From: Николай Емашев
Date: Mon, 25 May 2009 17:02:14 +0000 (UTC)
Subject: Создаём шлюз с системой учёта трафика на слабом компьютере
Материал предоставлен редакцией журнала Системный администратор.
Опубликовано в журнале "Системный администратор" N 3 2009
Как поставить и настроить шлюз для небольшой сети на основе FreeBSD.
Вводные данные
Собственно, что мы имеем:
* локальная сеть из 60 машин, из которых только 15-20 нужно выпускать
в Интернет;
* старенький компьютер (процессор Celeron 1100 МГц, 256 Мб RAM, 30 Гб
HDD, хотя стабильно работало на процессоре PII 300 МГц, только сеть не
более 9-10 машин).
Задачи:
* организовать доступ в Интернет для 20 машин из сети;
* вести детальную статистику по трафику;
* отключать пользователя при превышении лимита;
* настроить доступ по MAC-адресу;
* резать рекламу и нежелательные сайты для сокращения расходов трафика.
Теперь все по порядку. Ввиду слабенького оборудования ставить будем
FreeBSD. Многие, конечно, скажут, что для такого железа может и Gentoo
пойти, но, на мой взгляд, FreeBSD является более гибкой в этом
отношении. Итак, приступим...
Установка и настройка
Как установить систему, я объяснять не буду, это не должно вызывать
вопросов, скажу лишь, что для логов нужно выделять размер побольше.
Если с этим сложности - handbook вам в помощь.
Если вы выдержали установку, приступаем к настройке сети. Первым делом
поставим веб-сервер и PHP - пригодятся для сбора статистики. Возможно,
придется поставить PHP5 EXTENSIONS.
Ставим прокси-сервер SQUID:
# cd /usr/ports/www/squid/
По умолчанию ставится версия 2.7, другие версии находятся на каталог
выше.
Далее даем команду:
# make install clean
Выбираем опции:
SQUID_DELAY_POOLS Enable delay pools - ограничение пользователям
скорости канала.
SQUID_FOLLOW_XFF Follow X-Forwarded-For headers - разрешить
изменение http-заголовков. Может понадобиться, если вы захотите скрыть
от общественности свой прокси-сервер.
Все остальное можно оставить как есть.
Замечание: чтобы впоследствии было меньше проблем с настройкой учетных
записей пользователей, будем делать прозрачный прокси.
Так, установили, теперь поставим статистику (кто какие сайты посещал,
какой объем данных скачал и т. п.). Выбирать скрипт для сбора
статистики - дело каждого. Их достаточное количество, но, по моему
мнению, заслуживают внимания только LightSquid и Free-SA. Расскажу
вкратце о них.
LightSquid
Запуская программу, мы получаем следующие отчёты:
* Количество соединений и скачанных байт в день, в месяц и в год по
каждому пользователю, для группы и для прокси-сервера в целом.
* Популярные сайты дня, месяца и года. В этом отчёте приятно
порадовала возможность сортировки списка по количеству запросов либо по
объёму данных.
* Таблица времени доступа пользователей к сайтам, то есть время
активности в Интернете.
* Отчёт о "больших" скачанных файлах.
Также хочется отметить удобный интерфейс.
Интерфейс LightSquid
Из недостатков можно отметить низкую скорость обработки логов и, как
было замечено на многих форумах, плохую работу с большими логами Squid,
что приводит порой к неправильному подсчету. Эту проблему мы исправим
позже - будем делать ротацию логов.
Free-SA
Написан на языке Си, по функциональности и назначению похож на
LightSquid. Главное отличие - скорость формирования отчетов от 7 до 20
раз выше по сравнению с LightSquid (7х - для 50 Мб файла access.log,
20x - для 1 Гб).
Присутствуют дополнительные отчеты (в том числе для оценки
эффективности сервера), изменяемые "на лету" темы оформления, имеется
поддержка различных форматов файлов журналов (Squid, CLF, Postfix,
Qmail, CGP). Доступен в портах. Сайт - http://free-sa.sourceforge.net
Может осуществлять:
* контроль расхода трафика по пользователям;
* контроль выполнения политик безопасности (в части доступа к ресурсам Интернета);
* оценку эффективности работы серверов.
