SSLBump मोड में स्क्वीड 3 डायनेमिक सर्टिफिकेशन जनरेशन के साथ है

नमस्ते।

एन्क्रिप्ट किया गया वेब ट्रैफ़िक एक अच्छी बात है, लेकिन कभी-कभी यह पूरी तरह से स्पष्ट नहीं होता है कि उपयोगकर्ता अंदर क्या कर रहा है। स्क्वीड के माध्यम से किसी भी https संसाधन का उपयोग करते समय, इस तरह की पर्याप्त लाइनें लॉग में लिखी जाती हैं:

1330231066.104 10 172.26.27.8 TCP_MISS / 200 390 कनेक्ट मेल.google.com-00-0043 - HIER_DIRECT / 173.194.32.54 -
1330241192.883 9 172.26.27.97 TCP_MISS / 200 390 कनेक्ट mc.yandex.ru:443 - HIER_DIRECT / 213.180.193.119 -

यह देखा जा सकता है कि निश्चित समय पर, उपयोगकर्ता जीमेल और यैंडेक्स पर चले गए। सिद्धांत रूप में, यह सब हम लॉग से देखते हैं। लेकिन यह स्पष्ट नहीं है कि GET या POST अनुरोध को निष्पादित किया गया था, पूर्ण URL और फ़ाइल आकार दिखाई नहीं दे रहे हैं। एंटीवायरस प्रोग्राम या किस तरह के कंटेंट इंस्पेक्शन प्रोग्राम के साथ ssl ट्रैफिक चेक करने का कोई तरीका नहीं है।

इस लेख में मैं ssl कनेक्शन को "ब्रेक" करने की स्क्वीड की क्षमता का वर्णन करना चाहता हूं और कम से कम कुछ अवलोकन करना है जो https ट्रैफ़िक में हो रहा है।



चूंकि CentOS ने "बढ़ी हुई" ओपनसेल को बनाया है, हमें जिन कुंजियों की आवश्यकता है, उनके साथ एक स्क्विड का निर्माण करना काम नहीं करता है।
इस समस्या को हल करने के लिए दो विकल्प हैं।
सबसे पहले स्थापित ओपनसेल की समावेशी फाइलों में चढ़ना है, फिर स्क्वीड के स्रोतों और कुछ लाइनों को बदलना है। और दूसरा कस्टम ओपनसेल के साथ एक स्क्विड का निर्माण करना है।

पहला विकल्प बहुत कट्टर है और इसे एक तरफ छोड़ दें।

1. खुलता है

इसलिए, शुरुआत के लिए, हमें अपनी खुद की ओपनसेल बनाने की जरूरत है। यह सब बहुत आसान है और कोई जादू नहीं है:

wget www.openssl.org/source/openssl-1.0.0k.tar.gz
tar -zxf openssl-1.0.0k.tar.gz
cd openssl-1.0.0k

पहले से स्थापित संस्करण के साथ संघर्ष से बचने के लिए, हम एक नया रास्ता दिखाते हैं:

./config shared --prefix=/opt/squid/openssl --openssldir=/opt/squid/openssl
make
make install
यही है, ओपनसेल इकट्ठा है और उपयोग के लिए तैयार है।

2. विद्रूप

प्रॉक्सी सर्वर का निर्माण किसी भी प्रोग्राम के निर्माण के समान है (कॉन्फ़िगर करें और & amp; & संस्थापित करें), संकलन के दौरान कुछ कुंजी का एकमात्र संकेत यह है:

wget www.squid-cache.org/Versions/v3/3.2/squid-3.2.7.tar.gz
tar -zxf squid-3.2.7.tar.gz
cd squid-3.2.7
./configure --prefix=/opt/squid --enable-ssl --enable-ssl-crtd --with-openssl=/opt/squid/openssl

-enable-ssl - ssl मोड समर्थन को सक्षम करता है
-enable-ssl-crtd - एक अलग प्रक्रिया है, न कि प्रॉक्सी सर्वर, प्रमाण पत्र उत्पन्न करता है।
- साथ-खुलता है - वह रास्ता जहां कस्टम ओपनसेल स्थापित किया गया था

make all
make install
तो, स्क्वीड प्रॉक्सी सर्वर असेंबल किया जाता है।

3. एक स्व-हस्ताक्षरित प्रमाण पत्र बनाएं

प्रमाण पत्र का उपयोग प्रॉक्सी सर्वर द्वारा वेब साइटों के लिए गतिशील प्रमाण पत्र बनाने के लिए किया जाएगा।

cd /opt/squid/etc/
openssl req -new -newkey rsa:1024 -days 365 -nodes -x509 -keyout squidCA.pem -out squidCA.pem

