¿Configurar Squid como un proxy de reenvío HTTPS?

9

Aquí hay algunos antecedentes sobre mi problema:

  • Tengo un servicio web que se ejecuta en Heroku, con una dirección IP dinámica. Las IP estáticas en Heroku no son una opción.
  • Necesito conectarme a un servicio web externo que está detrás de un firewall. Las personas que operan el servicio web externo solo abrirán su firewall a una IP estática específica.

Mi intento de solución es usar Squid en un servidor separado con una IP estática para reenviar las solicitudes de proxy de Heroku al servicio externo. De esa manera, el servicio externo siempre ve la IP estática del servidor proxy, en lugar de la IP dinámica del servicio Heroku.

Dado que mi servidor proxy no puede confiar en una dirección IP para la autenticación (¡ese es el problema para empezar!), Debe confiar en un nombre de usuario y contraseña. Además, el nombre de usuario y la contraseña no se pueden transmitir en texto claro, porque si un atacante interceptara ese texto claro, entonces podría conectarse a mi proxy fingiendo ser yo, realizar solicitudes salientes utilizando la IP estática de mi proxy y así evadir cortafuegos del servicio web.

Por lo tanto, el proxy Squid solo debe aceptar conexiones a través de HTTPS, no HTTP. (La conexión al servicio web externo puede ser HTTP o HTTPS).

Estoy ejecutando Squid 3.1.10 en CentOS 6.5.x, y aquí está mi squid.confhasta ahora. Solo para propósitos de resolución de problemas, he habilitado temporalmente el proxy HTTP y HTTPS, pero solo quiero usar HTTPS.

#
# Recommended minimum configuration:
#
acl manager proto cache_object
acl localhost src 127.0.0.1/32 ::1
acl to_localhost dst 127.0.0.0/8 0.0.0.0/32 ::1

# Example rule allowing access from your local networks.
# Adapt to list your (internal) IP networks from where browsing
# should be allowed
acl localnet src 10.0.0.0/8 # RFC1918 possible internal network
acl localnet src 172.16.0.0/12  # RFC1918 possible internal network
acl localnet src 192.168.0.0/16 # RFC1918 possible internal network
acl localnet src fc00::/7       # RFC 4193 local private network range
acl localnet src fe80::/10      # RFC 4291 link-local (directly plugged) machines

acl SSL_ports port 443
acl Safe_ports port 80      # http
acl Safe_ports port 21      # ftp
acl Safe_ports port 443     # https
acl Safe_ports port 70      # gopher
acl Safe_ports port 210     # wais
acl Safe_ports port 1025-65535  # unregistered ports
acl Safe_ports port 280     # http-mgmt
acl Safe_ports port 488     # gss-http
acl Safe_ports port 591     # filemaker
acl Safe_ports port 777     # multiling http
acl CONNECT method CONNECT

# Authorization

auth_param digest program /usr/lib64/squid/digest_pw_auth -c /etc/squid/squid_passwd
auth_param digest children 20 startup=0 idle=1
auth_param digest realm squid
auth_param digest nonce_garbage_interval 5 minutes
auth_param digest nonce_max_duration 30 minutes
auth_param digest nonce_max_count 50

acl authenticated proxy_auth REQUIRED

#
# Recommended minimum Access Permission configuration:
#
# Only allow cachemgr access from localhost
http_access allow manager localhost
http_access deny manager

# Deny requests to certain unsafe ports
http_access deny !Safe_ports

# Deny CONNECT to other than secure SSL ports
http_access deny CONNECT !SSL_ports

# We strongly recommend the following be uncommented to protect innocent
# web applications running on the proxy server who think the only
# one who can access services on "localhost" is a local user
#http_access deny to_localhost

#
# INSERT YOUR OWN RULE(S) HERE TO ALLOW ACCESS FROM YOUR CLIENTS
#

# Example rule allowing access from your local networks.
# Adapt localnet in the ACL section to list your (internal) IP networks
# from where browsing should be allowed
#http_access allow localnet
#http_access allow localhost
http_access allow authenticated

# And finally deny all other access to this proxy
http_access deny all

# Squid normally listens to port 3128
http_port 3128

https_port 3129 cert=/etc/squid/ssl/cert.pem key=/etc/squid/ssl/key.pem

# We recommend you to use at least the following line.
hierarchy_stoplist cgi-bin ?

# Disable all caching
cache deny all

# Uncomment and adjust the following to add a disk cache directory.
#cache_dir ufs /var/spool/squid 100 16 256

# Leave coredumps in the first cache dir
coredump_dir /var/spool/squid

# Add any of your own refresh_pattern entries above these.
refresh_pattern ^ftp:       1440    20% 10080
refresh_pattern ^gopher:    1440    0%  1440
refresh_pattern -i (/cgi-bin/|\?) 0 0%  0
refresh_pattern .       0   20% 4320

Al usar esta configuración, el proxy HTTP funciona bien, pero el proxy HTTPS no.

