Первичная настройка пакета

Параметры настройки пакета squid хранятся в файле /etc/squid/squid.conf

Из важнейших можно отметить следующие параметры:

После изменения параметров для вступления изменений в силу требуется перезапустить сервис.
Это можно сделать стандартными командами:

Command
sudo systemctl restart squid

Info
Перезапуск сервиса с настройками "по умолчанию" занимает около 35-ти секунд. Для более быстрого обновления конфигурации: Command squid -k reconfigure

ACL

Для управления доступом squid поддерживает работу со списками управления доступом (Access Control Lists, ACL).

Примеры ACL:

Info
# определить список портов acl Safe_ports port 80 21 443 563 70 210 1025-65535 280 488 591 777

Пример применения ACL:

Info
# запретить работу со всеми портами, кроме безопасных http_access deny !Safe_ports

Пример блокировки определённых сайтов с помощью ACL:

Info
acl blocksite1 dstdomain telegram.com http_access deny blocksite1

При этом список ACL можно разместить во внешнем файле, например в файле /etc/squid/blockwebsites.lst:

Info
acl blocksitelist dstdomain "/etc/squid/blockwebsites.lst" http_access deny blocksitelist

При этом содержимое файла /etc/squid/blockwebsites.lst может быть:

Info
google.com telegram.com

Аналогично, можно блокировать адреса, содержащие ключевые слова:

Info
acl blockkeyword1 url_regex telegram acl blockkeyword2 url_regex google http_access deny blockkeyword1 http_access deny blockkeyword2

Авторизация пользователей

Простая авторизация

В простейшем случае хранение паролей осуществляется в текстовом файле, содержащем учётные данные, закодированные в base64. Для обработки этого файла используется дополнительная программа /usr/lib/squid3/basic_ncsa_auth, проверяющая соответствие переданной комбинации "логин:пароль"  хранящимся в файле данными.

При этом на авторизованных пользователей распространяются любые правила контроля доступа, записанные в acl главного конфигурационного файла Squid.
Настройка конфигурации (файл паролей  /etc/squid/users ):

Info
auth_param basic program /usr/lib/squid3/basic_ncsa_auth /etc/squid/users acl lan proxy_auth REQUIRED # создание списка доступа, в который включены все прошедшие аутентификацию пользователи http_access allow lan # теперь пользователям списка lan разрешен доступ к интернету

Файл паролей для реализации можно создать с  помощью утилиты htpasswd, которая входит в состав пакета apache2-utils.
Синтаксис команды для htpasswd следующий:

Command
htpasswd [-c] /создаваемый/файл/паролей имя_пользователя

Параметр -с используется для создания нового файла, изменение существующего файла производится без этого параметра.

Для созданного файла желательно установить права на чтение только пользователю и группе, от имени которой работает Squid:

Command
chmod 440 /etc/squid/users chown proxy:proxy /etc/squid/users

Авторизация через Kerberos

В данной главе рассматривается настройка авторизации пользователей через контроллер домена FreeIPA.
При этом предполагается, что у нас имеется настроенный сервер (контроллер домена) FreeIPA с полным доменным именем (FQDN) ipa.ipadomain.ru, а сервер squid расположен на отдельной машине с полным доменным именем (FQDN) squid.ipadomain.ru, которая введена в домен.

1. На контроллере домена регистрируем сервис. Имя сервиса состоит из ключевого слова HTTP, символа косой черты и полного доменного имени (FQDN), в нашем случае имя сервиса будет

   Info
   HTTP/squid.ipadomain.ru

   Зарегистрировать сервис можно через WEB-интерфейс FreeIPA:

   Info
   "Идентификация" - "Службы" - "+ Добавить"

   или из командной строки, выполнив на контроллере домена команду

   Command
   sudo ipa service-add HTTP/squid.ipadomain.ru

   
   

2. На сервере squid получить ключи службы, для чего на сервере squid выполнить команду

   Command
   sudo ipa-getkeytab -s ipa.ipadomain.ru -p HTTP/squid.ipadomain.ru -k /etc/squid/krb5.keytab

   где
   -s - имя сервера, от которого нужно получить ключи (ipa.ipadomain.ru);
   -p - имя службы, для которой нужно получить ключи (HTTP/squid.ipadomain.ru);
   -k - имя файла, в котором нужно сохранить полученные ключи (/etc/squid/krb5.keytab).

3. Установить для созданного на предыдущем шаге файла с ключами права доступа:
   

   
   

   Command
   chown proxy:proxy /etc/squid/krb5.keytab chmod 640 /etc/squid/krb5.keytab

   
   

4. Отредактировать юнит запуска службы squid (файл /etc/init.d/squid), добавив после строки "DESC=Squid HTTP Proxy" строки:

   Info
   KRB5_KTNAME=/etc/squid/krb5.keytab export KRB5_KTNAME

   
   

5. Отредактировать файл конфигурации службы squid /etc/squid/squid.conf, закомментировав строки "#http_access allow localnet" и "#http_access allow localhost" и добавив после них строки для включения авторизации через Kerberos:

   Info
   ... #http_access allow localnet #http_access allow localhost auth_param negotiate program /usr/lib/squid/negotiate_kerberos_auth -d -s HTTP/squid.ipadomain.ru auth_param negotiate children 10 auth_param negotiate keep_alive on acl auth proxy_auth REQUIRED http_access deny !auth http_access allow auth ...

   
   

6. Обновить конфигурацию юнитов запуска системных служб командой

   Command
   sudo systemctl daemon-reload

   
   
   

7. Перезапустить службу squid командой:

   Command
   sudo systemctl restart squid

   
   

Файлы журналов

Журналы squid располагаются в каталоге /var/log/squid: