웹 서버 및 역방향 프록시 배포

절차

1. httpd 패키지를 설치합니다.

   # dnf install httpd

   Copy to Clipboard Toggle word wrap

2. firewalld 를 사용하는 경우 로컬 방화벽에서 TCP 포트 80 을 엽니다.

   # firewall-cmd --permanent --add-port=80/tcp
   # firewall-cmd --reload

   Copy to Clipboard Toggle word wrap

3. httpd 서비스를 활성화하고 시작합니다.

   # systemctl enable --now httpd

   Copy to Clipboard Toggle word wrap

4. 선택 사항: HTML 파일을 /var/www/html/ 디렉터리에 추가합니다.

   참고

   콘텐츠를 /var/www/html/에 추가할 때 기본적으로 httpd가 실행되는 사용자가 파일 및 디렉터리를 읽을 수 있어야 합니다. 콘텐츠 소유자는 root 사용자 및 root 사용자 그룹 또는 다른 사용자 또는 관리자가 선택한 그룹일 수 있습니다. 콘텐츠 소유자가 root 사용자 및 root 사용자 그룹인 경우 다른 사용자가 파일을 읽을 수 있어야 합니다. 모든 파일 및 디렉터리에 대한 SELinux 컨텍스트는 기본적으로 /var/www 디렉터리 내의 모든 콘텐츠에 적용되는 httpd_sys_content_t이어야 합니다.

절차

1. httpd 패키지를 설치합니다.

   # dnf install httpd

   Copy to Clipboard Toggle word wrap

2. /etc/httpd/conf/httpd.conf 파일을 편집합니다.

   1. example.com 도메인에 다음 가상 호스트 구성을 추가합니다.

      <VirtualHost *:80>
          DocumentRoot "/var/www/example.com/"
          ServerName example.com
          CustomLog /var/log/httpd/example.com_access.log combined
          ErrorLog /var/log/httpd/example.com_error.log
      </VirtualHost>

      Copy to Clipboard Toggle word wrap

      이러한 설정은 다음을 구성합니다.

      • <VirtualHost *:80> 지시문의 모든 설정은 이 가상 호스트에 따라 다릅니다.
      • DocumentRoot는 가상 호스트의 웹 콘텐츠 경로를 설정합니다.

      • ServerName은 이 가상 호스트가 콘텐츠를 제공하는 도메인을 설정합니다.

        여러 도메인을 설정하려면 ServerAlias 매개 변수를 구성에 추가하고 이 매개 변수에서 공백으로 구분된 추가 도메인을 지정합니다.

      • CustomLog는 가상 호스트의 액세스 로그 경로를 설정합니다.

      • ErrorLog는 가상 호스트의 오류 로그 경로를 설정합니다.

        참고

        Apache는 ServerName 및 ServerAlias 매개 변수에 설정된 도메인과 일치하지 않는 요청에도 구성에 있는 첫 번째 가상 호스트를 사용합니다. 여기에는 서버의 IP 주소로 전송된 요청도 포함됩니다.

3. example.net 도메인에 대해 유사한 가상 호스트 구성을 추가합니다.

   <VirtualHost *:80>
       DocumentRoot "/var/www/example.net/"
       ServerName example.net
       CustomLog /var/log/httpd/example.net_access.log combined
       ErrorLog /var/log/httpd/example.net_error.log
   </VirtualHost>

   Copy to Clipboard Toggle word wrap

4. 두 가상 호스트 모두에 대한 문서 루트를 생성합니다.

   # mkdir /var/www/example.com/
   # mkdir /var/www/example.net/

   Copy to Clipboard Toggle word wrap

5. /var/www/ 내에 없는 DocumentRoot 매개변수에서 경로를 설정한 경우 두 문서 루트에서 httpd_sys_content_t 컨텍스트를 설정합니다.

   # semanage fcontext -a -t httpd_sys_content_t "/srv/example.com(/.*)?"
   # restorecon -Rv /srv/example.com/
   # semanage fcontext -a -t httpd_sys_content_t "/srv/example.net(/.\*)?"
   # restorecon -Rv /srv/example.net/

   Copy to Clipboard Toggle word wrap

   이러한 명령은 /srv/example.com/ 및 /srv/example.net/ 디렉터리에 httpd_sys_content_t 컨텍스트를 설정합니다.

   restorecon 명령을 실행하려면 policycoreutils-python-utils 패키지를 설치해야 합니다.

6. firewalld 를 사용하는 경우 로컬 방화벽에서 포트 80 을 엽니다.

   # firewall-cmd --permanent --add-port=80/tcp
   # firewall-cmd --reload

   Copy to Clipboard Toggle word wrap

7. httpd 서비스를 활성화하고 시작합니다.

   # systemctl enable --now httpd

   Copy to Clipboard Toggle word wrap

검증 단계

1. 각 가상 호스트의 문서 루트에 다른 예제 파일을 생성합니다.

   # echo "vHost example.com" > /var/www/example.com/index.html
   # echo "vHost example.net" > /var/www/example.net/index.html

   Copy to Clipboard Toggle word wrap
2. 브라우저를 사용하고 http://example.com에 연결합니다. 웹 서버는 example.com 가상 호스트의 예제 파일을 보여줍니다.
3. 브라우저를 사용하고 http://example.net에 연결합니다. 웹 서버는 example.net 가상 호스트의 예제 파일을 보여줍니다.

