Proxy web

Il proxy web è un server che si interpone fra i PC della LAN e i siti Internet. I client effettuano le richieste al proxy che comunica con i siti esterni, quindi trasmette le risposte al client.

I vantaggi del proxy web sono due:

  • possibilità di filtrare i contenuti
  • ridurre l’utilizzo della banda facendo cache delle pagine visitate

Il proxy può essere attivato per le zone green e blue. Le modalità supportate sono:

  • Manuale: tutti i client devono essere manualmente configurati
  • Autenticato: gli utenti devono inserire nome utente e password per poter navigare
  • Trasparente: tutti i client sono automaticamente forzati ad usare il proxy per le connessioni HTTP
  • Trasparente SSL: tutti i client sono automaticamente forzati ad usare il proxy per le connessioni HTTP e HTTPS

Modalità autenticata

Prima di abilitare il proxy web in modalità autenticata, assicurarsi di aver configurato un account provider locale o remoto.

Quando viene installato Samba Active Directory o il server è attestato ad un dominio remoto Active Directory, le postazioni Windows possono utilizzare l’autenticazione integrata Kerberos. Su tutti i client Windows è necessario configurare il proxy utilizzando l’FQDN del server.

Tutti gli altri client possono utilizzare il meccanismo di basic authentication.

Nota

L’autenticazione NTLM è deprecata e non è più supportata.

Configurazione client

Il proxy è sempre in ascolto sulla porta 3128. Quando si utilizzano le modalità Manuale o Autenticato, tutti i client devono essere esplicitamente configurati per utilizzare il proxy. La configurazione è accessibile dal pannello impostazioni del browser. La maggior parte dei client verranno comunque configurati automaticamente attraverso il protocollo WPAD. In questo caso è utile attivare l’opzione Blocca porta HTTP e HTTPS per evitare il bypass del proxy.

Se il proxy è installato in modalità trasparente, tutto il traffico web proveniente dai client viene intercettato dal firewall e indirizzato attraverso il proxy. Nessuna configurazione è necessaria sui singoli client.

Nota

Per rendere accessibile il file WPAD dalla rete ospiti, aggiungere l’indirizzo della rete blue nel campo Consenti host per il servizio httpd nella pagina Servizi di rete.

Proxy SSL

In modalità trasparente SSL, il proxy implementa la cosiddetta tecnica «peek and splice»: stabilisce la connessione SSL con i siti remoti e verifica la validità dei certificati senza decifrare il traffico. Quindi il server può filtrare gli URL richiesti utilizzando il filtro web e ritornare la risposta al client.

Nota

Non è necessario installare alcun certificato sui client, è sufficiente abilitare il proxy SSL.

Bypass

In alcuni casi può essere necessario fare in modo che il traffico originato da specifici ip della rete o verso alcune destinazioni non passi per il proxy HTTP/HTTPS, ma sia instradato direttamente; il traffico in questione non sarà più sottoposto a proxy.

Il proxy consente di creare:

  • bypass per domini
  • bypass per sorgente
  • bypass per destinazione

Bypass per domini

I bypass per i domini possono essere configurati dalla sezione Domini senza proxy. Tutti i domini elencati all’interno di questa pagina possono essere acceduti direttamente dai client LAN. Nessun filtro antivirus o dei contenuti viene applicato a questi domini.

Ogni dominio elencato sarà espanso anche per i relativi sotto-domini. Ad esempio, aggiungendo nethserver.org verranno bypassati anche www.nethserver.org, mirror.nethserver.org, e così via.

Nota

Tutti i client della LAN devono utilizzare il server stesso come DNS, direttamente o come forwarder.

Bypass per origine e destinazione

Un bypass per origine consente l’accesso diretto a tutti i siti HTTP/HTTPS da host selezionati, gruppi host, intervalli IP e CIDR di rete. I bypass per origine sono configurabili dalla sezione Host senza proxy.

