JAVIER PREZ PEDRIZA SEGURIDAD Y ALTA

DISPONIBILIDAD
2 C.G.S. Admn. de sistemas informticos en red

Curso 2011-

2012

TEMA 7: SEGURIDAD PERIMETRAL

CONFIGURACIN DE PROXY MEDIANTE SQUID

En esta prctica se detalla paso a paso como configurar Squid como servidor proxy en una red de rea local sobre Ubuntu 11. El primer paso es, de manera obvia, descargar el programa. Para ello, utilizar apt:

Debido al potencial y complejidad de ste software, el archivo de configuracin es muy extenso. Por tanto, es recomendable respaldar una copia del archivo de configuracin, y as poder trabajar tranquilamente sobre ste. Una vez hecha la copia, empezar a configurar:

JAVIER PREZ PEDRIZA SEGURIDAD Y ALTA

DISPONIBILIDAD
2 C.G.S. Admn. de sistemas informticos en red

Curso 2011-

2012

El parmetro visible_hostname es el nombre que se mostrar a los usuarios del proxy. En este caso se le asign el que se ve en la captura de pantalla. El parmetro http_port define el puerto en el que atender las conexiones. Por defecto es el 3128, y por tanto no se ha modificado.

JAVIER PREZ PEDRIZA SEGURIDAD Y ALTA

DISPONIBILIDAD
2 C.G.S. Admn. de sistemas informticos en red

Curso 2011-

2012

La definicin cache_dir especifica el sistema de archivos a utilizar, la ruta donde se almacenar la cach, el tamao de sta, y la longitud de la jerarqua de directorios. En esta prctica se ha configurado ufs como sistema de archivos, /var/spool/squid3 -que es la ruta por defecto- como ruta de almacenamiento de cach y no se han modificado los valores preestablecidos para el tamao de cach y longitud de rutas, pues son apropiados para el uso esperado:

En la siguiente captura se asignan 32 MB para la cantidad de memoria RAM que se utilizar para la cach, a pesar de ser una cifra muy baja (pues los equipos actuales disponen de una gran cantidad de almacenamiento RAM) funciona apropiadamente y no es la nica memoria que maneja Squid, por lo que se debe sopesar esto tambin. El valor recomendado por defecto en la versin 3 de Squid es de 256 MB.

JAVIER PREZ PEDRIZA SEGURIDAD Y ALTA

DISPONIBILIDAD
2 C.G.S. Admn. de sistemas informticos en red

Curso 2011-

2012

El siguiente parmetro define qu tamao mximo pueden ocupar los objetos en la memoria de cach. El valor por defecto recomendado es de 512 KB pero, debido a que se asign un menor tamao para la cach, se utiliza un valor proporcional, esto es, 64 KB. Se considera suficiente pues Squid no necesita cachear mucho ms para un nmero bajo de clientes.

A continuacin se muestra la configuracin definida para access_log, parmetro que toma el valor de la ruta del archivo que registrar el control de acceso para una determinada ACL o

JAVIER PREZ PEDRIZA SEGURIDAD Y ALTA

DISPONIBILIDAD
2 C.G.S. Admn. de sistemas informticos en red

Curso 2011-

2012

para todas (si no especifica ninguna, como en el caso que nos ocupa), y al que se le ha dejado intacta la ruta recomendada por defecto:

As mismo, a cache_log se le asigna la ruta para el archivo de registro del cacheo de memoria que realiza Squid. Se ha configurado la ruta por defecto, tambin:

JAVIER PREZ PEDRIZA SEGURIDAD Y ALTA

DISPONIBILIDAD
2 C.G.S. Admn. de sistemas informticos en red

Curso 2011-

2012

Una vez configurados los anteriores parmetros, Squid ya est listo para funcionar. Pero un proxy sin reglas de control de acceso (que dependen de listas de control de acceso, esto es, clientes que cumplen una determinada condicin) es ilgico, as que se debe proceder a la definicin de stas:

Cada lnea acl <nombre> <tipo_condicin> <condicin> separa clientes en funcin de determinados parmetros, as pues: - Las acl <nombre_ACL> url_regex <lista_palabras> incluirn a todos cuyas solicitudes contengan las palabras definidas en el archivo de lista <lista_palabras>. - Las acl <nombre_ACL> src <direccin_origen> incluirn a los clientes cuyas direcciones de red coincidan con <direccin_origen>. - Las acl <nombre_ACL> dstdomain <lista_dominios> incluyen a los clientes cuyas solicitudes contienen uno de los dominios del archivo <lista_dominios>. Por tanto, la funcin de las reglas tan slo recae en denegar o permitir el acceso a un conjunto de clientes acotado mediante las listas de control de acceso o ACL. - http_access deny <nombre_ACL> deniega el acceso a los usuarios de la ACL <nombre_ACL> - http_access allow <nombre_ACL> permite el acceso a los usuarios de la ACL <nombre_ACL> - http_access <deny/allow> all permite o deniega el acceso a TODOS los usuarios.