절차

1. /etc/httpd/conf/httpd.conf 파일을 편집하고 다음 설정을 클라이언트 인증을 구성하려는 <VirtualHost> 지시문에 추가합니다.

   <Directory "/var/www/html/Example/">
     SSLVerifyClient require
   </Directory>

   Copy to Clipboard Toggle word wrap

   SSLverifyClient require를 설정해야 클라이언트가 /var/www/html/Example/ 디렉터리의 콘텐츠에 액세스하기 전에 서버가 클라이언트 인증서의 유효성을 검사해야 합니다.

2. httpd 서비스를 다시 시작합니다.

   # systemctl restart httpd

   Copy to Clipboard Toggle word wrap

검증 단계

1. curl 유틸리티를 사용하여 클라이언트 인증 없이 https://example.com/Example/ URL에 액세스합니다.

   $ curl https://example.com/Example/
   curl: (56) OpenSSL SSL_read: error:1409445C:SSL routines:ssl3_read_bytes:tlsv13 **alert certificate required**, errno 0

   Copy to Clipboard Toggle word wrap

   이 오류는 웹 서버에 클라이언트 인증서 인증이 필요함을 나타냅니다.

2. 클라이언트 개인 키 및 인증서와 CA 인증서를 curl에 전달하여 클라이언트 인증으로 동일한 URL에 액세스합니다.

   $ curl --cacert ca.crt --key client.key --cert client.crt https://example.com/Example/

   Copy to Clipboard Toggle word wrap

   요청이 성공하면 curl은 /var/www/html/Example/ 디렉터리에 저장된 index.html 파일을 표시합니다.

절차

1. httpd-manual 패키지를 설치합니다.

   # dnf install httpd-manual

   Copy to Clipboard Toggle word wrap

2. 선택 사항: 기본적으로 Apache HTTP 서버에 연결하는 모든 클라이언트는 설명서를 표시할 수 있습니다. 192.0.2.0/24 서브넷과 같은 특정 IP 범위에 대한 액세스를 제한하려면 /etc/httpd/conf.d/manual.conf 파일을 편집하고 Require ip 192.0.2.0/24 설정을 <Directory "/usr/share/httpd/manual"> 지시문에 추가합니다.

   <Directory "/usr/share/httpd/manual">
   ...
       **Require ip 192.0.2.0/24**
   ...
   </Directory>

   Copy to Clipboard Toggle word wrap

3. httpd 서비스를 다시 시작합니다.

   # systemctl restart httpd

   Copy to Clipboard Toggle word wrap

검증 단계

1. Apache HTTP Server 설명서를 표시하려면 웹 브라우저로 http://host_name_or_IP_address/manual/에 연결합니다.

절차

1. NSS 데이터베이스의 인증서를 나열합니다.

   # certutil -d /etc/httpd/alias/ -L
   Certificate Nickname           Trust Attributes
                                  SSL,S/MIME,JAR/XPI
   
   Example CA                     C,,
   Example Server Certificate     u,u,u

   Copy to Clipboard Toggle word wrap

   다음 단계에서 인증서의 닉네임이 필요합니다.

2. 개인 키를 추출하려면 일시적으로 PKCS #12 파일로 키를 내보내야 합니다.

   1. 개인 키와 연결된 인증서의 닉네임을 사용하여 PKCS #12 파일로 키를 내보냅니다.

      # pk12util -o /etc/pki/tls/private/export.p12 -d /etc/httpd/alias/ -n "Example Server Certificate"
      Enter password for PKCS12 file: password
      Re-enter password: password
      pk12util: PKCS12 EXPORT SUCCESSFUL

      Copy to Clipboard Toggle word wrap

      PKCS #12 파일에 암호를 설정해야 합니다. 다음 단계에서 이 암호가 필요합니다.

   2. PKCS #12 파일에서 개인 키를 내보냅니다.

      # openssl pkcs12 -in /etc/pki/tls/private/export.p12 -out /etc/pki/tls/private/server.key -nocerts -nodes
      Enter Import Password: password
      MAC verified OK

      Copy to Clipboard Toggle word wrap

   3. 임시 PKCS #12 파일을 삭제합니다.

      # rm /etc/pki/tls/private/export.p12

      Copy to Clipboard Toggle word wrap

3. root 사용자만 이 파일에 액세스할 수 있도록 /etc/pki/tls/private/server.key에 대한 권한을 설정합니다.

   # chown root:root /etc/pki/tls/private/server.key
   # chmod 0600 /etc/pki/tls/private/server.key

   Copy to Clipboard Toggle word wrap

4. NSS 데이터베이스에서 서버 인증서의 닉네임을 사용하여 CA 인증서를 내보냅니다.

   # certutil -d /etc/httpd/alias/ -L -n "Example Server Certificate" -a -o /etc/pki/tls/certs/server.crt

   Copy to Clipboard Toggle word wrap

5. root 사용자만 이 파일에 액세스할 수 있도록 /etc/pki/tls/certs/server.crt에 대한 권한을 설정합니다.

   # chown root:root /etc/pki/tls/certs/server.crt
   # chmod 0600 /etc/pki/tls/certs/server.crt

   Copy to Clipboard Toggle word wrap

6. NSS 데이터베이스에서 CA 인증서의 닉네임을 사용하여 CA 인증서를 내보냅니다.

   # certutil -d /etc/httpd/alias/ -L -n "Example CA" -a -o /etc/pki/tls/certs/ca.crt

   Copy to Clipboard Toggle word wrap

7. Apache HTTP 서버에서 TLS 암호화 구성 을 따라 Apache 웹 서버를 구성합니다.

   • SSLCertificateKeyFile 매개변수를 /etc/pki/tls/private/server.key로 설정합니다.
   • SSLCertificateFile 매개변수를 /etc/pki/tls/certs/server.crt로 설정합니다.
   • SSLCACertificateFile 매개변수를 /etc/pki/tls/certs/ca.crt로 설정합니다.

