«Прозрачный» Squid с фильтрацией HTTPS ресурсов без подмены сертификатов (х86, х64 — универсальная инструкция)

Всем привет! Прошлая статья про прозрачное проксирование HTTPS с помощью Squid’a была вполне успешной. Приходило по почте множество отзывов об успешной установке данной системы. Но также и поступали письма с просьбами о помощи. Проблемы были вполне решаемыми. Но не так давно обратилась ко мне одна коллега с просьбой о помощи в установке этой системы на х64 архитектуре (Debian). Тут мы озадачились. Во-первых, оказалось, что прошлая статья непригодна для этого по причине отсутствия нужных исходников в репозитории Debian (там теперь 3.5.10). Найти нужные в первой статье Debian’овские исходники не удалось, а checkinstall выдавал странные ошибки. Во-вторых, хотелось более универсального решения, которое бы без проблем работало и на х64, и на х86, и (по-возможности) на других дистрибутивах. Решение было найдено. Получилось небольшое дополнение к предыдущей статье + некоторые уточнения. Данная инструкция позволяет скомпилировать как х86, так и х64 версии Squid’a и создать соответствующие пакеты. Инструкция будет разбита на несколько пунктов и подпунктов. Если интересно, идем под кат:
Идем по-порядку.
1)
а) Для начала, подготовимся к сборке пакетов:

apt-get install git fakeroot checkinstall build-essential devscripts patch apt-cache policy squid3 apt-get build-dep squid3 apt-get build-dep libecap2 apt-get install libssl-dev libgnutls28-dev 

Не забудьте перейти в ту папку, где вы будете собирать исходники, чтобы не загадить себе Хоум.
б) Далее скачаем Libressl:

wget http://ftp.openbsd.org/pub/OpenBSD/LibreSSL/libressl-2.1.6.tar.gz tar -xzvf libressl-2.1.6.tar.gz cd libressl-2.1.6 

в) А теперь собираем:

./configure make checkinstall --pkgname libressl --pkgversion 2.1.6 

2) Теперь можно установить Libressl:

dpkg -i libressl_2.1.6-1_amd64.deb	 ldconfig 

После установки необходимо настроить использование LibreSSL по-умолчанию:

mv /usr/bin/openssl /usr/bin/openssl-1 update-alternatives --install /usr/bin/openssl openssl /usr/bin/openssl-1 10 update-alternatives --install /usr/bin/openssl openssl /usr/local/bin/openssl 50 update-alternatives --config openssl 

Проверим, получилось ли поставить Libressl:

openssl version     LibreSSL 2.1.6 

Если выхлоп консоли похожий, то все получилось. Идем дальше.

3) На очереди Libecap.
а) Необходимо отредактировать sources.list, включив туда исходники из ветки testing (это необходимо, так как нам нужно компилировать новый libecap, который в свою очередь необходим для сборки Squid):

deb-src http://ftp.de.debian.org/debian/ testing main contrib non-free 

Обновим кеш пакетов:

apt-get update 

А теперь скачаем из Testing нужные исходники:

apt-get source libecap3/testing 

Далее соберем libecap:

cd libecap-1.0.1/ dpkg-buildpackage -us -uc -nc -d 

б) Удалим старье, и установим новье:

apt-get purge libecap2 libecap3_1.0.1-2_amd64.deb libecap3-dev_1.0.1-2_amd64.deb 

4) Подобрались к компиляции самого Squid’a.
а) Качаем последний самый работающий снэпшот Squid’a:

wget http://www.squid-cache.org/Versions/v3/3.5/squid-3.5.8.tar.gz 

Распакуем:

tar -xf squid-3.5.8.tar.gz cd squid-3.5.8 

б) Качаем патч для bio.cc, и патчим:

wget -O bug-4330-put_cipher_by_char-t1.patch http://bugs.squid-cache.org/attachment.cgi?id=3216 patch bug-4330-put_cipher_by_char-t1.patch »  patching file src/ssl/bio.cc 

5) А этот этап один из самых ответственных. Необходимо сконфигурировать Squid с нужными опциями. В предыдущей статье использовался файл debian/rules, но компилировать Squid в этой инструкции мы будем с помощью make, и создавать пакеты будем с помощью checkinstall. Поэтому опций будет побольше. И вот какие:

