En este conjunto de prácticas se propone la instalación y configuración de un servidor Squid sobre Ubuntu Server para estudiar el funcionamiento de los servidores proxy.
El recorrido comienza con un proxy básico y avanza progresivamente hacia la configuración de caché, filtrado, autenticación, monitorización, análisis de logs y configuración de clientes.
1. Topología
La infraestructura utilizada será:
INTERNET
│
▼
┌──────────────┐
│ Router │
│ 192.168.1.1 │
└──────┬───────┘
│
ether1
│
┌───────▼────────┐
│ MikroTik │
│ 192.168.88.1 │
│ Firewall + NAT │
└───────┬────────┘
│
192.168.88.0/24
│
┌──────────┴──────────┐
│ │
Ubuntu + Squid Cliente
192.168.88.10 192.168.88.x
:3128
El servidor proxy utilizará:
IP: 192.168.88.10
Puerto: 31282. Práctica 1. Instalación y configuración de un servidor proxy
Objetivos
- Comprender el funcionamiento de un proxy.
- Instalar Squid.
- Configurar un proxy HTTP/HTTPS.
- Configurar un cliente.
- Comprobar las peticiones realizadas a través del proxy.
2.1. Configurar Ubuntu
Asignar al servidor Ubuntu:
IP: 192.168.88.10
Máscara: 255.255.255.0
Gateway: 192.168.88.1
DNS: 192.168.88.1Comprobar la configuración:
ip addrip routeProbar el gateway:
ping 192.168.88.1Comprobar Internet:
ping 8.8.8.82.2. Instalar Squid
sudo apt update
sudo apt install squidComprobar el servicio:
sudo systemctl status squidComprobar que está escuchando:
sudo ss -lntp | grep 31282.3. Realizar una copia de seguridad
Antes de modificar la configuración:
sudo cp /etc/squid/squid.conf /etc/squid/squid.conf.bakEditar:
sudo nano /etc/squid/squid.confUna configuración inicial sencilla:
http_port 3128
acl red_local src 192.168.88.0/24
http_access allow red_local
http_access deny all
cache_dir ufs /var/spool/squid 100 16 256Comprobar la configuración:
sudo squid -k parseSi no aparecen errores:
sudo systemctl restart squid3. Configurar un cliente
El cliente debe utilizar:
Proxy HTTP: 192.168.88.10
Puerto: 3128Por ejemplo, en Firefox:
Ajustes → Configuración de red → Configuración
Seleccionar:
Configuración manual del proxyY configurar:
Proxy HTTP: 192.168.88.10
Puerto: 3128Probar desde terminal
Utilizando curl:
curl -x http://192.168.88.10:3128 http://example.comTambién:
curl -x http://192.168.88.10:3128 https://example.comMientras tanto, en el servidor:
sudo tail -f /var/log/squid/access.logDeberían aparecer las peticiones realizadas por el cliente.
4. Práctica 2. Configuración de la caché
Objetivo
Configurar el almacenamiento en caché de Squid y analizar su funcionamiento.
La caché permite almacenar determinados contenidos para poder reutilizarlos cuando sea apropiado.
4.1. Configurar el almacenamiento
En:
/etc/squid/squid.confañadir o modificar:
cache_dir ufs /var/spool/squid 500 16 256En este ejemplo:
500 MB
16 directorios de primer nivel
256 directorios de segundo nivelComprobar:
sudo squid -k parseReiniciar:
sudo systemctl restart squid4.2. Consultar información de la caché
sudo squidclient mgr:infoTambién:
sudo squidclient mgr:storedirY:
sudo squidclient mgr:objectsActividad
El alumno debe:
- Acceder a un recurso mediante el proxy.
- Consultar
access.log. - Volver a solicitar el recurso.
- Analizar las respuestas de Squid.
- Identificar posibles accesos desde caché.
- Explicar las ventajas y limitaciones de utilizar una caché.
5. Práctica 3. Filtrado mediante Squid
Objetivo
Configurar políticas para controlar qué contenidos pueden consultar los clientes.
