Mise en place et configuration d’un Proxy avec Squid

I. Présentation

Ce serveur Proxy permet de filtrer le trafic réseau et de garder en cache les pages internet visitées par les utilisateurs dans le but de rendre la navigation internet plus rapide. Le serveur Proxy sera configuré de manière à autoriser seulement la navigation web (port 80), la navigation web sécurisée (port 443) et le transfert FTP (port 21) pour les postes clients étant uniquement dans le réseau 172.16.0.0/16.

II. Schéma

III. Pré-requis

- Un PC avec deux cartes réseaux
- Ubuntu server
- Un routeur
- Un switch
- Un ou des PC clients [Passerelle : 172.16.255.254 ; Proxy déclaré dans le navigateur]

Note : Utilisez Nano si vous n’avez pas Vim comme éditeur de texte.

IV. Configuration des deux interfaces réseaux du serveur

- Accéder au fichier :

vim /etc/network/interfaces

- Contenu à avoir dans le fichier :

# Interface de loopback
auto lo
iface lo inet loopback
# Interface du Proxy - Coté LAN – Eth0
allow-hotplug eth0
iface eth0 inet static
address 172.16.255.254
netmask 255.255.0.0
network 172.16.0.0
broadcast 172.16.255.255
dns-nameservers 8.8.8.8 # DNS Google

# Interface du Proxy - Coté Internet – Eth1
allow-hotplug eth1
iface eth1 inet static
address 192.168.1.254
netmask 255.255.255.0
gateway 192.168.1.1

V. Redémarrer le service réseau

/etc/init.d/networking restart

VI. Installation de Squid

apt-get install squid

VII. Sauvegarde du fichier de configuration de Squid

cd /etc/squid/squid.conf
mv squid.conf squid.conf.defaut

VIII. Créer fichier de configuration vide

vim squid.conf

IX. Configuration du serveur Proxy [/etc/squid/squid.conf ]

Ce fichier est donc vide puisque nous venons de le créer. Saisissez (ou copier) les lignes suivantes en les adaptant à votre réseau.

# Squid a besoin de savoir le nom de la machine, notre machine s’appelle srv-proxy, donc :
visible_hostname srv-proxy

# Par défaut le proxy écoute sur ses deux interfaces, pour des soucis de sécurité il faut donc le
# restreindre à écouter sur l’interface du réseau local (LAN)
http_port 172.16.255.254:3128

# Changer la taille du cache de squid, changer la valeur 100 par ce que vous voulez (valeur en Mo)
cache_dir ufs /var/spool/squid 100 16 256

#################################### ACL ####################################

acl all src all # ACL pour autoriser/refuser tous les réseaux (Source = All) – ACL obligatoire
acl lan src 172.16.0.0/16 # ACL pour autoriser/refuser le réseau 172.16.0.0
acl Safe_ports port 80 # Port HTTP = Port 'sure'
acl Safe_ports port 443 # Port HTTPS = Port 'sure'
acl Safe_ports port 21 # Port FTP = Port 'sure'
############################################################################

# Désactiver tous les protocoles sauf les ports sures
http_access deny !Safe_ports

# Désactiver l'accès pour tous les réseaux sauf les clients de l'ACL Lan
# deny = refuser ; ! = sauf ; lan = nom de l’ACL à laquelle on fait référence.
http_access deny !lan

# Port utilisé par le Proxy :
# Le port indiqué ici, devra être celui qui est précisé dans votre navigateur.
http_port 3128

X. Redémarrez le service Squid

service squid restart

XI. Les logs du serveur

En ce qui concerne les logs du serveur Proxy, ils sont enregistrés dans le fichier access.log se trouvant dans /var/log/squid/

XII. Compléter la configuration

Si vous souhaitez compléter la configuration ci-dessous, voici quelques exemples possibles :

A. Bloquer certains noms de domaine

# Déclarer un fichier qui contient les domaines à bloquer
acl deny_domain url_regex -i "/etc/squid/denydomain.txt"

# Refuser les domaines déclarés dans le fichier définit dans l'ACL deny_domain
http_access deny deny_domain

Il ne vous reste plus qu’à créer le fichier denydomain.txt et inscrire les noms de domaine que vous désirez bloquer. Ce fichier doit être rempli de la manière suivante (un par ligne) :

domaine1.fr
domaine2.com

B. Demander l’authentification des utilisateurs pour pouvoir accéder au Proxy

Pour mettre en place le système d’authentification, Squid utilise la méthode htpasswd disponible avec le paquet apache2-utils, il faut donc dans un premier temps installer ce paquet :

apt-get install apache2-utils

Ensuite, il faut créer un fichier où seront déclarés les utilisateurs et leur mot de passe :

vim /etc/squid/utilisateurs

Vous pouvez désormais déclarer des utilisateurs dans ce fichier grâce à la commande suivante :

htpasswd –b /etc/squid/utilisateurs nom_utilisateur mot_de_passe
# Exemple htpasswd –b /etc/squid/utilisateurs neoflow informatique

Le fichier utilisateurs s’est donc remplit sous la forme : nom_utilisateur:mot_de_passe

A noter que le mot de passe est crypté.

Avant d’indiquer à Squid qu’il doit utiliser ce système d’authentification, nous allons voir si celui fonctionne :

/usr/lib/squid/ncsa_auth /etc/squid/utilisateurs
# Sur la ligne tapez le nom de votre utilisateur puis votre mot de passe (séparé par un espace)
neoflow informatique

Si vous avez saisi les bonnes informations, le programme devrait vous retourner « OK », sinon « Err »

Il ne reste plus qu’à indiquer à Squid qu’il doit utiliser ce programme d’authentification, complétez le fichier squid.conf :

# On déclare le programme qui gère l'authentification :
auth_param basic program /usr/lib/squid/ncsa_auth /etc/squid/utilisateurs

# Grâce à cette ACL, le Proxy demandera une authentification
acl utilisateurs proxy_auth REQUIRED

# Refuser l'accès à tous les utilisateurs sauf ceux du fichier Utilisateurs
http_access deny !utilisateurs

Pensez à redémarrer le service Squid. Pour finir, il ne vous reste plus qu’à essayer de naviguer sur internet, une fenêtre d’authentification devrait s’ouvrir.

C. Bloquer certaines extensions

Il est possible de déclarer des ACL pour bloquer différents types d’extensions et ainsi alléger le cache et la rapidité de navigation ou tout simplement pour restreindre les utilisateurs. Pour se faire :

# Bloquer les fichiers AVI :
acl extension_avi url_regex –i \.avi$
http_access deny extension_avi

XIII. Informations sur « url_regex »

Lorsque l’on met cette option dans une ACL, cela permet de rechercher une chaîne de caractères contenu dans l'URL. A noter que l’url_regex est sensible à la casse (majuscules / minuscules).