Squid를 HTTPS 전달 프록시로 구성 하시겠습니까?

9

내 문제에 대한 몇 가지 배경은 다음과 같습니다.

동적 IP 주소로 Heroku에서 실행되는 웹 서비스가 있습니다. Heroku의 고정 IP는 옵션이 아닙니다.
방화벽 뒤에있는 외부 웹 서비스에 연결해야합니다. 외부 웹 서비스를 운영하는 사람들은 방화벽을 특정 고정 IP로만 엽니 다.

시도한 해결책은 정적 IP가있는 별도의 서버에서 Squid를 사용하여 Heroku에서 외부 서비스로 요청을 전달하는 것입니다. 이렇게하면 외부 서비스는 Heroku 서비스의 동적 IP 대신 항상 프록시 서버의 고정 IP를 보게됩니다.

프록시 서버는 인증을 위해 IP 주소에 의존 할 수 없기 때문에 (이로 인해 문제가됩니다!), 사용자 이름과 비밀번호를 사용해야합니다. 또한, 사용자 이름과 비밀번호는 일반 텍스트로 전송 될 수 없습니다. 공격자가 일반 텍스트를 가로 채야한다면 내 척하는 내 프록시에 연결하여 프록시의 고정 IP를 사용하여 아웃 바운드 요청을하여 외부를 피할 수 있기 때문입니다. 웹 서비스의 방화벽.

따라서 Squid 프록시는 HTTP가 아닌 HTTPS를 통한 연결 만 허용해야합니다. 외부 웹 서비스에 대한 연결은 HTTP 또는 HTTPS 일 수 있습니다.

CentOS 6.5.x에서 Squid 3.1.10을 실행 중이며 여기 squid.conf까지가 있습니다. 문제 해결 목적으로 만 HTTP 및 HTTPS 프록시를 일시적으로 활성화했지만 HTTPS 만 사용하려고합니다.

#
# Recommended minimum configuration:
#
acl manager proto cache_object
acl localhost src 127.0.0.1/32 ::1
acl to_localhost dst 127.0.0.0/8 0.0.0.0/32 ::1

# Example rule allowing access from your local networks.
# Adapt to list your (internal) IP networks from where browsing
# should be allowed
acl localnet src 10.0.0.0/8 # RFC1918 possible internal network
acl localnet src 172.16.0.0/12  # RFC1918 possible internal network
acl localnet src 192.168.0.0/16 # RFC1918 possible internal network
acl localnet src fc00::/7       # RFC 4193 local private network range
acl localnet src fe80::/10      # RFC 4291 link-local (directly plugged) machines

acl SSL_ports port 443
acl Safe_ports port 80      # http
acl Safe_ports port 21      # ftp
acl Safe_ports port 443     # https
acl Safe_ports port 70      # gopher
acl Safe_ports port 210     # wais
acl Safe_ports port 1025-65535  # unregistered ports
acl Safe_ports port 280     # http-mgmt
acl Safe_ports port 488     # gss-http
acl Safe_ports port 591     # filemaker
acl Safe_ports port 777     # multiling http
acl CONNECT method CONNECT

# Authorization

auth_param digest program /usr/lib64/squid/digest_pw_auth -c /etc/squid/squid_passwd
auth_param digest children 20 startup=0 idle=1
auth_param digest realm squid
auth_param digest nonce_garbage_interval 5 minutes
auth_param digest nonce_max_duration 30 minutes
auth_param digest nonce_max_count 50

acl authenticated proxy_auth REQUIRED

#
# Recommended minimum Access Permission configuration:
#
# Only allow cachemgr access from localhost
http_access allow manager localhost
http_access deny manager

# Deny requests to certain unsafe ports
http_access deny !Safe_ports

# Deny CONNECT to other than secure SSL ports
http_access deny CONNECT !SSL_ports

# We strongly recommend the following be uncommented to protect innocent
# web applications running on the proxy server who think the only
# one who can access services on "localhost" is a local user
#http_access deny to_localhost

#
# INSERT YOUR OWN RULE(S) HERE TO ALLOW ACCESS FROM YOUR CLIENTS
#

# Example rule allowing access from your local networks.
# Adapt localnet in the ACL section to list your (internal) IP networks
# from where browsing should be allowed
#http_access allow localnet
#http_access allow localhost
http_access allow authenticated

# And finally deny all other access to this proxy
http_access deny all

# Squid normally listens to port 3128
http_port 3128

https_port 3129 cert=/etc/squid/ssl/cert.pem key=/etc/squid/ssl/key.pem

# We recommend you to use at least the following line.
hierarchy_stoplist cgi-bin ?

# Disable all caching
cache deny all

# Uncomment and adjust the following to add a disk cache directory.
#cache_dir ufs /var/spool/squid 100 16 256

# Leave coredumps in the first cache dir
coredump_dir /var/spool/squid

# Add any of your own refresh_pattern entries above these.
refresh_pattern ^ftp:       1440    20% 10080
refresh_pattern ^gopher:    1440    0%  1440
refresh_pattern -i (/cgi-bin/|\?) 0 0%  0
refresh_pattern .       0   20% 4320

이 설정을 사용하면 HTTP 프록시가 제대로 작동하지만 HTTPS 프록시는 작동하지 않습니다.

로컬 박스의 HTTP 프록시 요청은 다음과 같습니다.