Но о Free-SA поговорим в следующий раз, пока рассмотрим вопрос о сборе
статистики, имея слабый компьютер. Я не говорю, что эта программа будет
плохо работать, но LightSquid по своей функциональности устраивает меня
больше.
Эти программы локализованы, могут предоставлять отчеты в графическом
виде, поддерживают шаблоны. Их можно использовать вместе, но, по-моему,
это так же, как велосипеду поставить дополнительные колеса...
Я остановился на Light Squid - для небольшой сети это, пожалуй, самый
оптимальный вариант, и скрипты для лимита по трафику также будут под
эту статистику.
Работа с LightSquid
По установке вопросов обычно не возникает, ежели возникнут - скажу
словами Фоменко: "Если руки золотые, то не важно, откуда они растут"
- обращайтесь к документации.
# /usr/ports/www/lightsquid
# make install clean
Приступим к настройке. Для начала в httpd.conf добавим alias, чтобы
можно было обратиться к нему из браузера:
Alias /statistica "/usr/local/www/lightsquid"
<Directory "/usr/local/www/lightsquid">
AddHandler cgi-script .cgi
AllowOverride All
</Directory>
Позже статистику можно посмотреть, набрав в браузере:
http://your_server/statistica.
Далее необходимо немножко подправить конфигурационный файл:
/usr/local/etc/lightsquid/lightsquid.cfg. Он небольшой, основное
внимание следует обратить на следующие строки:
Домены и IP, с которых не будет собираться статистика - у меня это
внутренние ресурсы провайдера, где не идет учет трафика. На работе -
служебные сайты.
$lang ="ru-koi8";
Язык в кодировке koi8, если поставить "$lang ="ru"", то будет в
windows-1251. У меня в koi8, потому что я редактирую списки
пользователей через консоль, которая в этой самой кодировке. Если
выбрать потом "ru", то получатся крякозяблы.
$templatename ="ric";
Html-шаблон можно будет скачать на сайте журнала [2]www.samag.ru в
разделе "Исходный код". Стандартный не очень блещет красотой
дизайнерской мысли:
$bigfilelimit = 20*1024*1024;
Какие файлы будем считать большими - у меня 20 Мб.
$perusertrafficlimit = 300*1024*1024;
Лимит трафика в день на пользователя, его, конечно, не отключат, но в
статистике он будет выделен как враг народа, определенным цветом. Так
что можно знать - кто в рабочее время больше всего расхищает трафик.
В папке /usr/local/etc/lightsquid находятся настройки групп
пользователей, так как у нас сеть небольшая, то их мы не будем
затрагивать. Внесем изменения только в realname.cfg. Формат записи
такой - "IP-адрес имя", например:
192.168.2.7 Есин Виктор
192.168.2.8 Калинин Владимир
Статистику теперь можно получать, запуская скрипт
/usr/local/www/lightsquid/lightparser.pl, что не очень удобно, поэтому
его следует добавить в задания cron (команда "crontab -e"), но об
этом чуть позже.
Настройка коллектора для сбора трафика, идущего в обход прокси-сервера
Прокси-сервер со статистикой теперь есть (далее сделаем его
прозрачным). Как известно, в лог попадает в основном http-трафик, но
как быть с той категорией пользователей, которые могут и с других
сервисов (ftp, jabber, почта, ssh-трафик и т. п.) тонны данных
скачать?! Некоторое время я бился над этой проблемой, пока... как-то
вечером гугля в Интернете в поисках очередной программы, улучшившей бы
мне жизнь, не наткнулся на ipcad ([3]http://lionet.info/ipcad). Вкратце
- он сможет посчитать трафик, идущий в обход прокси, и записать его в
логи Squid. Программа имеется в портах - /usr/ports/net-mgmt/ipcad.
Помимо ipcad есть еще много коллекторов, но пересборка ядра, куча
ненужных перловых скриптов, web-gui с базой MySQL и несколько убитых
банок пива меня как-то не вдохновили. Поэтому пойдем по пути
наименьшего сопротивления.
