Web サーバーとリバースプロキシーのデプロイ

手順

1. httpd パッケージをインストールします。

   # dnf install httpd

   Copy to Clipboard Toggle word wrap

2. firewalld を使用する場合は、ローカルのファイアウォールで TCP ポート 80 を開きます。

   # firewall-cmd --permanent --add-port=80/tcp
   # firewall-cmd --reload

   Copy to Clipboard Toggle word wrap

3. httpd サービスを有効にして起動します。

   # systemctl enable --now httpd

   Copy to Clipboard Toggle word wrap

4. 必要に応じて、HTML ファイルを /var/www/html/ ディレクトリーに追加します。

   注記

   /var/www/html/ にコンテンツを追加する場合には、httpd を実行するユーザーが、デフォルトでファイルとディレクトリーを読み取れるようにする必要があります。コンテンツの所有者は、root ユーザーおよび root ユーザーグループ、または管理者が選択した別のユーザーまたはグループのどちらかです。コンテンツの所有者が root ユーザーおよび root ユーザーグループの場合には、他のユーザーがファイルを読み取れるようにする必要があります。すべてのファイルとディレクトリーの SELinux コンテキストは httpd_sys_content_t である必要があります。これはデフォルトで /var/www ディレクトリー内の全コンテンツに適用されます。

手順

1. httpd パッケージをインストールします。

   # dnf install httpd

   Copy to Clipboard Toggle word wrap

2. /etc/httpd/conf/httpd.conf ファイルを編集します。

   1. example.com ドメイン向けに以下の仮想ホスト設定を追加します。

      <VirtualHost *:80>
          DocumentRoot "/var/www/example.com/"
          ServerName example.com
          CustomLog /var/log/httpd/example.com_access.log combined
          ErrorLog /var/log/httpd/example.com_error.log
      </VirtualHost>

      Copy to Clipboard Toggle word wrap

      これらの設定は以下を設定します。

      • <VirtualHost *:80> ディレクティブの全設定は、この仮想ホストに固有のものです。
      • DocumentRoot は、仮想ホストの Web コンテンツへのパスを設定します。

      • ServerName は、この仮想ホストがコンテンツを提供するドメインを設定します。

        複数のドメインを設定するには、ServerAlias パラメーターを設定に追加し、追加のドメインをスペース区切りで、このパラメーターに指定します。

      • CustomLog は、仮想ホストのアクセスログへのパスを設定します。

      • ErrorLog は、仮想ホストのエラーログへのパスを設定します。

        注記

        Apache は、ServerName および ServerAlias パラメーターに設定したドメインどれにも一致しない要求の場合でも、設定で最初に検出された仮想マシンを使用します。これには、サーバーの IP アドレス対してに送信される要求も含まれます。

3. example.net ドメイン向けに同様の仮想ホスト設定を追加します。

   <VirtualHost *:80>
       DocumentRoot "/var/www/example.net/"
       ServerName example.net
       CustomLog /var/log/httpd/example.net_access.log combined
       ErrorLog /var/log/httpd/example.net_error.log
   </VirtualHost>

   Copy to Clipboard Toggle word wrap

4. 両方の仮想ホストのドキュメントルートを作成します。

   # mkdir /var/www/example.com/
   # mkdir /var/www/example.net/

   Copy to Clipboard Toggle word wrap

5. DocumentRoot パラメーターのパスが /var/www/ 内にない設定を行う場合は、両方のドキュメントルートに httpd_sys_content_t コンテキストを設定します。

   # semanage fcontext -a -t httpd_sys_content_t "/srv/example.com(/.*)?"
   # restorecon -Rv /srv/example.com/
   # semanage fcontext -a -t httpd_sys_content_t "/srv/example.net(/.\*)?"
   # restorecon -Rv /srv/example.net/

   Copy to Clipboard Toggle word wrap

   以下のコマンドは、/srv/example.com/ および /srv/example.net/ ディレクトリーに httpd_sys_content_t コンテキストを設定します。

   policycoreutils-python-utils パッケージをインストールして restorecon コマンドを実行する必要があります。

6. firewalld を使用する場合は、ローカルのファイアウォールでポート 80 を開きます。

   # firewall-cmd --permanent --add-port=80/tcp
   # firewall-cmd --reload

   Copy to Clipboard Toggle word wrap

7. httpd サービスを有効にして起動します。

   # systemctl enable --now httpd

   Copy to Clipboard Toggle word wrap

検証

1. 仮想ホストのドキュメントルートごとに異なるサンプルファイルを作成します。

   # echo "vHost example.com" > /var/www/example.com/index.html
   # echo "vHost example.net" > /var/www/example.net/index.html

   Copy to Clipboard Toggle word wrap
2. ブラウザーを使用して http://example.com に接続します。Web サーバーは、example.com 仮想ホストからのサンプルファイルを表示します。
3. ブラウザーを使用して http://example.net に接続します。Web サーバーは、example.net 仮想ホストからのサンプルファイルを表示します。

手順

1. /etc/httpd/conf/httpd.conf ファイルを編集し、以下の設定をクライアント認証を設定する <VirtualHost> ディレクティブに追加します。

   <Directory "/var/www/html/Example/">
     SSLVerifyClient require
   </Directory>

   Copy to Clipboard Toggle word wrap

   SSLVerifyClient require の設定では、/var/www/html/Example/ ディレクトリーのコンテンツにクライアントがアクセスする前に、サーバーがクライアント証明書を正常に検証する必要があることを定義します。