Se trabajará:
- Filtrado por dominio.
- Filtrado por URL.
- Filtrado por extensión.
- Filtrado por horario.
5.1. Bloquear determinados dominios
Crear un archivo:
sudo nano /etc/squid/bloqueados.txtPor ejemplo:
example.org
example.netEn squid.conf:
acl dominios_bloqueados dstdomain "/etc/squid/bloqueados.txt"
http_access deny dominios_bloqueadosLa regla debe situarse antes de la autorización general:
acl red_local src 192.168.88.0/24
acl dominios_bloqueados dstdomain "/etc/squid/bloqueados.txt"
http_access deny dominios_bloqueados
http_access allow red_local
http_access deny allComprobar:
sudo squid -k parseReiniciar:
sudo systemctl restart squid5.2. Bloquear determinadas extensiones
Por ejemplo:
acl archivos_bloqueados urlpath_regex -i \.(exe|msi|iso)$
http_access deny archivos_bloqueadosEsto permite trabajar con diferentes tipos de filtrado:
Dominio
↓
URL
↓
Extensión5.3. Filtrado por horario
Crear una ACL:
acl horario_clase time MTWHF 08:00-14:00Podemos combinarla con los dominios bloqueados:
acl dominios_bloqueados dstdomain "/etc/squid/bloqueados.txt"
http_access deny dominios_bloqueados horario_claseDe esta forma, una política puede aplicarse únicamente durante determinadas franjas horarias.
6. Práctica 4. Autenticación de usuarios
Objetivo
Configurar autenticación para que los clientes tengan que identificarse antes de utilizar el proxy.
Se utilizará autenticación básica mediante usuarios locales.
6.1. Instalar htpasswd
sudo apt install apache2-utilsCrear el primer usuario:
sudo htpasswd -c /etc/squid/passwd alumno1Añadir usuarios adicionales:
sudo htpasswd /etc/squid/passwd alumno2Por ejemplo:
sudo htpasswd /etc/squid/passwd profesor6.2. Configurar Squid
En squid.conf:
auth_param basic program /usr/lib/squid/basic_ncsa_auth /etc/squid/passwd
auth_param basic realm Proxy
acl usuarios proxy_auth REQUIRED
http_access allow usuarios
http_access deny allPodemos combinar la autenticación con la red local:
acl red_local src 192.168.88.0/24
auth_param basic program /usr/lib/squid/basic_ncsa_auth /etc/squid/passwd
auth_param basic realm Proxy
acl usuarios proxy_auth REQUIRED
http_access allow red_local usuarios
http_access deny allComprobar:
sudo squid -k parseReiniciar:
sudo systemctl restart squidActividad
Crear:
alumno1
alumno2
profesorDespués:
- Intentar navegar sin autenticación.
- Introducir credenciales incorrectas.
- Introducir credenciales válidas.
- Comprobar el acceso.
- Revisar los registros.
7. Práctica 5. Monitorización y logs
Objetivo
Analizar la actividad registrada por Squid.
Los principales archivos de registro son:
/var/log/squid/access.log
/var/log/squid/cache.log7.1. Monitorizar las peticiones
sudo tail -f /var/log/squid/access.logConsultar el log completo:
sudo less /var/log/squid/access.logConsultar errores:
sudo tail -f /var/log/squid/cache.log7.2. Buscar accesos bloqueados
sudo grep "TCP_DENIED" /var/log/squid/access.logBuscar accesos que hayan utilizado caché:
sudo grep "TCP_HIT" /var/log/squid/access.logBuscar peticiones que hayan tenido que obtenerse del exterior:
sudo grep "TCP_MISS" /var/log/squid/access.logActividad
A partir de los registros, identificar:
Fecha
Hora
IP del cliente
Destino
Método HTTP
Código de respuesta
Tamaño
Resultado de SquidPor ejemplo:
TCP_DENIED
TCP_HIT
TCP_MISS8. Práctica 6. Generación de informes
Objetivo
Generar informes a partir de los registros de Squid.
Una herramienta que puede utilizarse es SARG.