절차

1. 사용 가능한 NGINX 모듈 스트림을 표시합니다.

   # yum module list nginx
   Red Hat Enterprise Linux 8 for x86_64 - AppStream (RPMs)
   Name        Stream        Profiles        Summary
   nginx       1.14 [d]      common [d]      nginx webserver
   nginx       1.16          common [d]      nginx webserver
   ...
   
   Hint: [d]efault, [e]nabled, [x]disabled, [i]nstalled

   Copy to Clipboard Toggle word wrap

2. 기본값과 다른 스트림을 설치하려면 스트림을 선택합니다.

   # yum module enable nginx:stream_version

   Copy to Clipboard Toggle word wrap

3. nginx 패키지를 설치합니다.

   # yum install nginx

   Copy to Clipboard Toggle word wrap

4. NGINX가 방화벽에 서비스를 제공해야 하는 포트를 엽니다. 예를 들어 firewalld에서 HTTP(포트 80) 및 HTTPS(포트 443)의 기본 포트를 열려면 다음을 입력합니다.

   # firewall-cmd --permanent --add-port={80/tcp,443/tcp}
   # firewall-cmd --reload

   Copy to Clipboard Toggle word wrap

5. 시스템이 부팅될 때 nginx 서비스가 자동으로 시작되도록 활성화합니다.

   # systemctl enable nginx

   Copy to Clipboard Toggle word wrap

6. 선택적으로 nginx 서비스를 시작합니다.

   # systemctl start nginx

   Copy to Clipboard Toggle word wrap

   기본 구성을 사용하지 않으려면 서비스를 시작하기 전에 이 단계를 건너뛰고 그에 따라 NGINX를 구성합니다.

검증 단계

1. yum 유틸리티를 사용하여 nginx 패키지가 설치되었는지 확인합니다.

   # yum list installed nginx
   Installed Packages
   nginx.x86_64    1:1.14.1-9.module+el8.0.0+4108+af250afe    @rhel-8-for-x86_64-appstream-rpms

   Copy to Clipboard Toggle word wrap

절차

1. /etc/nginx/nginx.conf 파일을 편집합니다.

   1. 기본적으로 /etc/nginx/nginx.conf 파일에는 catch-all 구성이 이미 포함되어 있습니다. 구성에서 이 부분을 삭제한 경우 /etc/nginx/nginx.conf 파일의 http 블록에 다음 server 블록을 다시 추가합니다.

      server {
          listen       80 default_server;
          listen       [::]:80 default_server;
          server_name  _;
          root         /usr/share/nginx/html;
      }

      Copy to Clipboard Toggle word wrap

      이러한 설정은 다음을 구성합니다.

      • listen 지시문은 서비스에서 수신 대기하는 IP 주소와 포트를 정의합니다. 이 경우 NGINX는 모든 IPv4 및 IPv6 주소의 포트 80 에서 수신 대기합니다. default_server 매개 변수는 NGINX가 이 서버 블록을 IP 주소 및 포트와 일치하는 요청의 기본값으로 사용함을 나타냅니다.
      • server_name 매개 변수는 이 서버 블록을 담당하는 호스트 이름을 정의합니다. server_name 을 _ 로 설정하여 이 서버 블록의 모든 호스트 이름을 수락하도록 NGINX를 구성합니다.
      • root 지시문은 이 서버 블록의 웹 콘텐츠 경로를 설정합니다.

   2. example.com 도메인에 대한 유사한 server 블록을 http 블록에 추가합니다.

      server {
          server_name  example.com;
          root         /var/www/example.com/;
          access_log   /var/log/nginx/example.com/access.log;
          error_log    /var/log/nginx/example.com/error.log;
      }

      Copy to Clipboard Toggle word wrap
      • access_log 지시문은 이 도메인에 대한 별도의 액세스 로그 파일을 정의합니다.
      • error_log 지시문은 이 도메인에 대한 별도의 오류 로그 파일을 정의합니다.

   3. example.net 도메인에 대한 유사한 server 블록을 http 블록에 추가합니다.

      server {
          server_name  example.net;
          root         /var/www/example.net/;
          access_log   /var/log/nginx/example.net/access.log;
          error_log    /var/log/nginx/example.net/error.log;
      }

      Copy to Clipboard Toggle word wrap

2. 두 도메인의 루트 디렉터리를 생성합니다.

   # mkdir -p /var/www/example.com/
   # mkdir -p /var/www/example.net/

   Copy to Clipboard Toggle word wrap

3. 두 루트 디렉터리에 httpd_sys_content_t 컨텍스트를 설정합니다.

   # semanage fcontext -a -t httpd_sys_content_t "/var/www/example.com(/.*)?"
   # restorecon -Rv /var/www/example.com/
   # semanage fcontext -a -t httpd_sys_content_t "/var/www/example.net(/.\*)?"
   # restorecon -Rv /var/www/example.net/

   Copy to Clipboard Toggle word wrap

   이러한 명령은 /var/www/ example.com/ 및 /var/www/example.net/ 디렉터리에 httpd_sys_content_t 컨텍스트를 설정합니다.

   restorecon 명령을 실행하려면 policycoreutils-python-utils 패키지를 설치해야 합니다.