2. httpd サービスを再起動します。

   # systemctl restart httpd

   Copy to Clipboard Toggle word wrap

検証

1. curl ユーティリティーを使用して、クライアント認証なしで https://example.com/Example/ URL にアクセスします。

   $ curl https://example.com/Example/
   curl: (56) OpenSSL SSL_read: error:1409445C:SSL routines:ssl3_read_bytes:tlsv13 alert certificate required, errno 0

   Copy to Clipboard Toggle word wrap

   このエラーは、Web サーバーにクライアント証明書認証が必要であることを示しています。

2. クライアントの秘密鍵と証明書、および CA 証明書を curl に指定して、クライアント認証で同じ URL にアクセスします。

   $ curl --cacert ca.crt --key client.key --cert client.crt https://example.com/Example/

   Copy to Clipboard Toggle word wrap

   要求に成功すると、curl は /var/www/html/Example/ ディレクトリーに保存されている index.html ファイルを表示します。

手順

1. httpd-manual パッケージをインストールします。

   # dnf install httpd-manual

   Copy to Clipboard Toggle word wrap

2. 必要に応じて、デフォルトでは、Apache HTTP Server に接続するすべてのクライアントはマニュアルを表示できます。192.0.2.0/24 サブネットなど、特定の IP 範囲へのアクセスを制限するには、/etc/httpd/conf.d/manual.conf ファイルを編集し、Require ip 192.0.2.0/24 設定を <Directory "/usr/share/httpd/manual"> ディレクティブに追加します。

   <Directory "/usr/share/httpd/manual">
   ...
       Require ip 192.0.2.0/24
   ...
   </Directory>

   Copy to Clipboard Toggle word wrap

3. httpd サービスを再起動します。

   # systemctl restart httpd

   Copy to Clipboard Toggle word wrap

検証

1. Apache HTTP Server のマニュアルを表示するには、Web ブラウザーで http://host_name_or_IP_address/manual/ に接続します。

手順

1. nginx パッケージをインストールします。

   • このアプリケーションストリームの初期バージョンとして NGINX 1.20 を RPM パッケージからインストールするには、以下を実行します。

     # dnf install nginx

     Copy to Clipboard Toggle word wrap
     注記

     以前に NGINX モジュールストリームを有効にしたことがある場合、このコマンドは有効なストリームから NGINX バージョンをインストールします。

   • モジュールストリームから NGINX の代替の新しいバージョンをインストールするには、以下を実行します。

     1. 利用可能な NGINX モジュールストリームを表示します。

        # dnf module list nginx
        ...
        rhel-AppStream
        Name        Stream        Profiles        Summary
        nginx       1.22          common [d]      nginx webserver
        ...
        Hint: [d]efault, [e]nabled, [x]disabled, [i]nstalled

        Copy to Clipboard Toggle word wrap

     2. 選択したストリームを有効にします。

        # dnf module enable nginx:stream_version

        Copy to Clipboard Toggle word wrap

     3. nginx パッケージをインストールします。

        # dnf install nginx

        Copy to Clipboard Toggle word wrap

2. NGINX がファイアウォールでサービスを提供するポートを開きます。たとえば、firewalld で HTTP (ポート 80) および HTTPS (ポート 443) のデフォルトポートを開くには、次のコマンドを実行します。

   # firewall-cmd --permanent --add-port={80/tcp,443/tcp}
   # firewall-cmd --reload

   Copy to Clipboard Toggle word wrap

3. nginx サービスがシステムの起動時に自動的に起動するようにします。

   # systemctl enable nginx

   Copy to Clipboard Toggle word wrap

4. オプション: nginx サービスを起動します。

   # systemctl start nginx

   Copy to Clipboard Toggle word wrap

   デフォルト設定を使用しない場合は、この手順を省略し、サービスを起動する前に NGINX を適切に設定します。

検証

1. dnf ユーティリティーを使用して、nginx パッケージがインストールされていることを確認します。

   • NGINX 1.20 RPM パッケージの場合:

     # dnf list installed nginx
     Installed Packages
     nginx.x86_64    1:1.20.1-4.el9       @rhel-AppStream

     Copy to Clipboard Toggle word wrap

   • 選択した NGINX モジュールストリームの場合:

     # dnf list installed nginx
     Installed Packages
     nginx.x86_64    1:1.22.1-3.module+el9.2.0+17617+2f289c6c    @rhel-AppStream

     Copy to Clipboard Toggle word wrap

2. NGINX がサービスを提供するポートが firewalld で開いていることを確認します。

   # firewall-cmd --list-ports
   80/tcp 443/tcp

   Copy to Clipboard Toggle word wrap

3. nginx サービスが有効になっていることを確認します。

   # systemctl is-enabled nginx
   enabled

   Copy to Clipboard Toggle word wrap

手順

1. /etc/nginx/nginx.conf ファイルを編集します。

   1. デフォルトでは、/etc/nginx/nginx.conf ファイルには catch-all 設定がすでに含まれています。設定からこの部分を削除した場合は、以下の server ブロックを /etc/nginx/nginx.conf ファイルの http ブロックに追加し直します。

      server {
          listen       80 default_server;
          listen       [::]:80 default_server;
          server_name  _;
          root         /usr/share/nginx/html;
      }