Un bypass per destinazione consente l’accesso diretto da qualsiasi client della LAN a siti HTTP/HTTPS ospitati su host specifici, gruppi host o CIDR di rete. I bypass per destinazione sono configurabili dalla sezione Siti senza proxy.

Queste regole di bypass vengono configurate anche all’interno del file WPAD.

Regole di priorità e di instradamento

Le regole del firewall per il routing del traffico su un provider specifico o per la modifica della priorità del traffico vengono applicate solo al traffico di rete che attraversa il gateway. Queste regole non si applicano se il traffico passa attraverso il proxy perché il traffico viene generato dal gateway stesso.

In uno scenario in cui il proxy web è abilitato in modalità trasparente e il firewall contiene una regola per abbassare la priorità di un host specifico, la regola si applica solo ai servizi non HTTP, come SSH.

La scheda Regole consente la creazione di regole di priorità e di instradamento anche per il traffico intercettato dal proxy.

L’interfaccia web consente di creare regole per il traffico HTTP/S per:

  • aumentare la priorità di un host o una rete
  • abbassare la priorità di un host o di una rete
  • Instradare la sorgente su un provider specifico con failover automatico se il provider dovesse andare fuori servizio
  • forzare la sorgente su uno specifico provider senza failover automatico

Report

Installando il modulo nethserver-lightsquid il sistema genererà automaticamente i report di navigazione web.

LightSquid è un analizzatore di log per Squid leggero e veloce che ogni giorno genera un nuovo report HTML, riassumendo le abitudini di navigazione degli utenti del proxy. L’interfaccia di Lightsquid è accessibile dal tab Applicazioni della Dashboard.

Cache

Nel pannello Cache è presente un form per configurare i parametri di cache:

  • La cache può essere abilitata o disabilitata (disabilitata di default)
  • Dimensione cache disco: valore massimo della cache di squid sul disco (in MB)
  • Dimensione minima oggetto: può essere lasciato a 0 per mettere in cache tutto, ma può essere alzato se gli oggetti piccoli non sono desiderati in cache (in kB)
  • Dimensione massima oggetto: gli oggetti più grandi di questa dimensione non vengono salvati in cache. Se si preferisce la velocità al salvataggio della banda, può essere impostato ad un valore basso (in kB)

Il pulsante Svuota cache funziona anche se il proxy è disabilitato, potrebbe essere utile per liberare spazio su disco.

Siti senza cache

A volte il proxy non è in grado di fare cache di alcuni siti mal costruiti. Per escludere uno o più domini dalla cache, usare l’opzione NoCache.

Esempio:

config setprop squid NoCache www.nethserver.org,www.google.com
signal-event nethserver-squid-save

Porte sicure

Le porte sicure sono una lista di porte accessibili attraverso il proxy. Se una porta non è all’interno della lista delle porte sicure, il proxy si rifiuterà di collegarsi al server. Per esempio, dato un servizio HTTP che gira sulla porta 1234, tale servizio non sarebbe accessibile usando il proxy.

L’opzione SafePorts è una lista di porte separata da virgole. Le porte elencate saranno aggiunte alla lista preconfigurata di porte sicure.

Per esempio, per aprire l’accesso alle porte 446 e 1234:

config setprop squid SafePorts 446,1234
signal-event nethserver-squid-save

Log

I log di Squid vengono conservati in formato compresso per 5 settimane, per gestire l’utilizzo dello spazio su disco. I log del proxy Web sono molto dettagliati e sono una insostituibile risorsa per approfondire gli eventuali problemi. Le attività di navigazione Web sono registrate in formato aggregato e leggibile attraverso Lightsquid.

Negli ambienti in cui sia necessario conservare i log per più di 5 settimane, è possibile modificare manualmente la configurazione di logrotate /etc/logrotate.d/squid. E” inoltre necessario rammentare di aggiungere /etc/ logrotate.d/squid al backup della configurazione usando l’inclusione personalizzata.

echo '/etc/logrotate.d/squid' >> /etc/backup-config.d/custom.include