hozni a listánkat és a squidguard a szöveges adathalomban keres illeszkedést. Nagyon. Tehát a listákat hozzuk db formára így:

   squidGuard -C /var/lib/squidguard/db/*
   chown -R proxy:proxy /var/lib/squidguard/db
   chmod -R =rwsr-xr-x /var/lib/squidguard/db

   Ezt követően már szépen dolgozik... :)

Egyelőre ennyi. Folytatása következik (ha lesz egy kis időm) a squidclam -el, ami vírusellenőrzést végez a letöltéseken. Félek ez lassítani fog... Meglátjuk.