4. 두 도메인의 로그 디렉터리를 생성합니다.

   # mkdir /var/log/nginx/example.com/
   # mkdir /var/log/nginx/example.net/

   Copy to Clipboard Toggle word wrap

5. nginx 서비스를 다시 시작합니다.

   # systemctl restart nginx

   Copy to Clipboard Toggle word wrap

검증 단계

1. 각 가상 호스트의 문서 루트에 다른 예제 파일을 생성합니다.

   # echo "Content for example.com" > /var/www/example.com/index.html
   # echo "Content for example.net" > /var/www/example.net/index.html
   # echo "Catch All content" > /usr/share/nginx/html/index.html

   Copy to Clipboard Toggle word wrap
2. 브라우저를 사용하고 http://example.com에 연결합니다. 웹 서버는 /var/www/example.com/index.html 파일의 예제 콘텐츠를 표시합니다.
3. 브라우저를 사용하고 http://example.net에 연결합니다. 웹 서버는 /var/www/example.net/index.html 파일의 예제 콘텐츠를 표시합니다.
4. 브라우저를 사용하고 http://IP_address_of_the_server 에 연결합니다. 웹 서버는 /usr/share/nginx/html/index.html 파일의 예제 콘텐츠를 표시합니다.

절차

1. /etc/nginx/nginx.conf 파일을 편집하고 다음 server 블록을 구성의 http 블록에 추가합니다.

   server {
       listen              443 ssl;
       server_name         example.com;
       root                /usr/share/nginx/html;
       ssl_certificate     /etc/pki/tls/certs/example.com.crt;
       ssl_certificate_key /etc/pki/tls/private/example.com.key;
   }

   Copy to Clipboard Toggle word wrap

2. 보안상의 이유로 root 사용자만 개인 키 파일에 액세스할 수 있도록 구성합니다.

   # chown root:root /etc/pki/tls/private/example.com.key
   # chmod 600 /etc/pki/tls/private/example.com.key

   Copy to Clipboard Toggle word wrap
   주의

   권한이 없는 사용자가 개인 키에 액세스한 경우 인증서를 취소하고 새 개인 키를 만들고 새 인증서를 요청합니다. 그렇지 않으면 TLS 연결이 더 이상 안전하지 않습니다.

3. nginx 서비스를 다시 시작합니다.

   # systemctl restart nginx

   Copy to Clipboard Toggle word wrap

절차

1. /etc/nginx/nginx.conf 파일을 편집하고 역방향 프록시를 제공해야 하는 server 블록에 다음 설정을 추가합니다.

   location /example {
       proxy_pass https://example.com;
   }

   Copy to Clipboard Toggle word wrap

   location 블록은 NGINX가 /example 디렉터리의 모든 요청을 로 전달함을 정의합니다.

2. SELinux가 NGINX가 트래픽을 전달할 수 있도록 httpd_can_network_connect SELinux 부울 매개변수를 1 로 설정합니다.

   # setsebool -P httpd_can_network_connect 1

   Copy to Clipboard Toggle word wrap

3. nginx 서비스를 다시 시작합니다.

   # systemctl restart nginx

   Copy to Clipboard Toggle word wrap

절차

1. /etc/nginx/nginx.conf 파일을 편집하고 다음 설정을 추가합니다.

   http {
       upstream backend {
           least_conn;
           server server1.example.com;
           server server2.example.com;
           server server3.example.com backup;
       }
   
       server {
           location / {
               proxy_pass http://backend;
           }
       }
   }

   Copy to Clipboard Toggle word wrap

   backend 라는 호스트 그룹의 least_conn 지시문은 활성 연결 수가 가장 적은 호스트에 따라 NGINX가 server1.example.com 또는 server2.example.com에 요청을 보냅니다. NGINX에서는 다른 두 호스트를 사용할 수 없는 경우에만 server3.example.com을 백업으로 사용합니다.

   proxy_pass 지시문을 http://backend 로 설정하면 NGINX는 역방향 프록시 역할을 하며 backend 호스트 그룹을 사용하여 이 그룹의 설정에 따라 요청을 분산합니다.

   least_conn 로드 밸런싱 방법 대신 다음을 지정할 수 있습니다.

   • 라운드 로빈을 사용하고 서버 간에 요청을 균등하게 배포하는 방법은 없습니다.
   • IPv4 주소의 처음 세 옥텟 또는 클라이언트의 전체 IPv6 주소에서 계산된 해시를 기반으로 한 클라이언트 주소의 요청을 동일한 서버로 전송하는 ip_hash.
   • 문자열, 변수 또는 둘 다 조합일 수 있는 사용자 정의 키를 기반으로 서버를 결정하는 해시 입니다. 일관된 매개 변수는 NGINX가 사용자 정의 해시 키 값을 기반으로 모든 서버에 요청을 배포하도록 구성합니다.
   • 무작위 로 선택된 서버로 요청을 보내는 임의 실행.

2. nginx 서비스를 다시 시작합니다.

   # systemctl restart nginx

   Copy to Clipboard Toggle word wrap

절차

1. squid 패키지를 설치합니다.

   # yum install squid

   Copy to Clipboard Toggle word wrap

2. /etc/squid/squid.conf 파일을 편집합니다.