Aquí hay una solicitud de proxy HTTP de un cuadro local:

$ curl --proxy http://my-proxy-server.example:3128 \
  --proxy-anyauth --proxy-user redacted:redacted -w '\n' \
  http://urlecho.appspot.com/echo?body=OK
OK

Bien, eso es lo que esperaba. Esto da como resultado una línea en /var/log/squid/access.log:

1390250715.137     41 my.IP.address.redacted TCP_MISS/200 383 GET http://urlecho.appspot.com/echo? redacted DIRECT/74.125.142.141 text/html

Aquí hay otra solicitud, esta vez con HTTPS:

$ curl --proxy https://my-proxy-server.example:3129 \
  --proxy-anyauth --proxy-user redacted:redacted -w '\n' \
  http://urlecho.appspot.com/echo?body=OK

curl: (56) Recv failure: Connection reset by peer

Nada access.logdespués de este, pero en cache.log:

2014/01/20 20:46:15| clientNegotiateSSL: Error negotiating SSL connection on FD 10: error:1407609C:SSL routines:SSL23_GET_CLIENT_HELLO:http request (1/-1)

Aquí está lo anterior de nuevo, más detalladamente:

$ curl -v --proxy https://my-proxy-server.example:3129 \
  --proxy-anyauth --proxy-user redacted:redacted -w '\n' \
  http://urlecho.appspot.com/echo?body=OK
* Adding handle: conn: 0x7f9a30804000
* Adding handle: send: 0
* Adding handle: recv: 0
* Curl_addHandleToPipeline: length: 1
* - Conn 0 (0x7f9a30804000) send_pipe: 1, recv_pipe: 0
* About to connect() to proxy my-proxy-server.example port 3129 (#0)
*   Trying proxy.server.IP.redacted...
* Connected to my-proxy-server.example (proxy.server.IP.redacted) port 3129 (#0)
> GET http://urlecho.appspot.com/echo?body=OK HTTP/1.1
> User-Agent: curl/7.30.0
> Host: urlecho.appspot.com
> Accept: */*
> Proxy-Connection: Keep-Alive
> 
* Recv failure: Connection reset by peer
* Closing connection 0

curl: (56) Recv failure: Connection reset by peer

Parece un error SSL. Sin embargo, estoy reutilizando un certificado SSL de subdominio-comodín, que se muestra en la configuración anterior como cert.pemy key.pem, que he implementado con éxito en otros servidores web. Además, acceder al servidor proxy directamente con curl funciona, o al menos establece una conexión más allá de la etapa SSL:

$ curl https://my-proxy-server.example:3129
<!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.01//EN" "http://www.w3.org/TR/html4/strict.dtd">
<html><head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8">
<title>ERROR: The requested URL could not be retrieved</title>

[--SNIP--]

<div id="content">
<p>The following error was encountered while trying to retrieve the URL: <a href="https://serverfault.com/">/</a></p>

<blockquote id="error">
<p><b>Invalid URL</b></p>
</blockquote>

<p>Some aspect of the requested URL is incorrect.</p>

<p>Some possible problems are:</p>
<ul>
<li><p>Missing or incorrect access protocol (should be <q>http://</q> or similar)</p></li>
<li><p>Missing hostname</p></li>
<li><p>Illegal double-escape in the URL-Path</p></li>
<li><p>Illegal character in hostname; underscores are not allowed.</p></li>
</ul>

[--SNIP--]

¿Alguna idea de lo que estoy haciendo mal? ¿Es posible lo que intento? Gracias por adelantado.

proxy  https  squid  heroku 
— David
fuente
2
No creo que así sea como se supone que Squid funcione. Debería poder realizar una solicitud HTTP o HTTPS a través de una conexión HTTPS. No veo nada en la documentación que sugiera lo contrario. De todos modos, probé lo que sugieres de todos modos, y no funcionó (el mismo resultado que el anterior).
— David
Mi comentario anterior fue en respuesta a los comentarios de otro usuario que parecen haber sido eliminados. Solo quería señalar que publiqué
— David
Como alguien que tenía un escenario similar, probamos el enfoque proxy, logramos y luego preferimos mover la aplicación lejos de Heroku a un proveedor como máquina virtual / dedicada con una IP estática. Hay una sobrecarga adicional de mantener un servidor proxy directo solo para este propósito.
— Shyam Sundar CS

Respuestas:

1

@David, según su hilo en Squid ML : sugeriría ir con la solución Stunnel. Su autenticación sería los certificados SSL en ambos extremos del túnel, el resto va "texto claro" dentro de ese túnel, o podría hacer un resumen como desee.

He utilizado una solución similar para "autenticar" puntos finales NFS con gran éxito.

El uso de muestra de dicha autenticación se puede ver en la Comunicación segura de LinuxGazette con stunnel

— Droopy4096
fuente
1

Puedes ver cómo se hace en esta pequeña imagen de Docker: yegor256 / squid-proxy . El problema con su código es que la configuración va después de las aclinstrucciones. Simplemente cámbielos y todo comienza a funcionar.

— yegor256
fuente
Al usar nuestro sitio, usted reconoce que ha leído y comprende nuestra Política de Cookies y Política de Privacidad.
Licensed under cc by-sa 3.0 with attribution required.