      Copy to Clipboard Toggle word wrap

      これらの設定は以下を設定します。

      • listen ディレクティブは、サービスがリッスンする IP アドレスとポートを定義します。この場合、NGINX は IPv4 と IPv6 の両方のアドレスのポート 80 でリッスンします。default_server パラメーターは、NGINX がこの server ブロックを IP アドレスとポートに一致するリクエストのデフォルトとして使用していることを示します。
      • server_name パラメーターは、この server ブロックに対応するホスト名を定義します。server_name を _ に設定すると、この server ブロックのホスト名を受け入れるように NGINX を設定します。
      • root ディレクティブは、この server ブロックの Web コンテンツへのパスを設定します。

   2. example.com ドメインの同様の server ブロックを http ブロックに追加します。

      server {
          server_name  example.com;
          root         /var/www/example.com/;
          access_log   /var/log/nginx/example.com/access.log;
          error_log    /var/log/nginx/example.com/error.log;
      }

      Copy to Clipboard Toggle word wrap
      • access_log ディレクティブは、このドメインに別のアクセスログファイルを定義します。
      • error_log ディレクティブは、このドメインに別のエラーログファイルを定義します。

   3. example.net ドメインの同様の server ブロックを http ブロックに追加します。

      server {
          server_name  example.net;
          root         /var/www/example.net/;
          access_log   /var/log/nginx/example.net/access.log;
          error_log    /var/log/nginx/example.net/error.log;
      }

      Copy to Clipboard Toggle word wrap

2. 両方のドメインのルートディレクトリーを作成します。

   # mkdir -p /var/www/example.com/
   # mkdir -p /var/www/example.net/

   Copy to Clipboard Toggle word wrap

3. 両方のルートディレクトリーに httpd_sys_content_t コンテキストを設定します。

   # semanage fcontext -a -t httpd_sys_content_t "/var/www/example.com(/.*)?"
   # restorecon -Rv /var/www/example.com/
   # semanage fcontext -a -t httpd_sys_content_t "/var/www/example.net(/.\*)?"
   # restorecon -Rv /var/www/example.net/

   Copy to Clipboard Toggle word wrap

   これらのコマンドは、/var/www/example.com/ ディレクトリーおよび /var/www/example.net/ ディレクトリーに httpd_sys_content_t コンテキストを設定します。

   policycoreutils-python-utils パッケージをインストールして restorecon コマンドを実行する必要があります。

4. 両方のドメインのログディレクトリーを作成します。

   # mkdir /var/log/nginx/example.com/
   # mkdir /var/log/nginx/example.net/

   Copy to Clipboard Toggle word wrap

5. nginx サービスを再起動します。

   # systemctl restart nginx

   Copy to Clipboard Toggle word wrap

検証

1. 仮想ホストのドキュメントルートごとに異なるサンプルファイルを作成します。

   # echo "Content for example.com" > /var/www/example.com/index.html
   # echo "Content for example.net" > /var/www/example.net/index.html
   # echo "Catch All content" > /usr/share/nginx/html/index.html

   Copy to Clipboard Toggle word wrap
2. ブラウザーを使用して http://example.com に接続します。Web サーバーは、/var/www/example.com/index.html ファイルからのサンプルコンテンツを表示します。
3. ブラウザーを使用して http://example.net に接続します。Web サーバーは、/var/www/example.net/index.html ファイルからのサンプルコンテンツを表示します。
4. ブラウザーを使用して http://IP_address_of_the_server に接続します。Web サーバーは、/usr/share/nginx/html/index.html ファイルからのサンプルコンテンツを表示します。

手順

1. /etc/nginx/nginx.conf ファイルを編集し、設定の http ブロックに以下の server ブロックを追加します。

   server {
       listen              443 ssl;
       server_name         example.com;
       root                /usr/share/nginx/html;
       ssl_certificate     /etc/pki/tls/certs/example.com.crt;
       ssl_certificate_key /etc/pki/tls/private/example.com.key;
   }

   Copy to Clipboard Toggle word wrap

2. オプション: RHEL 9.3 以降では、ssl_pass_phrase_dialog ディレクティブを使用して、暗号化された秘密鍵ごとに nginx の起動時に呼び出される外部プログラムを設定できます。次の行のいずれかを /etc/nginx/nginx.conf ファイルに追加します。

   • 暗号化された秘密キーファイルごとに外部プログラムを呼び出すには、次のように入力します。

     ssl_pass_phrase_dialog exec:<path_to_program>;

     Copy to Clipboard Toggle word wrap

     NGINX は、次の 2 つの引数を使用してこのプログラムを呼び出します。

     • server_name 設定で指定されたサーバー名。
     • 次のアルゴリズムのいずれか: RSA、DSA、EC、DH、または UNK (暗号アルゴリズムが認識できない場合)。

   • 暗号化された秘密キーファイルごとにパスフレーズを手動で入力する場合は、次のように入力します。

     ssl_pass_phrase_dialog builtin;

     Copy to Clipboard Toggle word wrap

     これは、ssl_pass_phrase_dialog が設定されていない場合のデフォルトの動作です。

     注記

     この方法を使用しても、少なくとも 1 つの秘密キーがパスフレーズで保護されている場合、nginx サービスは起動に失敗します。この場合は、他のいずれかの方法を使用してください。