После установки коллектора добавим его в автозагрузку:
# echo 'ipcad_enable="YES"' " /etc/rc.conf
Теперь правим конфигурационный файл /usr/local/etc/ipcad.conf
capture-ports enable;
// Интерфейс заменить на свой
interface rl0 filter "ip and dst net 192.168.2.0/24 and not src net 192.168.2.0/24";
// Считаем все адреса
aggregate 0.0.0.0/0 strip 32;
// Теперь укажем, какие порты как отображать
aggregate 1-19 into 65535;
aggregate 20-21 into 21;
aggregate 22-23 into 22;
aggregate 25 into 25;
aggregate 24 into 65535;
aggregate 26-79 into 65535;
aggregate 80-81 into 0;
aggregate 82-109 into 65535;
aggregate 110 into 110;
aggregate 111-442 into 65535;
aggregate 443 into 443;
aggregate 444-3127 into 65535;
aggregate 3128 into 0;
aggregate 3129-65535 into 65535;
// Настройки rsh-сервера, с помощью которого будет просматриваться статистика
rsh enable at 127.0.0.1;
rsh root@127.0.0.1 admin;
rsh root@127.0.0.1 backup;
rsh root@127.0.0.1;
rsh 127.0.0.1 view-only;
rsh ttl = 3;
rsh timeout = 30;
chroot = /var/log/ipcad;
dumpfile = ipcad.dump;
pidfile = ipcad.pid;
Скрипт для запуска назовем ipcad.sh и разместим в /usr/local/scripts.
Для удобства строки пронумерованы:
1. #!/bin/sh
2. # Диапазон адресов локальной cети, указываем подсеть
3. net="192.168.2"
4. ttime=`/usr/bin/rsh localhost sh ip acco|grep 'Accounting data saved'|awk '{print ($4)}'`
5. /usr/bin/rsh localhost clear ip accounting
6. /usr/bin/rsh localhost show ip accounting checkpoint|grep $net|awk /
-v vtime=$ttime '{print (vtime".000",1,$2,"TCP_MISS/200",$4,"CONNECT",$1":"$5,"-","DIRECT/"$1,"-")}'
"/usr/local/squid/logs/access.log
Делаем прокси-сервер прозрачным и настраиваем брандмауэр. Так,
определимся с брандмауэром, для этого нужно пересобрать ядро с опциями:
options IPFIREWALL
# Логгинг пакетов, если в правиле написано `log`
options IPFIREWALL_VERBOSE
# Защита от атак типа флудинга
options IPFIREWALL_VERBOSE_LIMIT=50
# Перенаправление пакетов
options IPFIREWALL_FORWARD
# Трансляция адресов
options IPDIVERT
# Разрешающее последнее правило, что делает брандмауэр открытым
# (на случай каких-либо ошибок в конфигурационных скриптах)
options IPFIREWALL_DEFAULT_TO_ACCEPT
Нам брандмауэр понадобится в основном для настройки прозрачного прокси,
доступ остальных пользователей к серверу будет контролироваться по
MAC-адресам сетевых карт.
Если хотите защитить свой сервер от атак извне (хотя маловероятно для
обычного шлюза на несколько машин, другое дело сервер в крупной
компании, но чем черт не шутит), можно воспользоваться готовым
конфигурационным файлом. Взять можно здесь: http://www.lissyara.su/?id=1127.
Если не хочется возиться со всеми настройками, подойдет и такой:
# Сбросим список
ipfw -q -f flush
# Установим префикс команды для набора правил
cmd="ipfw add"
# squid
# Разрешаем исходящий трафик с сервера
$cmd 50 allow all from me to any
# Разрешаем входящий трафик к серверу
$cmd 50 allow all from any to me
# Делаем прозрачный прокси
$cmd 100 fwd 127.0.0.1,3128 tcp from 192.168.2.0/24 to any 80
Чтобы брандмауэр нормально выполнял эти правила, их нужно поместить в
файл.
