Grundlæggende information om proxyservere?

Proxy servere kan bruges til en masse og I bør bestemt kikke på teknologien. Emnet er lidt rodet, fordi der findes forskellige former for implementeringer af teknologien, forskellige metoder protokoller osv. I kan f.eks. kikke på.

Netfilter med Squid og Jeanna.
Squid er grundlæggende en http proxy der bygger oven på linux netfilter og jeanna er et addon til squid der forøger funktionaliteten og sikkerheden. Squid kan give jeg en løsning som giver både hastighed og sikkerhed og sættes den op at folk der ved hvad de gør kan man faktisk lave rigtig hårde ting. Da squid er baseret på linux er softwaren gratis, men den kræver viden at sætte op. er den nødvendige viden tilsted er himlen grændsen og da det er open source ham man helt styr på hvad der sker.

Microsoft Internet Security and Acceleration server (ISA)
ISA er microsofts proxy og en videre udvikling af proxy server 2.0. Denne løsning er rimelig i pris, rimelig at sætte op, da alt er grafisk, til gengæld har den ikke megetrespekt i branchen (Du ved, Microft og sikkerhed). Der er meget få professionelle der ville anvende denne som perimeter firewall, men mange bruger den til intern opdeling og filtrering. Et todags kursus og I er kørende. Den er i høj grad closed source og derfor er det svært at vide hvad den egentlig gør. Det er min fornemmelse at den spilder rimeligt godt sammen med resten af MS produkter.

Symantecs Enterprise Firewall (tidligere Raptor) Denne firewall koster kassen, men nyder meget respekt i branchen. Har desværre aldrig prøvet at sætte den op.


Generelt for proxy firewalls skal man overveje om der er en god ide at placere dem forest. En proxy firewall kræver en del ressourcer og hvis I har megettrafik, kan den faktisk bringes i knæ.

I bør analysere jeres behov og implementere proxy funktionalitet der hvor det batter.

Jeg har selv segmenteret mit net således at det indterne net er delt mellem arbejdsstationer og servere, med serverne beskyttet bag en ISA. Foran hele setuppet er  placeret en netfilter (Foreløbig uden squid og jeanna, men planen er at implementere dette også så snart jeg har testet det

En "proxy" er i prinsipp en serverfunksjon som opptrer "på vegne av" slik som det framgår hos net-faq.dk  http://net-faq.dk/faq.pl?get=proxy

En vanlig måte å bruke en proxy på er som web cache for utgående trafikk i forbindelse med en delt internettforbindelse. På denne måten så får klientenes internettforbindelse en indirekte karakter ved at alle requester først rettes til proxy serveren, som så i sin tur retter en ny request ut mot internett. I denne sammenheng så skjer også en mellomlagring av "web content", slik at dersom det er flere klienter som spør om samme innhold, så henter proxy inn "content" kun en gang, mellomlagrer og sprer så ut til de klientene som spør. På denne måten så spares båndbredde.

Slike proxyfunksjoner kan også brukes i helt andre sammenhenger, for eksempel "in front" i forhold til en web server. Dersom en server med en PHP applikasjon mottar for eksempel 1000 requester så skal den jo i prinsippet generere php scriptet 1000 ganger. Ved å bruke en front cache så genererer den i prinsipp bare et resultat, resultatet legges i front cachen og det som spres ut til internett er i prinsipp 999 kopier av en orginal.

Når det gjelder web cachene som man kan ha tilgang til for en overkommelig pris så dreier det seg jo slik som det allerede er nevnt om Linux/Unix og Squid som kan være gratis, og Microsoft ISA server som koster i hvert fall litt.

Squid er ikke på noen måte avhengig av å kjøre på Linux og den er i ennå mindre grad avhengig av å kjøre sammen med Linux netfilter. Det forholder seg slik at Squid proxy er betydelig eldre enn Linux netfilter og at den kan kjøre på en hel del andre plattformer enn Linux. (RedHat Linux ble for eksempel levert med Squid lenge før Netfilter fantes.)

Ellers en link til Squid faq: http://www.squid-cache.org/Doc/FAQ/FAQ-1.html#ss1.2

Det er ganske vanlig på moderne Linuxdistribusjoner i dag, av praktiske årsaker at man har en mulighet for å kombinere Netfilter (dvs standard Linux packer filtering funksjon) med Squid proxy server.

Man kan sette opp tingene "manuelt" eller man kan for eksempel laste ned gratis Linux distribusjoner der disse tingene kan konfigureres ganske enkelt via et grafisk grensenitt.

Et eksempel på en slik "firewall linux" med Squid proxy og enkel grafisk konfigurering er Smoothwall: http://www.smoothwall.org/

Et annet eksempel på en gateway Linuxdistribusjon med Netfilter og Squid proxy er SME server fra contribs.org http://contribs.org/modules/news/

Begge har enkle grafiske web baserte grensenitt for konfigurering. Smoothwall er en dedikert firewall med proxy, mens SME serveren har disse funksjonene i tillegg til en hel del andre serverfunksjoner, slik som web server, mail server osv. Begge disse to er såpas enkle at man kan sette dem opp og konfigurere dem i løpet av en time eller to. (I hvert fall for et laboppsett og for uttesting.)

Tar et lite forbehold om at gratisversjonen av Smoothwall fortsatt har proxy. Den hadde da det sist jeg testet den men tiden går.. Bruker SME 6.0.1 server til daglig så den vet jeg i hvert fall har Netfilter og proxy.

En web proxy behøver ikke å befinne seg på eget lokalnettverk. Man kan godt kople seg opp mot en proxy server, Squid eller annet, som står på den annen side av jorkloden. Alle web requester kan så gå indirekte via denne, om man skulle ønske det. Dersom du besøker naboens web server, så vil web serverens logg og statistikkfunksjon kunne si at requesten kom i fra Kina. (Fordi din request skjedde indirekte via en proxy i Kina.)

For å ha noen særlig positiv effekt av å kjøre en web proxy på et Lan, så skal man ha en forholdsvis kratig PC. Bare å kjøre firewall vha Netfilter krever svært lite. Aktiviserer man også Squid, så krever dette betydelig mer hardware kapasitet.

Noen av opplysningene her er jo "tøyd litt" med hensikt. Skulle det være noen som ser noen åpenbare feil så skulle jeg sette pris på en kommentar. (For verden forandrer seg jo til stadighet, sælig innenfor informasjonsteknologien).

Jo .. forsøker meg også med et svar ..