   • systemctl ユーティリティーを使用して nginx サービスを開始するときに、systemd で暗号化された秘密キーごとにパスフレーズの入力を求めるプロンプトを表示するには、次のように入力します。

     ssl_pass_phrase_dialog exec:/usr/libexec/nginx-ssl-pass-dialog;

     Copy to Clipboard Toggle word wrap

3. セキュリティー上の理由から、root ユーザーのみが秘密鍵ファイルにアクセスできるように設定します。

   # chown root:root /etc/pki/tls/private/example.com.key
   # chmod 600 /etc/pki/tls/private/example.com.key

   Copy to Clipboard Toggle word wrap
   警告

   秘密鍵に権限のないユーザーがアクセスした場合は、証明書を取り消し、新しい秘密鍵を作成し、新しい証明書を要求します。そうでない場合は、TLS 接続が安全ではなくなります。

4. nginx サービスを再起動します。

   # systemctl restart nginx

   Copy to Clipboard Toggle word wrap

手順

1. /etc/nginx/nginx.conf ファイルを編集し、リバースプロキシーを提供する server ブロックに以下の設定を追加します。

   location /example {
       proxy_pass https://example.com;
   }

   Copy to Clipboard Toggle word wrap

   location ブロックでは、NGINX が /example ディレクトリー内の全要求を https://example.com に渡すことを定義します。

2. SELinux ブール値パラメーター httpd_can_network_connect を 1 に設定して、SELinux が NGINX がトラフィックを転送できるように設定します。

   # setsebool -P httpd_can_network_connect 1

   Copy to Clipboard Toggle word wrap

3. nginx サービスを再起動します。

   # systemctl restart nginx

   Copy to Clipboard Toggle word wrap

手順

1. /etc/nginx/nginx.conf ファイルを編集し、以下の設定を追加します。

   http {
       upstream backend {
           least_conn;
           server server1.example.com;
           server server2.example.com;
           server server3.example.com backup;
       }
   
       server {
           location / {
               proxy_pass http://backend;
           }
       }
   }

   Copy to Clipboard Toggle word wrap

   backend という名前のホストグループの least_conn ディレクティブは、アクティブな接続数が最も少ないサーバーがどれかを基にして、NGINX が要求を server1.example.com または server2.example.com に送信することを定義します。NGINX は、他の 2 つのホストが利用できない場合は、server3.example.com のみをバックアップとして使用します。

   proxy_pass ディレクティブを http://backend に設定すると、NGINX はリバースプロキシーとして機能し、backend ホストグループを使用して、このグループの設定に基づいて要求を配信します。

   least_conn 負荷分散メソッドの代わりに、以下を指定することができます。

   • ラウンドロビンを使用し、サーバー全体で要求を均等に分散する方法はありません。
   • ip_hash: クライアントの IPv4 アドレスのオクテットの内、最初の 3 つ、または IPv6 アドレス全体から計算されたハッシュに基づいて、あるクライアントアドレスから同じサーバーに要求を送信します。
   • hash: ユーザー定義のキーに基づいてサーバーを判断します。これは、文字列、変数、または両方の組み合わせになります。consistent パラメーターは、ユーザー定義のハッシュ化された鍵の値に基づいて、NGINX がすべてのサーバーに要求を分散するように設定します。
   • random: 無作為に選択されたサーバーに要求を送信します。

2. nginx サービスを再起動します。

   # systemctl restart nginx

   Copy to Clipboard Toggle word wrap

手順

1. squid パッケージをインストールします。

   # dnf install squid

   Copy to Clipboard Toggle word wrap

2. /etc/squid/squid.conf ファイルを編集します。

   1. localnet アクセス制御リスト (ACL) を、プロキシーを使用できる IP 範囲と一致するように変更します。

      acl localnet src 192.0.2.0/24
      acl localnet 2001:db8:1::/64

      Copy to Clipboard Toggle word wrap

      デフォルトでは、/etc/squid/squid.conf ファイルには localnet ACL で指定されたすべての IP 範囲のプロキシーを使用できるようにする http_access allow localnet ルールが含まれます。http_access allow localnet ルールの前に、localnet の ACL をすべて指定する必要があります。

      重要

      環境に一致しない既存の acl localnet エントリーをすべて削除します。

   2. 以下の ACL はデフォルト設定にあり、HTTPS プロトコルを使用するポートとして 443 を定義します。

      acl SSL_ports port 443

      Copy to Clipboard Toggle word wrap

      ユーザーが他のポートでも HTTPS プロトコルを使用できるようにするには、ポートごとに ACL を追加します。

      acl SSL_ports port port_number

      Copy to Clipboard Toggle word wrap

   3. Squid が接続を確立できるポートに設定する acl Safe_ports ルールの一覧を更新します。たとえば、プロキシーを使用するクライアントがポート 21 (FTP)、80 (HTTP)、443 (HTTPS) のリソースにのみアクセスできるようにするには、その設定の以下の acl Safe_ports ステートメントのみを保持します。

      acl Safe_ports port 21
      acl Safe_ports port 80
      acl Safe_ports port 443

      Copy to Clipboard Toggle word wrap

      デフォルトでは、設定には http_access deny !Safe_ports ルールが含まれ、Safe_ports ACL で定義されていないポートへのアクセス拒否を定義します。