К примеру, в /usr/local/scripts/firewall.sh, сделать его исполняемым:
Хотя он у меня лежит в /usr/local/etc/firewall.sh, но это кому как
удобнее.
Контроль доступа к серверу по MAC-адресам
Следующим этапом нужно сделать доступ к нашему шлюзу только избранным,
которые потом и кровью выбивали у начальства старенький Celeron ну или
приносили пиво админу, когда он пытался заставить его нормально
работать.
Делать это будем при помощи arp. Вкратце - это программа, которая
сопоставляет IP-адреса с их физическими адресами. Как ею пользоваться и
с чем применять, я рассказывать не буду - это дело отдельной статьи,
тут укажу лишь последовательность действий с объяснением
конфигурационного файла. Если нужно что-то еще, то поможет man arp,
если с английским плохо - поиск по [5]opennet.ru.
Результат ее выполнения запишет файл mac_control, в котором с
IP-адресами будут сопоставляться их физические адреса. (Если все машины
в сети включены или хотябы те, которые нам нужны.) Далее немного
подправим его руками - удалим IP, которым знать о существовании нашего
сервера совсем не обязательно.
Если адреса нужного компьютера не оказалось в списке, достаточно
пропинговать его, затем посмотреть на вывод команды "arp -a".
Очистим arp-таблицу и заполним ее из нашего файла:
# arp -d -a
# arp -f /usr/local/etc/mac_control
Но каждый раз это проделывать как-то не по-нашему, так что, погуглив, я
набрел на скрипт автозапуска.
Создадим такой файл - /usr/local/etc/rc.d/staticarp.sh и сделаем его
исполняемым:
#!/bin/sh
# Static ARP-table loader
# http://www.opennet.ru/base/net/arp_fix_bsd.txt.html
# Сергей Супрунов amsand@yandex.ru.
case $1 in
start)
arp -d -a > /dev/null
arp -f /usr/local/etc/mac_control > /dev/null
echo 'Static ARP-table is loaded'
;;
stop)
arp -d -a > /dev/null
echo 'Static ARP-table is unloaded'
;;
restart)
arp -d -a > /dev/null
arp -f /usr/local/etc/mac_control > /dev/null
echo 'Static ARP-table is reloaded'
;;
status)
arp -an
;;
*)
echo "Usage: `basename $0` {start|stop|restart|status}" >&2
;;
esac
exit 0
Сейчас нужно сделать так, чтобы другие компьютеры вообще не замечали
наш сервер, для этого в rc.conf пропишем для локальной cети:
где rl0 - внутренний интерфейс. То есть сервер не будет делать
arp-запросы на этом интерфейсе, и те компьютеры, которые не окажутся в
файле, видеть его не смогут.
Теперь остальным будет трудновато достучаться до нашего шлюза. Если
только пытать не будут.
Настройка прокси-сервера
Многие тут же скажут: почему бы еще не установить squidGuard или
rejik3? Я, конечно, не против этого, скорее даже за, но запускать все
это на старенькой машине не решился. Если хотите - в Сети полно статей
на эту тему, все решается добавлением пары строк в конфигурационный
файл прокси-сервера. Я же опишу, как сделать редиректы средствами
самого Squid.