$ curl --proxy http://my-proxy-server.example:3128 \
  --proxy-anyauth --proxy-user redacted:redacted -w '\n' \
  http://urlecho.appspot.com/echo?body=OK
OK

좋아, 그게 내가 예상 한 것입니다. 결과는 다음과 /var/log/squid/access.log같습니다.

1390250715.137     41 my.IP.address.redacted TCP_MISS/200 383 GET http://urlecho.appspot.com/echo? redacted DIRECT/74.125.142.141 text/html

이번에는 HTTPS를 사용한 다른 요청이 있습니다.

$ curl --proxy https://my-proxy-server.example:3129 \
  --proxy-anyauth --proxy-user redacted:redacted -w '\n' \
  http://urlecho.appspot.com/echo?body=OK

curl: (56) Recv failure: Connection reset by peer

access.log이 후에는 아무것도 없지만 cache.log:

2014/01/20 20:46:15| clientNegotiateSSL: Error negotiating SSL connection on FD 10: error:1407609C:SSL routines:SSL23_GET_CLIENT_HELLO:http request (1/-1)

위의 내용을 더 자세하게 설명하면 다음과 같습니다.

$ curl -v --proxy https://my-proxy-server.example:3129 \
  --proxy-anyauth --proxy-user redacted:redacted -w '\n' \
  http://urlecho.appspot.com/echo?body=OK
* Adding handle: conn: 0x7f9a30804000
* Adding handle: send: 0
* Adding handle: recv: 0
* Curl_addHandleToPipeline: length: 1
* - Conn 0 (0x7f9a30804000) send_pipe: 1, recv_pipe: 0
* About to connect() to proxy my-proxy-server.example port 3129 (#0)
*   Trying proxy.server.IP.redacted...
* Connected to my-proxy-server.example (proxy.server.IP.redacted) port 3129 (#0)
> GET http://urlecho.appspot.com/echo?body=OK HTTP/1.1
> User-Agent: curl/7.30.0
> Host: urlecho.appspot.com
> Accept: */*
> Proxy-Connection: Keep-Alive
> 
* Recv failure: Connection reset by peer
* Closing connection 0

curl: (56) Recv failure: Connection reset by peer

SSL 오류 인 것 같습니다. 그러나 위의 구성에서 cert.pem와 같이 표시된 하위 도메인 와일드 카드 SSL 인증서 key.pem를 다른 웹 서버에 성공적으로 배포했습니다. 또한 curl을 사용하여 프록시 서버에 직접 액세스하거나 최소한 SSL 단계 이후에 연결을 설정하십시오.

$ curl https://my-proxy-server.example:3129
<!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.01//EN" "http://www.w3.org/TR/html4/strict.dtd">
<html><head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8">
<title>ERROR: The requested URL could not be retrieved</title>

[--SNIP--]

<div id="content">
<p>The following error was encountered while trying to retrieve the URL: <a href="https://serverfault.com/">/</a></p>

<blockquote id="error">
<p><b>Invalid URL</b></p>
</blockquote>

<p>Some aspect of the requested URL is incorrect.</p>

<p>Some possible problems are:</p>
<ul>
<li><p>Missing or incorrect access protocol (should be <q>http://</q> or similar)</p></li>
<li><p>Missing hostname</p></li>
<li><p>Illegal double-escape in the URL-Path</p></li>
<li><p>Illegal character in hostname; underscores are not allowed.</p></li>
</ul>

[--SNIP--]

내가 잘못하고있는 아이디어가 있습니까? 내가 시도하는 것이 가능합니까? 미리 감사드립니다.

— 데이비드
소스

2

나는 그것이 오징어가 작동하는 방식이라고 생각하지 않습니다. HTTPS 연결을 통해 프록시 된 HTTP 또는 HTTPS 요청을 만들 수 있어야합니다. 문서에서 달리 제안 할 내용이 없습니다. 어쨌든, 나는 당신이 어쨌든 제안한 것을 시도했지만 작동하지 않았습니다 (위와 동일한 결과).

— David

내 이전 의견은 삭제 된 것으로 보이는 다른 사용자의 의견에 대한 답변입니다. 방금이 질문을 Squid 메일 링리스트에 게시했습니다 : mail-archive.com/squid-users@squid-cache.org/msg93592.html

— David

비슷한 시나리오를 가진 사람으로서 프록시 접근 방식을 시도해 성공한 다음 응용 프로그램을 Heroku에서 정적 IP를 가진 가상 / 전용 시스템과 같은 공급자로 옮기는 것을 선호했습니다. 이 목적으로 만 정방향 프록시 서버를 유지 관리하는 데 추가 오버 헤드가 있습니다.

— Shyam Sundar CS

1

Squid ML 의 스레드 당 @David -Stunnel 솔루션을 사용하는 것이 좋습니다. 인증은 터널의 양쪽 끝에있는 SSL 인증서이며 나머지는 해당 터널 내에서 "일반 텍스트"로 이동하거나 원하는대로 다이제스트를 수행 할 수 있습니다.

NFS 엔드 포인트를 "인증"하기 위해 비슷한 솔루션을 사용하여 큰 성공을 거두었습니다.

LinuxGazette의 stunnel과 의 안전한 통신 에서 이러한 인증의 샘플 사용을 볼 수 있습니다.

— 드 루피 4096
소스

1

이 작은 Docker 이미지 yegor256 / squid-proxy 에서 어떻게 수행되는지 확인할 수 있습니다 . 코드의 문제점은 구성이 acl지시를 따른다는 것입니다. 그것들을 바꾸면 모든 것이 작동하기 시작합니다.

— yegor256
소스