   1. 프록시를 사용할 수 있어야 하는 IP 범위와 일치하도록 localnet ACL(액세스 제어 목록)을 조정합니다.

      acl localnet src 192.0.2.0/24
      acl localnet 2001:db8:1::/64

      Copy to Clipboard Toggle word wrap

      기본적으로 /etc/squid/squid.conf 파일에는 localnet ACL에 지정된 모든 IP 범위의 프록시를 사용할 수 있는 http_access allow localnet 규칙이 포함되어 있습니다. http_access allow localnet 규칙 전에 모든 localnet ACL을 지정해야 합니다.

      중요

      사용자 환경과 일치하지 않는 기존 acl localnet 항목을 모두 제거합니다.

   2. 다음 ACL은 기본 구성에 존재하며 HTTPS 프로토콜을 사용하는 포트로 443 을 정의합니다.

      acl SSL_ports port 443

      Copy to Clipboard Toggle word wrap

      사용자가 다른 포트에서도 HTTPS 프로토콜을 사용할 수 있어야 하는 경우 다음 각 포트에 대한 ACL을 추가합니다.

      acl SSL_ports port port_number

      Copy to Clipboard Toggle word wrap

   3. acl Safe_ports 규칙 목록을 업데이트하여 Squid가 연결을 설정할 수 있는 포트를 구성합니다. 예를 들어 프록시를 사용하여 클라이언트가 포트 21(FTP), 80(HTTP) 및 443(HTTPS)의 리소스에만 액세스할 수 있도록 구성하려면 구성의 다음 acl Safe_ports 문만 유지합니다.

      acl Safe_ports port 21
      acl Safe_ports port 80
      acl Safe_ports port 443

      Copy to Clipboard Toggle word wrap

      기본적으로 구성에는 Safe_ports ACL에 정의되지 않은 포트에 대한 액세스 거부를 정의하는 http_access deny! Safe_ports 규칙이 포함됩니다.

   4. cache_dir 매개변수의 캐시 유형, 캐시 크기 및 추가 캐시 유형별 설정을 구성합니다.

      cache_dir ufs /var/spool/squid 10000 16 256

      Copy to Clipboard Toggle word wrap

      다음 설정이 필요합니다.

      • squid는 ufs 캐시 유형을 사용합니다.
      • squid는 해당 캐시를 /var/spool/squid/ 디렉터리에 저장합니다.
      • 캐시가 10000 MB까지 증가합니다.
      • squid는 /var/spool/squid/ 디렉터리에 16 level-1 하위 디렉터리를 생성합니다.

      • squid는 각 level-1 디렉토리에 256 개의 하위 디렉터리를 생성합니다.

        cache_dir 지시문을 설정하지 않으면 Squid가 캐시를 메모리에 저장합니다.

3. cache_dir 매개변수에서 /var/spool/squid/ 와 다른 캐시 디렉터리를 설정하는 경우:

   1. 캐시 디렉토리를 생성합니다.

      # mkdir -p path_to_cache_directory

      Copy to Clipboard Toggle word wrap

   2. 캐시 디렉토리에 대한 권한을 구성합니다.

      # chown squid:squid path_to_cache_directory

      Copy to Clipboard Toggle word wrap

   3. 강제 모드에서 SELinux를 실행하는 경우 캐시 디렉터리에 squid_cache_t 컨텍스트를 설정합니다.

      # semanage fcontext -a -t squid_cache_t "path_to_cache_directory(/.*)?"
      # restorecon -Rv path_to_cache_directory

      Copy to Clipboard Toggle word wrap

      시스템에서 semanage 유틸리티를 사용할 수 없는 경우 policycoreutils-python-utils 패키지를 설치합니다.

4. 방화벽에서 3128 포트를 엽니다.

   # firewall-cmd --permanent --add-port=3128/tcp
   # firewall-cmd --reload

   Copy to Clipboard Toggle word wrap

5. squid 서비스를 활성화하고 시작합니다.

   # systemctl enable --now squid

   Copy to Clipboard Toggle word wrap

절차

1. squid 패키지를 설치합니다.

   # yum install squid

   Copy to Clipboard Toggle word wrap

2. /etc/squid/squid.conf 파일을 편집합니다.

   1. basic_ldap_auth helper 유틸리티를 구성하려면 /etc/squid/squid.conf 상단에 다음 설정 항목을 추가합니다.

      auth_param basic program /usr/lib64/squid/basic_ldap_auth -b "cn=users,cn=accounts,dc=example,dc=com" -D "uid=proxy_user,cn=users,cn=accounts,dc=example,dc=com" -W /etc/squid/ldap_password -f "(&(objectClass=person)(uid=%s))" -ZZ -H ldap://ldap_server.example.com:389

      Copy to Clipboard Toggle word wrap

      다음은 위의 예제에서 basic_ldap_auth 도우미 유틸리티에 전달된 매개변수를 설명합니다.

      • -B base_DN 은 LDAP 검색 기반을 설정합니다.
      • -d proxy_service_user_DN 은 Squid가 디렉터리에서 인증 사용자를 검색하는 데 사용하는 계정의 DN(고유 이름)을 설정합니다.
      • -W path_to_password_file 은 프록시 서비스 사용자의 암호가 포함된 파일의 경로를 설정합니다. 암호 파일을 사용하면 운영 체제의 프로세스 목록에 암호가 표시되지 않습니다.