चूँकि स्क्विड.कैप फ़ाइल में एक निजी कुंजी होती है, हम इसे केवल मूल उपयोगकर्ता के लिए पठनीय बनाते हैं:
chmod 400 squidCA.pem

4. अनुकूलित स्क्वीड है

निम्न पंक्तियों को स्क्वीड.कॉन्फ़ फ़ाइल में जोड़ें

 http_port 3128 ssl-bump generate-host-certificates=on dynamic_cert_mem_cache_size=4MB cert=/opt/squid/etc/squidCA.pem always_direct allow all ssl_bump allow all sslproxy_cert_error allow all sslproxy_flags DONT_VERIFY_PEER 

यह सेटिंग उत्पादन प्रणाली में उपयोग करने के लिए अवांछनीय है, क्योंकि किसी भी प्रमाण पत्र के साथ सभी https साइटों तक पहुंच की अनुमति है।

प्रमाणपत्र कैशिंग तैयार करना:
mkdir /opt/squid/var/lib
/opt/squid/libexec/ssl_crtd -c -s /opt/squid/var/lib/ssl_db
chown -R nobody /opt/squid/var/lib/ssl_db
यदि आपके पास cache_effective_user सेटिंग में एक अलग UID है, तो किसी के बजाय इसका उपयोग करें।

यह ध्यान देने योग्य है कि यदि किसी कारण से आपने स्क्वीड के लिए अपना प्रमाणपत्र बदल दिया है, तो आपको / ऑप्ट / स्क्वीड / var / lib / ssl_db निर्देशिका को पूरी तरह से साफ़ करना होगा और प्रमाणपत्र डेटाबेस को पुन: स्थापित करना होगा।

हम आवश्यक अधिकार निर्धारित करते हैं, आरंभ करते हैं और प्रॉक्सी सर्वर शुरू करते हैं:
chown -R nobody /opt/squid/var/logs
/opt/squid/sbin/squid -z
/opt/squid/sbin/squid
हम त्रुटियों के लिए फ़ाइल /opt/squid/var/logs/cache.log की जांच करते हैं, अगर कोई त्रुटि नहीं है और एक पंक्ति है " Accepting SSL bumped HTTP Socket connections at local=[::]:3128 remote=[::] FD 21 flags=9 ", तब SSLBump मोड में प्रॉक्सी सर्वर शुरू हो जाता है।

5. उपयोगकर्ता की समस्याएं

चूंकि इस मामले में हम एक स्व-हस्ताक्षरित प्रमाण पत्र का उपयोग करते हैं, इसलिए प्रॉक्सी के माध्यम से https साइटों पर किसी भी यात्रा से उपयोगकर्ताओं को प्रमाणपत्र त्रुटि दिखाई देगी। त्रुटि का कारण यह है कि हमारे प्रमाण पत्र का जारीकर्ता ब्राउज़र में विश्वसनीय सीए सूची में नहीं है।
इसमें कोई त्रुटि नहीं होगी, हम निम्नलिखित कार्रवाई करते हैं।

openssl x509 -in squidCA.pem -outform DER -out squid.der

अब परिणामस्वरूप स्क्वीडर फ़ाइल को क्लाइंट ब्राउज़र में आयात किया जाना चाहिए।
इंटरनेट एक्सप्लोरर के लिए:
उपकरण-> इंटरनेट विकल्प-> सामग्री-> प्रमाण पत्र
टैब चुनें "विश्वसनीय रूट प्रमाणपत्र प्राधिकारी"
आयात पर क्लिक करें, स्क्वीड.डर फ़ाइल चुनें और आयात पूरा करें।

फ़ायरफ़ॉक्स के लिए:
उपकरण-> विकल्प-> उन्नत-> एन्क्रिप्शन-> प्रमाण पत्र देखें
टैब चुनें "प्राधिकरण"
आयात पर क्लिक करें, स्क्वीड.डर फ़ाइल चुनें और आयात पूरा करें।

खैर, बस इतना ही। अपनी कल्पनाओं के आधार पर, अब आपके पास POST अनुरोधों को प्रतिबंधित करने, बड़ी फ़ाइलों को डाउनलोड करने, कुछ फ़ाइलों / फ़ोल्डरों तक पहुंच को प्रतिबंधित करने के लिए https ट्रैफ़िक में अवसर है। आप उन साइटों तक पहुंच को प्रतिबंधित कर सकते हैं जिनके प्रमाण पत्र अविश्वसनीय सीए द्वारा जारी किए गए हैं। खैर, वायरस की जांच करने की क्षमता।

आपका ध्यान देने के लिए धन्यवाद