Следующй этап - правка squid.conf. Вы спросите, почему сейчас, а не в
начале статьи? Потому что не совсем удобно после установки
определенного софта каждый раз приводить его куски. К тому же многие
новички боятся настраивать Squid, посмотрев на конфигурационный файл, а
он ни много ни мало несколько десятков страниц А4. Все это потому, что
в нем находятся примеры настроек и man. Поэтому вот мой рабочий
конфигурационный файл с подробными комментариями:
# СЕТЕВЫЕ ОПЦИИ
# Указываем, на каком порту будет крутиться наш прокси и делаем его прозрачным
# Ротация логов (не забудьте добавить задание в cron)
logfile_rotate 1
# НАСТРОЙКИ ДЛЯ ВНЕШНИХ ПРОГРАММ
# Под каким анонимным пользователем заходить на ftp
ftp_user anonimous@mail.ru
# Ширина листинга ftp
ftp_list_width 64
# Пассивный или активный режимы
ftp_passive off
hosts_file /etc/hosts
# ТОНКАЯ НАСТРОЙКА КЭША
# Используется для определения устаревания объекта в кэше
# (подробнее о значениях можно узнать здесь - http://www.bog.pp.ru/work/squid.html)
refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern . 0 20% 4320
# Некоторые негативные ответы тоже кэшируются - connection refused и 404 not found - ttl
# задает их время жизни в кэше
negative_ttl 5 minutes
positive_dns_ttl 15 hours
negative_dns_ttl 1 minute
# КОНТРОЛЬ ДОСТУПА
# -------------------------------------------------------
#acl password proxy_auth REQUIRED
acl fileupload req_mime_type -i ^multipart/form-data$
acl javascript rep_mime_type -i ^application/x-javascript$
# Обозначаем диапазоны адресов:
acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl to_localhost dst 127.0.0.0/8
# К каким портам разрешать доступ
acl SSL_ports port 443 563 5223
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 5190 # icq
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl Safe_ports port 5222 # jabber
acl Safe_ports port 1025-65535 # unregistered ports
acl CONNECT method CONNECT
# Only allow cachemgr access from localhost
http_access allow manager localhost
http_access deny manager
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_reply_access allow all
icp_access allow all
# АДМИНСКИЕ ПАРАМЕТРЫ
# Почтовый адрес, на который будет послано письмо, если в Squid возникнут проблемы
cache_mgr schmel@xak-faq.info
# Если запустить Squid от имени root, то поменять UID на указанный
cache_effective_user squid
# Не показывать версию Squid
httpd_suppress_version_string on
# Отображаемое имя хоста
visible_hostname unknown
# Память для пулов, можете поставить свое значение, в зависимости от мощности машины
# memory_pools on
# memory_pools_limit 25 MB
# Скрываем, что идем через прокси
forwarded_for off
header_access Via deny all
# Сбор статистики о клиентах
client_db on
coredump_dir /usr/local/squid/cache
## НАСТРОЙКА ПУЛОВ И ДОСТУПА К ОПРЕДЕЛЕННЫМ САЙТАМ##
# В этом файле записываются url, которым мы не будем резатьскорость
# (чаще - это внутренние ресурсы провайдера)
acl provider url_regex -i "/usr/local/etc/squid/acl/provider"
# Белый список
acl good_url url_regex "/usr/local/etc/squid/acl/good_url"
# Список слов, запрещенных в url
acl bad_urlpath urlpath_regex "/usr/local/etc/squid/acl/bad_urlpath"
# Список запрещенных сайтов
acl bad_url url_regex "/usr/local/etc/squid/acl/bad_url"
# Список сайтов с клубничкой
acl porno_url url_regex "/usr/local/etc/squid/acl/porno_url"
# Все вышеперечисленные файлы можно брать из баз rejik или SquidGuard
# Доступ к локальному веб-серверу (для статистики и ошибок)
acl web_server_users src 192.168.2.0/24
acl web_server src 192.168.2.1
http_access allow good_url
http_access allow provider
# А здесь - наоборот, режем до минимума тем, кто решил закачку на ночь поставить
#delay_class 2 2
# Первые 50 Кб - на максимальной скорости, далее не более 4 Кбс
#delay_parameters 2 -1/-1 4000/50000
#delay_access 2 allow !day InternetUsers !admin
#delay_access 2 deny all
# ---------------------------
http_access allow admin
# Разрешим пользователям внутренней сети доступ к веб-серверу, для
# отображения статистики и ошибок
http_access allow web_server_users web_server
# Блокировка пользователей, которые превысили лимит (файл user-deny),
# и разрешение доступа только к тем IP и сайтам, которые перечислены в файле
# no_quota_url
http_access allow InternetUsers !banusers
http_access allow no_quota banusers
http_access deny banusers all
http_access deny all
# Cоздадим файл ERR_DENIED. Представляет собой html-страницу с грозными заявлениями о вреде расхищения
# корпоративного трафика. Поместить в папку с другими ошибками (например /usr/local/etc/squid/errors/Russian-1251)
deny_info ERR_DENIED all
## РЕДИРЕКТОР ##
# Если вы все-таки решили установить rejik
#url_rewrite_program /usr/local/rejik/redirector /usr/local/rejik/redirector.conf
#url_rewrite_children 15
# Директория с ошибками
error_directory /usr/local/etc/squid/errors/Russian-1251
Отключение пользователей, превысивших лимит
Создадим скрипт отключения пользователей, превысивших квоту на трафик.