   4. cache_dir パラメーターにキャッシュの種類、キャッシュディレクトリーへのパス、キャッシュサイズ、さらにキャッシュの種類ごとの設定を設定します。

      cache_dir ufs /var/spool/squid 10000 16 256

      Copy to Clipboard Toggle word wrap

      この設定により、以下が可能になります。

      • Squid は、ufs キャッシュタイプを使用します。
      • Squid は、キャッシュを /var/spool/squid/ ディレクトリーに保存します。
      • キャッシュのサイズが 10000 MB まで大きくなります。
      • Squid は、16 個のレベル 1 サブディレクトリーを /var/spool/squid/ ディレクトリーに作成します。

      • Squid は、レベル 1 の各ディレクトリーに 256 個のサブディレクトリーを作成します。

        cache_dir ディレクティブを設定しないと、Squid はキャッシュをメモリーに保存します。

3. cache_dir パラメーターに /var/spool/squid/ 以外のキャッシュディレクトリーを設定する場合は、以下を行います。

   1. キャッシュディレクトリーを作成します。

      # mkdir -p path_to_cache_directory

      Copy to Clipboard Toggle word wrap

   2. キャッシュディレクトリーの権限を設定します。

      # chown squid:squid path_to_cache_directory

      Copy to Clipboard Toggle word wrap

   3. SELinux を enforcing モードで実行する場合は、squid_cache_t コンテキストをキャッシュディレクトリーに設定します。

      # semanage fcontext -a -t squid_cache_t "path_to_cache_directory(/.*)?"
      # restorecon -Rv path_to_cache_directory

      Copy to Clipboard Toggle word wrap

      semanage ユーティリティーがシステムで利用できない場合は、policycoreutils-python-utils パッケージをインストールします。

4. ファイアウォールで 3128 ポートを開きます。

   # firewall-cmd --permanent --add-port=3128/tcp
   # firewall-cmd --reload

   Copy to Clipboard Toggle word wrap

5. squid サービスを有効にして開始します。

   # systemctl enable --now squid

   Copy to Clipboard Toggle word wrap

手順

1. squid パッケージをインストールします。

   # dnf install squid

   Copy to Clipboard Toggle word wrap

2. /etc/squid/squid.conf ファイルを編集します。

   1. basic_ldap_auth ヘルパーユーティリティーを設定するには、/etc/squid/squid.conf に以下の設定エントリーを追加します。

      auth_param basic program /usr/lib64/squid/basic_ldap_auth -b "cn=users,cn=accounts,dc=example,dc=com" -D "uid=proxy_user,cn=users,cn=accounts,dc=example,dc=com" -W /etc/squid/ldap_password -f "(&(objectClass=person)(uid=%s))" -ZZ -H ldap://ldap_server.example.com:389

      Copy to Clipboard Toggle word wrap

      以下では、上記の basic_ldap_auth ヘルパーユーティリティーに渡されるパラメーターを説明します。

      • -b base_DN は LDAP 検索ベースを設定します。
      • -D proxy_service_user_DN は、Squid が、ディレクトリー内の認証ユーザーを検索する際に使用するアカウントの識別名 (DN) を設定します。
      • -W path_to_password_file は、プロキシーサービスユーザーのパスワードが含まれるファイルへのパスを設定します。パスワードファイルを使用すると、オペレーティングシステムのプロセスリストにパスワードが表示されなくなります。

      • -f LDAP_filter は、DAP 検索フィルターを指定します。Squid は、%s 変数を、認証ユーザーにより提供されるユーザー名に置き換えます。

        上記の例の (&(objectClass=person)(uid=%s)) フィルターは、ユーザー名が uid 属性に設定された値と一致する必要があり、ディレクトリーエントリーに person オブジェクトクラスが含まれることを定義します。

      • -ZZ は、STARTTLS コマンドを使用して、LDAP プロトコルで TLS 暗号化接続を強制します。以下の状況で -ZZ を省略します。

        • LDAP サーバーは、暗号化された接続にを対応しません。
        • URL に指定されたポートは、LDAPS プロトコルを使用します。
      • -H LDAP_URL パラメーターは、プロトコル、ホスト名、IP アドレス、および LDAP サーバーのポートを URL 形式で指定します。

   2. 以下の ACL およびルールを追加して、Squid で、認証されたユーザーのみがプロキシーを使用できるように設定します。

      acl ldap-auth proxy_auth REQUIRED
      http_access allow ldap-auth

      Copy to Clipboard Toggle word wrap
      重要

      http_access deny all ルールの前にこの設定を指定します。

   3. 次のルールを削除して、localnet ACL で指定された IP 範囲のプロキシー認証の回避を無効にします。

      http_access allow localnet

      Copy to Clipboard Toggle word wrap

   4. 以下の ACL はデフォルト設定にあり、HTTPS プロトコルを使用するポートとして 443 を定義します。

      acl SSL_ports port 443

      Copy to Clipboard Toggle word wrap

      ユーザーが他のポートでも HTTPS プロトコルを使用できるようにするには、ポートごとに ACL を追加します。

      acl SSL_ports port port_number

      Copy to Clipboard Toggle word wrap

   5. Squid が接続を確立できるポートに設定する acl Safe_ports ルールの一覧を更新します。たとえば、プロキシーを使用するクライアントがポート 21 (FTP)、80 (HTTP)、443 (HTTPS) のリソースにのみアクセスできるようにするには、その設定の以下の acl Safe_ports ステートメントのみを保持します。

      acl Safe_ports port 21
      acl Safe_ports port 80
      acl Safe_ports port 443