      • -F LDAP_filter 는 LDAP 검색 필터를 지정합니다. squid는 인증 사용자가 제공한 사용자 이름으로 %s 변수를 대체합니다.

        예제의 (&(objectClass=person)(uid=%s) 필터는 사용자 이름이 uid 특성에 설정된 값과 디렉터리 항목에 사람 오브젝트 클래스가 포함되어 있어야 함을 정의합니다.

      • -ZZ 는 STARTTLS 명령을 사용하여 LDAP 프로토콜을 통해 TLS 암호화 연결을 적용합니다. 다음과 같은 경우에는 -ZZ 를 생략하십시오.

        • LDAP 서버는 암호화된 연결을 지원하지 않습니다.
        • URL에 지정된 포트는 LDAPS 프로토콜을 사용합니다.
      • H LDAP_URL 매개 변수는 프로토콜, 호스트 이름 또는 IP 주소, LDAP 서버의 포트를 URL 형식으로 지정합니다.

   2. Squid가 인증된 사용자만 프록시를 사용하도록 허용하는 다음 ACL 및 규칙을 추가합니다.

      acl ldap-auth proxy_auth REQUIRED
      http_access allow ldap-auth

      Copy to Clipboard Toggle word wrap
      중요

      http_access deny 모든 규칙을 거부하기 전에 이러한 설정을 지정합니다.

   3. localnet ACL에 지정된 IP 범위에서 프록시 인증을 바이패스하려면 다음 규칙을 제거합니다.

      http_access allow localnet

      Copy to Clipboard Toggle word wrap

   4. 다음 ACL은 기본 구성에 존재하며 HTTPS 프로토콜을 사용하는 포트로 443 을 정의합니다.

      acl SSL_ports port 443

      Copy to Clipboard Toggle word wrap

      사용자가 다른 포트에서도 HTTPS 프로토콜을 사용할 수 있어야 하는 경우 다음 각 포트에 대한 ACL을 추가합니다.

      acl SSL_ports port port_number

      Copy to Clipboard Toggle word wrap

   5. acl Safe_ports 규칙 목록을 업데이트하여 Squid가 연결을 설정할 수 있는 포트를 구성합니다. 예를 들어 프록시를 사용하여 클라이언트가 포트 21(FTP), 80(HTTP) 및 443(HTTPS)의 리소스에만 액세스할 수 있도록 구성하려면 구성의 다음 acl Safe_ports 문만 유지합니다.

      acl Safe_ports port 21
      acl Safe_ports port 80
      acl Safe_ports port 443

      Copy to Clipboard Toggle word wrap

      기본적으로 구성에는 Safe_ports ACL에 정의되지 않은 포트에 대한 액세스 거부를 정의하는 http_access deny! Safe_ports 규칙이 포함됩니다.

   6. cache_dir 매개변수의 캐시 유형, 캐시 크기 및 추가 캐시 유형별 설정을 구성합니다.

      cache_dir ufs /var/spool/squid 10000 16 256

      Copy to Clipboard Toggle word wrap

      다음 설정이 필요합니다.

      • squid는 ufs 캐시 유형을 사용합니다.
      • squid는 해당 캐시를 /var/spool/squid/ 디렉터리에 저장합니다.
      • 캐시가 10000 MB까지 증가합니다.
      • squid는 /var/spool/squid/ 디렉터리에 16 level-1 하위 디렉터리를 생성합니다.

      • squid는 각 level-1 디렉토리에 256 개의 하위 디렉터리를 생성합니다.

        cache_dir 지시문을 설정하지 않으면 Squid가 캐시를 메모리에 저장합니다.

3. cache_dir 매개변수에서 /var/spool/squid/ 와 다른 캐시 디렉터리를 설정하는 경우:

   1. 캐시 디렉토리를 생성합니다.

      # mkdir -p path_to_cache_directory

      Copy to Clipboard Toggle word wrap

   2. 캐시 디렉토리에 대한 권한을 구성합니다.

      # chown squid:squid path_to_cache_directory

      Copy to Clipboard Toggle word wrap

   3. 강제 모드에서 SELinux를 실행하는 경우 캐시 디렉터리에 squid_cache_t 컨텍스트를 설정합니다.

      # semanage fcontext -a -t squid_cache_t "path_to_cache_directory(/.*)?"
      # restorecon -Rv path_to_cache_directory

      Copy to Clipboard Toggle word wrap

      시스템에서 semanage 유틸리티를 사용할 수 없는 경우 policycoreutils-python-utils 패키지를 설치합니다.

4. LDAP 서비스 사용자의 암호를 /etc/squid/ldap_password 파일에 저장하고 파일에 대한 적절한 권한을 설정합니다.

   # echo "password" > /etc/squid/ldap_password
   # chown root:squid /etc/squid/ldap_password
   # chmod 640 /etc/squid/ldap_password

   Copy to Clipboard Toggle word wrap

5. 방화벽에서 3128 포트를 엽니다.

   # firewall-cmd --permanent --add-port=3128/tcp
   # firewall-cmd --reload

   Copy to Clipboard Toggle word wrap

6. squid 서비스를 활성화하고 시작합니다.

   # systemctl enable --now squid

   Copy to Clipboard Toggle word wrap

1. auth_param 매개변수에 사용한 것과 동일한 설정으로 도우미 유틸리티를 수동으로 시작합니다.