Instalación:
sudo apt update
sudo apt install sargEditar:
sudo nano /etc/sarg/sarg.confIndicar el archivo de registro:
access_log /var/log/squid/access.logGenerar un informe:
sudo sargLos informes pueden utilizarse para analizar:
- Usuarios.
- Sitios visitados.
- Volumen de tráfico.
- Número de peticiones.
- Actividad por periodos.
- Información registrada por el proxy.
9. Práctica 7. Configuración de clientes proxy
Objetivo
Configurar diferentes clientes para utilizar el servidor Squid.
Firefox
Configurar:
Proxy HTTP: 192.168.88.10
Puerto: 3128curl
Realizar una petición mediante el proxy:
curl -x http://192.168.88.10:3128 https://example.comTambién se puede especificar usuario y contraseña cuando la autenticación esté activada:
curl -x http://usuario:contraseñ[email protected]:3128 https://example.comVariables de entorno
Configurar:
export http_proxy=http://192.168.88.10:3128
export https_proxy=http://192.168.88.10:3128Comprobar:
curl https://example.comEliminar la configuración:
unset http_proxy
unset https_proxy10. Práctica 8. Comparación entre conexión directa y conexión mediante proxy
Objetivo
Comprobar las diferencias entre navegar directamente y utilizar un servidor proxy.
Sin proxy
Cliente
│
▼
MikroTik
│
▼
InternetCon proxy
Cliente
│
▼
MikroTik
│
▼
Squid
│
▼
InternetLos alumnos deberán comparar:
- Conectividad.
- Logs.
- Filtrado.
- Autenticación.
- Caché.
- Peticiones realizadas.
- Comportamiento del cliente.
11. Práctica final. Implementación completa de un proxy
Como actividad final se puede integrar toda la configuración anterior.
Escenario
INTERNET
│
▼
Router principal
192.168.1.1
│
ether1
│
┌────────▼────────┐
│ MikroTik │
│ 192.168.88.1 │
└────────┬────────┘
│
┌──────────┴──────────┐
│ │
Ubuntu + Squid Clientes
192.168.88.10 Wi-Fi
:3128
El servidor deberá implementar:
Proxy
192.168.88.10:3128Caché
cache_dirFiltrado
Bloqueo de determinados dominios:
/etc/squid/bloqueados.txtAutenticación
alumno1
alumno2
profesorLogs
/var/log/squid/access.log
/var/log/squid/cache.logInformes
Utilización de SARG:
sudo sargClientes
Configurar:
- Firefox.
curl.- Variables de entorno
http_proxyyhttps_proxy.
12. Relación con los contenidos
| Contenido | Práctica |
|---|---|
| Tipos de proxy | 1 |
| Características y funciones | 1 |
| Instalación de Squid | 1 |
| Configuración del proxy | 1 |
| Almacenamiento en caché | 2 |
| Configuración de filtros | 3 |
| Autenticación | 4 |
| Monitorización | 5 |
| Registros de actividad | 5 |
| Informes sobre logs | 6 |
| Configuración de clientes | 7 |
| Integración de contenidos | 8 |
13. Configuración mínima de referencia
Como punto de partida para las prácticas, una configuración sencilla de Squid puede ser:
http_port 3128
acl red_local src 192.168.88.0/24
http_access allow red_local
http_access deny all
cache_dir ufs /var/spool/squid 500 16 256Comprobar:
sudo squid -k parseReiniciar:
sudo systemctl restart squidY comprobar:
sudo systemctl status squid14. Secuencia recomendada
La progresión completa queda:
Práctica 1
Instalación y configuración básica
↓
Práctica 2
Caché
↓
Práctica 3
Filtros
↓
Práctica 4
Autenticación
↓
Práctica 5
Logs y monitorización
↓
Práctica 6
Informes
↓
Práctica 7
Configuración de clientes
↓
Práctica 8
Proyecto finalDe esta forma, cada práctica introduce una funcionalidad nueva de Squid y al terminar el recorrido se dispone de un servidor proxy completo con caché, filtrado, autenticación, registros, informes y clientes configurados.