      Copy to Clipboard Toggle word wrap

      デフォルトでは、設定には http_access deny !Safe_ports ルールが含まれ、Safe_ports ACL で定義されていないポートへのアクセス拒否を定義します。

   6. cache_dir パラメーターにキャッシュの種類、キャッシュディレクトリーへのパス、キャッシュサイズ、さらにキャッシュの種類ごとの設定を設定します。

      cache_dir ufs /var/spool/squid 10000 16 256

      Copy to Clipboard Toggle word wrap

      この設定により、以下が可能になります。

      • Squid は、ufs キャッシュタイプを使用します。
      • Squid は、キャッシュを /var/spool/squid/ ディレクトリーに保存します。
      • キャッシュのサイズが 10000 MB まで大きくなります。
      • Squid は、16 個のレベル 1 サブディレクトリーを /var/spool/squid/ ディレクトリーに作成します。

      • Squid は、レベル 1 の各ディレクトリーに 256 個のサブディレクトリーを作成します。

        cache_dir ディレクティブを設定しないと、Squid はキャッシュをメモリーに保存します。

3. cache_dir パラメーターに /var/spool/squid/ 以外のキャッシュディレクトリーを設定する場合は、以下を行います。

   1. キャッシュディレクトリーを作成します。

      # mkdir -p path_to_cache_directory

      Copy to Clipboard Toggle word wrap

   2. キャッシュディレクトリーの権限を設定します。

      # chown squid:squid path_to_cache_directory

      Copy to Clipboard Toggle word wrap

   3. SELinux を enforcing モードで実行する場合は、squid_cache_t コンテキストをキャッシュディレクトリーに設定します。

      # semanage fcontext -a -t squid_cache_t "path_to_cache_directory(/.*)?"
      # restorecon -Rv path_to_cache_directory

      Copy to Clipboard Toggle word wrap

      semanage ユーティリティーがシステムで利用できない場合は、policycoreutils-python-utils パッケージをインストールします。

4. LDAP サービスユーザーのパスワードを /etc/squid/ldap_password ファイルに保存し、ファイルに適切なパーミッションを設定します。

   # echo "password" > /etc/squid/ldap_password
   # chown root:squid /etc/squid/ldap_password
   # chmod 640 /etc/squid/ldap_password

   Copy to Clipboard Toggle word wrap

5. ファイアウォールで 3128 ポートを開きます。

   # firewall-cmd --permanent --add-port=3128/tcp
   # firewall-cmd --reload

   Copy to Clipboard Toggle word wrap

6. squid サービスを有効にして開始します。

   # systemctl enable --now squid

   Copy to Clipboard Toggle word wrap

1. auth_param パラメーターで使用したのと同じ設定で、ヘルパーユーティリティーを手動で起動します。

   # /usr/lib64/squid/basic_ldap_auth -b "cn=users,cn=accounts,dc=example,dc=com" -D "uid=proxy_user,cn=users,cn=accounts,dc=example,dc=com" -W /etc/squid/ldap_password -f "(&(objectClass=person)(uid=%s))" -ZZ -H ldap://ldap_server.example.com:389

   Copy to Clipboard Toggle word wrap

2. 有効なユーザー名とパスワードを入力し、Enter を押します。

   user_name password

   Copy to Clipboard Toggle word wrap

   ヘルパーユーティリティーが OK を返すと、認証に成功しました。

手順

1. 以下のパッケージをインストールします。

   # dnf install squid krb5-workstation

   Copy to Clipboard Toggle word wrap

2. AD ドメイン管理者として認証します。

   # kinit administrator@AD.EXAMPLE.COM

   Copy to Clipboard Toggle word wrap

3. Squid 用のキータブを作成し、それを /etc/squid/HTTP.keytab ファイルに保存し、HTTP サービスプリンシパルをキータブに追加します。

   # export KRB5_KTNAME=FILE:/etc/squid/HTTP.keytab
   # net ads keytab CREATE -U administrator
   # net ads keytab ADD HTTP -U administrator

   Copy to Clipboard Toggle word wrap

4. オプション: システムが (adcli 経由で) 最初にレルムを使用して AD ドメインに参加している場合、次の手順に従って HTTP プリンシパルを追加し、squid 用のキータブファイルを作成します。

   1. HTTP サービスプリンシパルをデフォルトのキータブファイル /etc/krb5.keytab に追加し、検証します。

      # adcli update -vvv --domain=ad.example.com --computer-name=PROXY --add-service-principal="HTTP/proxy.ad.example.com" -C
      # klist -kte /etc/krb5.keytab | grep -i HTTP

      Copy to Clipboard Toggle word wrap

   2. /etc/krb5.keytab ファイルをロードし、HTTP 以外のすべてのサービスプリンシパルを削除し、残りのプリンシパルを /etc/squid/HTTP.keytab ファイルに保存します。

