7.2. Configuración de Squid como proxy de caché con autenticación LDAP

Procedimiento

1. Instale el paquete squid:

   # yum install squid

   Copy to Clipboard Toggle word wrap

2. Edite el archivo /etc/squid/squid.conf:

   1. Para configurar la utilidad de ayuda basic_ldap_auth, añada la siguiente entrada de configuración en la parte superior de /etc/squid/squid.conf:

      auth_param programa básico /usr/lib64/squid/basic_ldap_auth -b "cn=users,cn=accounts,dc=example,dc=com" -D "uid=proxy_user,cn=users,cn=accounts,dc=example,dc=com" -W /etc/squid/ldap_password -f "(&(objectClass=person)(uid=%s))" -ZZ -H ldap://ldap_server.example.com:389

      Copy to Clipboard Toggle word wrap

      A continuación se describen los parámetros pasados a la utilidad de ayuda basic_ldap_auth en el ejemplo anterior:

      • -B base_DN establece la base de búsqueda LDAP.
      • -D proxy_service_user_DN establece el nombre distinguido (DN) de la cuenta que Squid utiliza para buscar al usuario autentificado en el directorio.
      • -W path_to_password_file establece la ruta del archivo que contiene la contraseña del usuario del servicio proxy. El uso de un archivo de contraseña evita que la contraseña sea visible en la lista de procesos del sistema operativo.

      • -f LDAP_filter especifica el filtro de búsqueda LDAP. Squid sustituye la variable %s por el nombre de usuario proporcionado por el usuario autentificador.

        El filtro (&(objectClass=person)(uid=%s)) del ejemplo define que el nombre de usuario debe coincidir con el valor establecido en el atributo uid y que la entrada del directorio contiene la clase de objeto person.

      • -ZZ impone una conexión cifrada por TLS sobre el protocolo LDAP mediante el comando STARTTLS. Omita el -ZZ en las siguientes situaciones:

        • El servidor LDAP no admite conexiones cifradas.
        • El puerto especificado en la URL utiliza el protocolo LDAPS.
      • El parámetro -H LDAP_URL especifica el protocolo, el nombre del host o la dirección IP y el puerto del servidor LDAP en formato URL.

   2. Añade la siguiente ACL y regla para configurar que Squid sólo permita a los usuarios autentificados utilizar el proxy:

      acl ldap-auth proxy_auth REQUIRED
      http_access allow ldap-auth

      Copy to Clipboard Toggle word wrap
      Importante

      Especifique estos ajustes antes de la regla http_access deny all.

   3. Elimine la siguiente regla para desactivar la omisión de la autenticación del proxy desde los rangos de IP especificados en las ACL de localnet:

      http_access allow localnet

      Copy to Clipboard Toggle word wrap

   4. La siguiente ACL existe en la configuración por defecto y define 443 como un puerto que utiliza el protocolo HTTPS:

      acl puertos_SSL puerto 443

      Copy to Clipboard Toggle word wrap

      Si los usuarios deben poder utilizar el protocolo HTTPS también en otros puertos, añada una ACL para cada uno de estos puertos:

      acl puerto_SSL número_de_puerto

      Copy to Clipboard Toggle word wrap

   5. Actualice la lista de reglas de acl Safe_ports para configurar a qué puertos puede establecer una conexión Squid. Por ejemplo, para configurar que los clientes que utilicen el proxy sólo puedan acceder a los recursos del puerto 21 (FTP), 80 (HTTP) y 443 (HTTPS), mantenga sólo las siguientes declaraciones de acl Safe_ports en la configuración:

      acl Safe_ports port 21
      acl Safe_ports port 80
      acl Safe_ports port 443

      Copy to Clipboard Toggle word wrap

      Por defecto, la configuración contiene la regla http_access deny !Safe_ports que define la denegación de acceso a los puertos que no están definidos en Safe_ports ACLs.

   6. Configure el tipo de caché, la ruta del directorio de la caché, el tamaño de la caché y otros ajustes específicos del tipo de caché en el parámetro cache_dir:

      cache_dir ufs /var/spool/squid 10000 16 256

      Copy to Clipboard Toggle word wrap

      Con estos ajustes:

      • Squid utiliza el tipo de caché ufs.
      • Squid almacena su caché en el directorio /var/spool/squid/.
      • El caché crece hasta 10000 MB.
      • Squid crea 16 subdirectorios de nivel 1 en el directorio /var/spool/squid/.

      • Squid crea subdirectorios 256 en cada directorio de nivel 1.

        Si no se establece una directiva cache_dir, Squid almacena la caché en la memoria.

3. Si establece un directorio de caché diferente a /var/spool/squid/ en el parámetro cache_dir:

   1. Crear el directorio de la caché:

      # mkdir -p path_to_cache_directory

      Copy to Clipboard Toggle word wrap

   2. Configure los permisos para el directorio de la caché:

      # chown squid:squid path_to_cache_directory

      Copy to Clipboard Toggle word wrap

   3. Si ejecuta SELinux en modo enforcing, establezca el contexto squid_cache_t para el directorio de la caché:

      # semanage fcontext -a -t squid_cache_t "path_to_cache_directory(/.*)?"
      # restorecon -Rv path_to_cache_directory

      Copy to Clipboard Toggle word wrap

      Si la utilidad semanage no está disponible en su sistema, instale el paquete policycoreutils-python-utils.

4. Guarde la contraseña del usuario del servicio LDAP en el archivo /etc/squid/ldap_password, y establezca los permisos adecuados para el archivo:

   # echo "password" > /etc/squid/ldap_password
   # chown root:squid /etc/squid/ldap_password
   # chmod 640 /etc/squid/ldap_password

   Copy to Clipboard Toggle word wrap

5. Abra el puerto 3128 en el cortafuegos:

   # firewall-cmd --permanent --add-port=3128/tcp
   # firewall-cmd --reload

   Copy to Clipboard Toggle word wrap

6. Habilite e inicie el servicio squid:

   # systemctl enable --now squid

   Copy to Clipboard Toggle word wrap

1. Inicie manualmente la utilidad de ayuda con la misma configuración que utilizó en el parámetro auth_param:

   # /usr/lib64/squid/basic_ldap_auth -b "cn=users,cn=accounts,dc=example,dc=com" -D "uid=proxy_user,cn=users,cn=accounts,dc=example,dc=com" -W /etc/squid/ldap_password -f "(&(objectClass=person)(uid=%s))" -ZZ -H ldap://ldap_server.example.com:389

   Copy to Clipboard Toggle word wrap

2. Introduzca un nombre de usuario y una contraseña válidos, y pulse Intro:

   user_name password

   Copy to Clipboard Toggle word wrap

   Si la utilidad de ayuda devuelve OK, la autenticación tuvo éxito.