   # /usr/lib64/squid/basic_ldap_auth -b "cn=users,cn=accounts,dc=example,dc=com" -D "uid=proxy_user,cn=users,cn=accounts,dc=example,dc=com" -W /etc/squid/ldap_password -f "(&(objectClass=person)(uid=%s))" -ZZ -H ldap://ldap_server.example.com:389

   Copy to Clipboard Toggle word wrap

2. 유효한 사용자 이름과 암호를 입력하고 Enter 키를 누릅니다.

   user_name password

   Copy to Clipboard Toggle word wrap

   도우미 유틸리티에서 OK 를 반환하는 경우 인증이 성공했습니다.

절차

1. 다음 패키지를 설치합니다.

   # yum install squid krb5-workstation

   Copy to Clipboard Toggle word wrap

2. AD 도메인 관리자로 인증합니다.

   # kinit administrator@AD.EXAMPLE.COM

   Copy to Clipboard Toggle word wrap

3. Squid의 키탭을 생성하여 /etc/squid/HTTP.keytab 파일에 저장하십시오.

   # export KRB5_KTNAME=FILE:/etc/squid/HTTP.keytab
   # net ads keytab CREATE -U administrator

   Copy to Clipboard Toggle word wrap

4. keytab에 HTTP 서비스 주체를 추가합니다.

   # net ads keytab ADD HTTP -U administrator

   Copy to Clipboard Toggle word wrap

5. keytab 파일의 소유자를 squid 사용자로 설정합니다.

   # chown squid /etc/squid/HTTP.keytab

   Copy to Clipboard Toggle word wrap

6. 필요한 경우 keytab 파일에 프록시 서버의 FQDN(정규화된 도메인 이름)에 대한 HTTP 서비스 주체가 포함되어 있는지 확인합니다.

     klist -k /etc/squid/HTTP.keytab
   Keytab name: FILE:/etc/squid/HTTP.keytab
   KVNO Principal
   ---- ---------------------------------------------------
   ...
      2 HTTP/proxy.ad.example.com@AD.EXAMPLE.COM
   ...

   Copy to Clipboard Toggle word wrap

7. /etc/squid/squid.conf 파일을 편집합니다.

   1. negotiate_kerberos_auth 도우미 유틸리티를 구성하려면 /etc/squid/squid.conf 의 상단에 다음 설정 항목을 추가하십시오.

      auth_param negotiate program /usr/lib64/squid/negotiate_kerberos_auth -k /etc/squid/HTTP.keytab -s HTTP/proxy.ad.example.com@AD.EXAMPLE.COM

      Copy to Clipboard Toggle word wrap

      다음은 위의 예제에서 negotiate_kerberos_auth 도우미 유틸리티로 전달되는 매개변수를 설명합니다.

      • -K 파일은 키 탭 파일의 경로를 설정합니다. squid 사용자는 이 파일에 대한 읽기 권한이 있어야 합니다.

      • -s HTTP/host_name@kerberos_realm 은 Squid가 사용하는 Kerberos 주체를 설정합니다.

        선택적으로 다음 매개변수 중 하나 또는 둘 다를 도우미 유틸리티에 전달하여 로깅을 활성화할 수 있습니다.

      • - 인증 사용자와 같은 정보 메시지를 기록합니다.

      • -D는 디버그 로깅을 활성화합니다.

        squid는 도우미 유틸리티의 디버깅 정보를 /var/log/squid/cache.log 파일에 기록합니다.

   2. Squid가 인증된 사용자만 프록시를 사용하도록 허용하는 다음 ACL 및 규칙을 추가합니다.

      acl kerb-auth proxy_auth REQUIRED
      http_access allow kerb-auth

      Copy to Clipboard Toggle word wrap
      중요

      http_access deny 모든 규칙을 거부하기 전에 이러한 설정을 지정합니다.

   3. localnet ACL에 지정된 IP 범위에서 프록시 인증을 바이패스하려면 다음 규칙을 제거합니다.

      http_access allow localnet

      Copy to Clipboard Toggle word wrap

   4. 다음 ACL은 기본 구성에 존재하며 HTTPS 프로토콜을 사용하는 포트로 443 을 정의합니다.

      acl SSL_ports port 443

      Copy to Clipboard Toggle word wrap

      사용자가 다른 포트에서도 HTTPS 프로토콜을 사용할 수 있어야 하는 경우 다음 각 포트에 대한 ACL을 추가합니다.

      acl SSL_ports port port_number

      Copy to Clipboard Toggle word wrap

   5. acl Safe_ports 규칙 목록을 업데이트하여 Squid가 연결을 설정할 수 있는 포트를 구성합니다. 예를 들어 프록시를 사용하여 클라이언트가 포트 21(FTP), 80(HTTP) 및 443(HTTPS)의 리소스에만 액세스할 수 있도록 구성하려면 구성의 다음 acl Safe_ports 문만 유지합니다.

      acl Safe_ports port 21
      acl Safe_ports port 80
      acl Safe_ports port 443

      Copy to Clipboard Toggle word wrap

      기본적으로 구성에는 Safe_ports ACL에 정의되지 않은 포트에 대한 액세스 거부를 정의하는 http_access deny! Safe_ports 규칙이 포함됩니다.

   6. cache_dir 매개변수의 캐시 유형, 캐시 크기 및 추가 캐시 유형별 설정을 구성합니다.

      cache_dir ufs /var/spool/squid 10000 16 256

      Copy to Clipboard Toggle word wrap

      다음 설정이 필요합니다.