      # ktutil
      ktutil:  rkt /etc/krb5.keytab
      ktutil:  l -e
      slot | KVNO | Principal
      -----------------------------------------------------------------------------
      1 |    2 |            PROXY$@AD.EXAMPLE.COM (aes128-cts-hmac-sha1-96)
      2 |    2 |            PROXY$@AD.EXAMPLE.COM (aes256-cts-hmac-sha1-96)
      3 |    2 |         host/PROXY@AD.EXAMPLE.COM (aes128-cts-hmac-sha1-96)
      4 |    2 |         host/PROXY@AD.EXAMPLE.COM (aes256-cts-hmac-sha1-96)
      5 |    2 | host/proxy.ad.example.com@AD.EXAMPLE.COM (aes128-cts-hmac-sha1-96)
      6 |    2 | host/proxy.ad.example.com@AD.EXAMPLE.COM (aes256-cts-hmac-sha1-96)
      7 |    2 | HTTP/proxy.ad.example.com@AD.EXAMPLE.COM (aes128-cts-hmac-sha1-96)
      8 |    2 | HTTP/proxy.ad.example.com@AD.EXAMPLE.COM (aes256-cts-hmac-sha1-96)

      Copy to Clipboard Toggle word wrap

      ktutil の対話型シェルで、さまざまなオプションを使用して、不要なプリンシパルをすべてキータブから削除できます。次に例を示します。

      ktutil:  delent 1

      Copy to Clipboard Toggle word wrap

      ktutil:  l -e
      
      slot | KVNO | Principal
      -------------------------------------------------------------------------------
      1 |   2 | HTTP/proxy.ad.example.com@AD.EXAMPLE.COM (aes128-cts-hmac-sha1-96)
      2 |   2 | HTTP/proxy.ad.example.com@AD.EXAMPLE.COM (aes256-cts-hmac-sha1-96)
      
      ktutil:  wkt /etc/squid/HTTP.keytab
      ktutil:  q

      Copy to Clipboard Toggle word wrap
      警告

      SSSD または Samba/winbind がマシンアカウントのパスワードを更新すると、/etc/krb5.keytab 内のキーが更新される可能性があります。更新後、/etc/squid/HTTP.keytab 内のキーは機能しなくなるため、ktutil の手順を再度実行して新しいキーをキータブにコピーする必要があります。

5. キータブファイルの所有者を squid ユーザーに設定します。

   # chown squid /etc/squid/HTTP.keytab

   Copy to Clipboard Toggle word wrap

6. オプション: キータブファイルに、プロキシーサーバーの完全修飾ドメイン名 (FQDN) の HTTP サービスプリンシパルが含まれていることを確認します。

   # klist -k /etc/squid/HTTP.keytab
   Keytab name: FILE:/etc/squid/HTTP.keytab
   KVNO Principal
   ---- ---------------------------------------------------
   ...
      2 HTTP/proxy.ad.example.com@AD.EXAMPLE.COM
   ...

   Copy to Clipboard Toggle word wrap

7. /etc/squid/squid.conf ファイルを編集します。

   1. negotiate_kerberos_auth ヘルパーユーティリティーを設定するには、/etc/squid/squid.conf 部に以下の設定エントリーを追加します。

      auth_param negotiate program /usr/lib64/squid/negotiate_kerberos_auth -k /etc/squid/HTTP.keytab -s HTTP/proxy.ad.example.com@AD.EXAMPLE.COM

      Copy to Clipboard Toggle word wrap

      以下は、上記の例で negotiate_kerberos_auth ヘルパーユーティリティーに渡されるパラメーターを説明します。

      • -k file は、キータブファイルへのパスを設定します。squid ユーザーには、このファイルに対する読み取り権限があることに注意してください。

      • -s HTTP/host_name@kerberos_realm は、Squid が使用する Kerberos プリンシパルを設定します。

        必要に応じて、以下のパラメーターのいずれかまたは両方をヘルパーユーティリティーに渡すことによりロギングを有効にできます。

      • -i は、認証ユーザーなどの情報メッセージをログに記録します。

      • -d は、デバッグロギングを有効にします。

        Squid は、ヘルパーユーティリティーから、/var/log/squid/cache.log ファイルにデバッグ情報のログに記録します。

   2. 以下の ACL およびルールを追加して、Squid で、認証されたユーザーのみがプロキシーを使用できるように設定します。

      acl kerb-auth proxy_auth REQUIRED
      http_access allow kerb-auth

      Copy to Clipboard Toggle word wrap
      重要

      http_access deny all ルールの前にこの設定を指定します。

   3. 次のルールを削除して、localnet ACL で指定された IP 範囲のプロキシー認証の回避を無効にします。

      http_access allow localnet

      Copy to Clipboard Toggle word wrap

   4. 以下の ACL はデフォルト設定にあり、HTTPS プロトコルを使用するポートとして 443 を定義します。

      acl SSL_ports port 443

      Copy to Clipboard Toggle word wrap

      ユーザーが他のポートでも HTTPS プロトコルを使用できるようにするには、ポートごとに ACL を追加します。

      acl SSL_ports port port_number

      Copy to Clipboard Toggle word wrap

   5. Squid が接続を確立できるポートに設定する acl Safe_ports ルールの一覧を更新します。たとえば、プロキシーを使用するクライアントがポート 21 (FTP)、80 (HTTP)、443 (HTTPS) のリソースにのみアクセスできるようにするには、その設定の以下の acl Safe_ports ステートメントのみを保持します。

      acl Safe_ports port 21
      acl Safe_ports port 80
      acl Safe_ports port 443

      Copy to Clipboard Toggle word wrap

      デフォルトでは、設定には http_access deny !Safe_ports ルールが含まれ、Safe_ports ACL で定義されていないポートへのアクセス拒否を定義します。