JAVIER PREZ PEDRIZA SEGURIDAD Y ALTA

DISPONIBILIDAD
2 C.G.S. Admn. de sistemas informticos en red

Curso 2011-

2012

Si no se haban creado los archivos de lista antes de configurar el control de acceso en el archivo squid.conf de la carpeta de Squid (/etc/squid3), deben configurarse antes de poner en marcha o reiniciar el servicio proxy:

JAVIER PREZ PEDRIZA SEGURIDAD Y ALTA

DISPONIBILIDAD
2 C.G.S. Admn. de sistemas informticos en red

Curso 2011-

2012

Reiniciar el servicio squid3, y configurar el cliente para comprobar el funcionamiento de ste.

Configurar el cliente (en este caso Internet Explorer 8) de la manera que se detalla a continuacin:

JAVIER PREZ PEDRIZA SEGURIDAD Y ALTA

DISPONIBILIDAD
2 C.G.S. Admn. de sistemas informticos en red

Curso 2011-

2012

JAVIER PREZ PEDRIZA SEGURIDAD Y ALTA

DISPONIBILIDAD
2 C.G.S. Admn. de sistemas informticos en red

Curso 2011-

2012

Una vez configurado el proxy, intentar visitar uno de los sitios filtrados por las reglas definidas previamente. Se puede comprobar que Squid nos devuelve una advertencia de Acceso Denegado:

Probaremos con otra de las direcciones filtradas y obtenemos lo mismo:

JAVIER PREZ PEDRIZA SEGURIDAD Y ALTA

DISPONIBILIDAD
2 C.G.S. Admn. de sistemas informticos en red

Curso 2011-

2012

Echemos un vistazo al fichero de registro access.log en el servidor:

Comprobaremos que las peticiones van siendo registradas (se ha resaltado en rojo la que solicitaba visitar http://www.argentinawarez.com y fue denegada) con todo lujo de detalle.

JAVIER PREZ PEDRIZA SEGURIDAD Y ALTA

DISPONIBILIDAD
2 C.G.S. Admn. de sistemas informticos en red

Curso 2011-

2012

El funcionamiento de Squid es el esperado. En la parte que sigue se muestra como configurar acceso que requiera autenticacin mediante usuario y contrasea. Volver a abrir el fichero /etc/squid3/squid.conf y modificar los parmetros auth_param definiendo los valores correspondientes. Las configuraciones que se proporcionan por defecto son casi las necesarias en las nuevas lneas que se deben escribir. Todos los parmetros de tipo auth_param se configuraron con valores por defecto. Restar aadir la lnea que defina una ACL (en este caso se llama passwd) que solicite autenticacin en base a los parmetros proporcionados. Tan slo aportar la ubicacin de un archivo de claves que debe ser generado mediante la herramienta htpasswd:

Para generar el archivo de claves, se debe disponer de la herramienta htpasswd la cual est contenida en el paquete apache2-utils y que ya se utiliz previamente en este curso en la prctica de servidor web Apache. Descargarla e instalarla mediante apt:

JAVIER PREZ PEDRIZA SEGURIDAD Y ALTA

DISPONIBILIDAD
2 C.G.S. Admn. de sistemas informticos en red

Curso 2011-

2012

Una vez se dispone de la herramienta, generar el archivo de claves. El parmetro c (de create, crear) slo debe utilizarse la primera vez que se aada un usuario pues el archivo todava no existe. Si se vuelve a utilizar al aadir a otro usuario, se sobreescribir el archivo. Prestar atencin a ese detalle:

Comprobar que el fichero contiene las lneas correspondientes a cada usuario:

Aadir la regla que obliga a autenticar. Tener presente que stas se acatan en orden al filtrar:

JAVIER PREZ PEDRIZA SEGURIDAD Y ALTA

DISPONIBILIDAD
2 C.G.S. Admn. de sistemas informticos en red

Curso 2011-

2012

Reiniciar el servidor proxy y volver a acceder desde el cliente previamente configurado. Comprobar que ahora se solicitan las credenciales al acceder:

JAVIER PREZ PEDRIZA SEGURIDAD Y ALTA

DISPONIBILIDAD
2 C.G.S. Admn. de sistemas informticos en red

Curso 2011-

2012

Concluira con el acceso autenticado correcto la prctica de configuracin y puesta en marcha de un servidor proxy en GNU/Linux mediante Squid.