      • squid는 ufs 캐시 유형을 사용합니다.
      • squid는 해당 캐시를 /var/spool/squid/ 디렉터리에 저장합니다.
      • 캐시가 10000 MB까지 증가합니다.
      • squid는 /var/spool/squid/ 디렉터리에 16 level-1 하위 디렉터리를 생성합니다.

      • squid는 각 level-1 디렉토리에 256 개의 하위 디렉터리를 생성합니다.

        cache_dir 지시문을 설정하지 않으면 Squid가 캐시를 메모리에 저장합니다.

8. cache_dir 매개변수에서 /var/spool/squid/ 와 다른 캐시 디렉터리를 설정하는 경우:

   1. 캐시 디렉토리를 생성합니다.

      # mkdir -p path_to_cache_directory

      Copy to Clipboard Toggle word wrap

   2. 캐시 디렉토리에 대한 권한을 구성합니다.

      # chown squid:squid path_to_cache_directory

      Copy to Clipboard Toggle word wrap

   3. 강제 모드에서 SELinux를 실행하는 경우 캐시 디렉터리에 squid_cache_t 컨텍스트를 설정합니다.

      # semanage fcontext -a -t squid_cache_t "path_to_cache_directory(/.*)?"
      # restorecon -Rv path_to_cache_directory

      Copy to Clipboard Toggle word wrap

      시스템에서 semanage 유틸리티를 사용할 수 없는 경우 policycoreutils-python-utils 패키지를 설치합니다.

9. 방화벽에서 3128 포트를 엽니다.

   # firewall-cmd --permanent --add-port=3128/tcp
   # firewall-cmd --reload

   Copy to Clipboard Toggle word wrap

10. squid 서비스를 활성화하고 시작합니다.

    # systemctl enable --now squid

    Copy to Clipboard Toggle word wrap

1. AD 계정에 대한 Kerberos 티켓을 받습니다.

   # kinit user@AD.EXAMPLE.COM

   Copy to Clipboard Toggle word wrap

2. 선택적으로 티켓을 표시합니다.

   # klist

   Copy to Clipboard Toggle word wrap

3. negotiate_kerberos_auth_test 유틸리티를 사용하여 인증을 테스트합니다.

   # /usr/lib64/squid/negotiate_kerberos_auth_test proxy.ad.example.com

   Copy to Clipboard Toggle word wrap

   도우미 유틸리티에서 토큰을 반환하면 인증이 성공했습니다.

   Token: YIIFtAYGKwYBBQUCoIIFqDC...

   Copy to Clipboard Toggle word wrap

절차

1. /etc/squid/squid.conf 파일을 편집하고 다음 설정을 추가합니다.

   acl domain_deny_list dstdomain "/etc/squid/domain_deny_list.txt"
   http_access deny all domain_deny_list

   Copy to Clipboard Toggle word wrap
   중요

   사용자 또는 클라이언트에 대한 액세스를 허용하는 첫 번째 http_access allow 문 앞에 이러한 항목을 추가합니다.

2. /etc/squid/domain_deny_list.txt 파일을 만들고 차단하려는 도메인을 추가합니다. 예를 들어 하위 도메인을 포함한 example.com 에 대한 액세스를 차단하고 example.net 을 차단하려면 다음을 추가합니다.

   .example.com
   example.net

   Copy to Clipboard Toggle word wrap
   중요

   squid 구성에서 /etc/squid/domain_deny_list.txt 파일을 참조하는 경우 이 파일은 비워서는 안 됩니다. 파일이 비어 있으면 Squid가 시작되지 않습니다.

3. squid 서비스를 다시 시작하십시오.

   # systemctl restart squid

   Copy to Clipboard Toggle word wrap

절차

1. /etc/squid/squid.conf 파일을 편집합니다.

   • Squid 서비스가 수신 대기하는 포트를 설정하려면 http_port 매개 변수에 포트 번호를 설정합니다. 예를 들어 포트를 8080 으로 설정하려면 다음을 설정합니다.

     http_port 8080

     Copy to Clipboard Toggle word wrap

   • Squid 서비스가 수신 대기하는 IP 주소를 구성하려면 http_port 매개변수에서 IP 주소 및 포트 번호를 설정합니다. 예를 들어 Squid가 포트 3128 의 192.0.2.1 IP 주소에서만 수신 대기하도록 구성하려면 다음을 설정합니다.

     http_port 192.0.2.1:3128

     Copy to Clipboard Toggle word wrap

     구성 파일에 여러 http_port 매개 변수를 추가하여 Squid가 여러 포트 및 IP 주소에서 수신 대기하도록 구성합니다.

     http_port 192.0.2.1:3128
     http_port 192.0.2.1:8080

     Copy to Clipboard Toggle word wrap

2. Squid가 기본값(3128)으로 다른 포트를 사용하도록 구성한경우:

   1. 방화벽에서 포트를 엽니다.

      # firewall-cmd --permanent --add-port=port_number/tcp
      # firewall-cmd --reload

      Copy to Clipboard Toggle word wrap

   2. 강제 모드에서 SELinux를 실행하는 경우 포트를 squid_port_t 포트 유형 정의에 할당합니다.

      # semanage port -a -t squid_port_t -p tcp port_number

      Copy to Clipboard Toggle word wrap

      시스템에서 semanage 유틸리티를 사용할 수 없는 경우 policycoreutils-python-utils 패키지를 설치합니다.

3. squid 서비스를 다시 시작하십시오.

   # systemctl restart squid

   Copy to Clipboard Toggle word wrap