Статистика будет сниматься с LightSquid (конфигурационный файл и
скрипты взяты с opennet.ru).
В /etc/squid создадим папку traf_limit и в ней создадим два файла:
traf_limit.pl
#!/usr/bin/perl
# Довесок на LightSquid Project (c) 2004-2005 Sergey Erokhin aka ESL
# Скрипт создает файл user_deny для ограничения Интернета по трафику
# Автор: Иван Лонин loninia@apksouz.ru 2008 год
use File::Basename;
# Не очень хорошо напрямую писать путь к конфигурационному файлу, но не
# хотелось sh-файл для сron делать
open FF,"<$daypath/.total";
$totaluser=<FF>;chomp $totaluser;$totaluser=~s/^user: //;
$totalsize=<FF>;chomp $totalsize;$totalsize=~s/^size: //;
while (<FF>) {
($user,$size,$hit)=split;
$h{$user}{size}+=$size;
$h{$user}{hit}+=$hit;
}
close FF;
}
#
$cummulative=0;
open RES,">$res_file";
print RES "# файл содержит пользователей, превысивших квоту.n
# автоматически переписывается скриптом
traf_limit.plndolzhen_bit_odin_usern";
foreach $user (sort {$h{$b}{size}<=>$h{$a}{size}} keys %h) {
$all4user=$h{$user}{size}/1024/1024;
if ($vip_user{$user}{size} > 0) {
$limit=$vip_user{$user}{size};
}else{
$limit=$all_limit;
}
if ($all4user >= $limit) {
print RES "$usern";
# print "$h{$user}{size}n";
};
}
И конфигурационный файл для скрипта traf_limit.pl -
/etc/squid/traf_limit/config:
#!/usr/bin/perl
# путь к логам lightsquid
$log_path="/www/lightsquid/report";
# Файл, в который пишутся пользователи, превысившие лимит
$res_file="/usr/local/etc/squid/acl/user_deny";
# Лимит трафика в мегабайтах
$all_limit=1500;
# Привилегированные пользователи с повышенным или пониженным
# лимитом для каждого пользователя строка формата:
#$vip_user={<имя_пользователя}{size}=<лимит_в_мегабайтах>;
$user1="192.168.2.3";
$vip_user{user1}{size}=7000;
Следует отметить, что пользователя, превысившего лимит, отключат только
после того, как выполнится скрипт. Так что, если вам дорог каждый
мегабайт, следует почаще снимать статистику и запускать traf_limit.pl.
Но чем чаще это проделывать, тем выше нагрузка на сервер. Хотя если
мощность позволяет, то почему бы и не попробовать.
Также отмечу, что скрипт работает на текущую дату. Так что его запуск
вечером категорически не рекомендуется (первого числа будут
использоваться данные за прошлый месяц).
Запись всех заданий в планировщик
Наконец-то все установили и настроили, осталось связать все это вместе.
Вот то, что должно быть записано в заданиях cron:
# crontab -e
# В 4:55 сбрасывать трафик из коллектора ipcad в логи прокси-сервер
55 04 * * * /usr/local/scripts/ipcad.sh
# В 5:05 снимать статистику LightSquid
05 05 * * * /usr/local/www/lightsquid/lightparser.pl
# В 5:15 запускать скрипт лимита по трафику
15 05 * * * /usr/local/etc/squid/traf_limit/traf_limit.pl
# 5:25 производить ротацию логов
25 05 * * * /usr/local/sbin/squid -k rotate
# Запуск скрипта, удаляющего старые логи
35 05 * * * /usr/local/scripts/rmsquidlogs.sh
Vova