   6. cache_dir パラメーターにキャッシュの種類、キャッシュディレクトリーへのパス、キャッシュサイズ、さらにキャッシュの種類ごとの設定を設定します。

      cache_dir ufs /var/spool/squid 10000 16 256

      Copy to Clipboard Toggle word wrap

      この設定により、以下が可能になります。

      • Squid は、ufs キャッシュタイプを使用します。
      • Squid は、キャッシュを /var/spool/squid/ ディレクトリーに保存します。
      • キャッシュのサイズが 10000 MB まで大きくなります。
      • Squid は、16 個のレベル 1 サブディレクトリーを /var/spool/squid/ ディレクトリーに作成します。

      • Squid は、レベル 1 の各ディレクトリーに 256 個のサブディレクトリーを作成します。

        cache_dir ディレクティブを設定しないと、Squid はキャッシュをメモリーに保存します。

8. cache_dir パラメーターに /var/spool/squid/ 以外のキャッシュディレクトリーを設定する場合は、以下を行います。

   1. キャッシュディレクトリーを作成します。

      # mkdir -p path_to_cache_directory

      Copy to Clipboard Toggle word wrap

   2. キャッシュディレクトリーの権限を設定します。

      # chown squid:squid path_to_cache_directory

      Copy to Clipboard Toggle word wrap

   3. SELinux を enforcing モードで実行する場合は、squid_cache_t コンテキストをキャッシュディレクトリーに設定します。

      # semanage fcontext -a -t squid_cache_t "path_to_cache_directory(/.*)?"
      # restorecon -Rv path_to_cache_directory

      Copy to Clipboard Toggle word wrap

      semanage ユーティリティーがシステムで利用できない場合は、policycoreutils-python-utils パッケージをインストールします。

9. ファイアウォールで 3128 ポートを開きます。

   # firewall-cmd --permanent --add-port=3128/tcp
   # firewall-cmd --reload

   Copy to Clipboard Toggle word wrap

10. squid サービスを有効にして開始します。

    # systemctl enable --now squid

    Copy to Clipboard Toggle word wrap

トラブルシューティングの手順

1. AD アカウントの Kerberos チケットを取得します。

   # kinit user@AD.EXAMPLE.COM

   Copy to Clipboard Toggle word wrap

2. オプション: チケットを表示します。

   # klist

   Copy to Clipboard Toggle word wrap

3. negotiate_kerberos_auth_test ユーティリティーを使用して認証をテストします。

   # /usr/lib64/squid/negotiate_kerberos_auth_test proxy.ad.example.com

   Copy to Clipboard Toggle word wrap

   ヘルパーユーティリティーがトークンを返す場合は、認証に成功しました。

   Token: YIIFtAYGKwYBBQUCoIIFqDC...

   Copy to Clipboard Toggle word wrap

手順

1. /etc/squid/squid.conf ファイルを編集し、以下の設定を追加します。

   acl domain_deny_list dstdomain "/etc/squid/domain_deny_list.txt"
   http_access deny all domain_deny_list

   Copy to Clipboard Toggle word wrap
   重要

   ユーザーまたはクライアントへのアクセスを許可する最初の http_access allow ステートメントの前にこれらのエントリーを追加します。

2. /etc/squid/domain_deny_list.txt ファイルを作成し、ブロックするドメインを追加します。たとえば、サブドメインを含む example.com へのアクセスをブロックして、example.net をブロックするには、以下を追加します。

   .example.com
   example.net

   Copy to Clipboard Toggle word wrap
   重要

   squid 設定の /etc/squid/domain_deny_list.txt ファイルを参照している場合は、このファイルは空にすることはできません。このファイルが空の場合、Squid は起動できません。

3. squid サービスを再開します。

   # systemctl restart squid

   Copy to Clipboard Toggle word wrap

手順

1. /etc/squid/squid.conf ファイルを編集します。

   • Squid サービスがリッスンするポートを設定するには、http_port パラメーターにポート番号を設定します。たとえば、ポートを 8080 に設定するには、以下を設定します。

     http_port 8080

     Copy to Clipboard Toggle word wrap

   • Squid サービスがリッスンする IP アドレスを設定するには、http_port パラメーターに IP アドレスとポート番号を設定します。たとえば、Squid が、3128 ポートの IP アドレス 192.0.2.1 でのみリッスンするように設定するには、以下を設定します。

     http_port 192.0.2.1:3128

     Copy to Clipboard Toggle word wrap

     複数の http_port パラメーターを設定ファイルに追加して、Squid が複数のポートおよび IP アドレスでリッスンするように設定します。

     http_port 192.0.2.1:3128
     http_port 192.0.2.1:8080

     Copy to Clipboard Toggle word wrap

2. Squid が別のポートをデフォルト (3128) として使用するように設定する場合は、以下のようになります。

   1. ファイアウォールのポートを開きます。

      # firewall-cmd --permanent --add-port=port_number/tcp
      # firewall-cmd --reload

      Copy to Clipboard Toggle word wrap

   2. enforcing モードで SELinux を実行した場合は、ポートを squid_port_t ポートタイプ定義に割り当てます。

      # semanage port -a -t squid_port_t -p tcp port_number

      Copy to Clipboard Toggle word wrap

      semanage ユーティリティーがシステムで利用できない場合は、policycoreutils-python-utils パッケージをインストールします。

3. squid サービスを再開します。

   # systemctl restart squid

   Copy to Clipboard Toggle word wrap