./configure --build=x86_64-linux-gnu \ --prefix=/usr \ --includedir=${prefix}/include \ --mandir=${prefix}/share/man \ --infodir=${prefix}/share/info \ --sysconfdir=/etc \ --localstatedir=/var \ --libexecdir=${prefix}/lib/squid \ --srcdir=. \ --disable-maintainer-mode \ --disable-dependency-tracking \ --disable-silent-rules \ --datadir=/usr/share/squid \ --sysconfdir=/etc/squid \ --mandir=/usr/share/man \ --enable-inline \ --disable-arch-native \ --enable-async-io=8 \ --enable-storeio=ufs,aufs,diskd,rock \ --enable-removal-policies=lru,heap \ --enable-delay-pools \ --enable-cache-digests \ --enable-icap-client \ --enable-follow-x-forwarded-for \ --enable-auth-basic=DB,fake,getpwnam,LDAP,NCSA,NIS,PAM,POP3,RADIUS,SASL,SMB \ --enable-auth-digest=file,LDAP \ --enable-auth-negotiate=kerberos,wrapper \ --enable-auth-ntlm=fake,smb_lm \ --enable-external-acl-helpers=file_userip,kerberos_ldap_group,LDAP_group,session,SQL_session,unix_group,wbinfo_group \ --enable-url-rewrite-helpers=fake \ --enable-eui \ --enable-esi \ --enable-icmp \ --enable-zph-qos \ --enable-ecap \ --disable-translation \ --with-swapdir=/var/spool/squid \ --with-logdir=/var/log/squid \ --with-pidfile=/var/run/squid.pid \ --with-filedescriptors=65536 \ --with-large-files \ --with-default-user=proxy \ --enable-ssl \ --enable-ssl-crtd \ --with-openssl \ --enable-linux-netfilter \ 'CFLAGS=-g -O2 -fPIE -fstack-protector-strong -Wformat -Werror=format-security -Wall' \ 'LDFLAGS=-fPIE -pie -Wl,-z,relro -Wl,-z,now' \ 'CPPFLAGS=-D_FORTIFY_SOURCE=2' \ 'CXXFLAGS=-g -O2 -fPIE -fstack-protector-strong -Wformat -Werror=format-security' 

Будьте предельно внимательны. Нас больше интересуют, как и в предыдущей статье, три опции: —enable-ssl, —enable-ssl-crtd, —with-openssl. Остальные опции можете изменять в соответствие с вашими предпочтениями (если хотите их менять, обязательно прочитайте документацию по конфигурированию).

6) Теперь мы добрались до компилирования.
а) Компилируем.

make 

б) Неоднозначный этап. Необходимо создать директории /usr/share/squid/ и /usr/share/squid/icons, иначе следующий этап не выполнится из-за отсутствия этих папок (почему checkinstall их сам не создает, я не разбирался, к сожалению):

mkdir -p  /usr/share/squid/icons  

в) А теперь создаем установочные пакеты:

checkinstall --pkgname squid --pkgversion 3.5.8 

7) Мы подходим к финалу. Устанавливаем Squid:

dpkg -i squid_3.5.8-1_amd64.deb 

8) Пробуем запустить squid:

systemctl start squid 

И видим большую ФИГУ! Надо же… Пробуем по-старинке:

service squid start 

И тоже видим большую ФИГУ. Почему? Потому что checkinstall не включил в пакет файлы сервиса Squid. Не беда. Создадим сами нужный сервис systemd:

touch /etc/systemd/system/squid.service nano /etc/systemd/system/squid.service 

Со следующим содержимым:

## Copyright (C) 1996-2015 The Squid Software Foundation and contributors ## ## Squid software is distributed under GPLv2+ license and includes ## contributions from numerous individuals and organizations. ## Please see the COPYING and CONTRIBUTORS files for details. ##  [Unit] Description=Squid Web Proxy Server After=network.target  [Service] Type=simple ExecStart=/usr/sbin/squid -sYC -N ExecReload=/bin/kill -HUP $MAINPID KillMode=process  [Install] WantedBy=multi-user.target 

Включим созданный сервис

systemctl enable squid 

9) Да, вы правы, это еще не все. Так как мы компилировали полностью оригинальные исходники (за исключением патча на bio.cc), конфигурационные файлы у нас установились вида squid.conf.default, mime.conf.default и т.п. Конечно же, Squid о них и не слышал. Переименуем их в Squid’очитаемый вид:

cp /etc/squid/squid.conf.default /etc/squid/squid.conf cp /etc/squid/mime.conf.default /etc/squid/mime.conf cp /etc/squid/cachemgr.conf.default /etc/squid/cachemgr.conf cp /etc/squid/errorpage.css.default /etc/squid/errorpage.css 

10) И это еще не все=) Необходимо вручную создать папку для логов Squid’a и назначить ей соответствующие права:

mkdir /var/log/squid chown proxy /var/log/squid 

11) И вот он — финальный этап. Запуск Squid’a и проверка статуса сервиса!

systemctl start squid  systemctl status -l squid ● squid.service - Squid Web Proxy Server    Loaded: loaded (/etc/systemd/system/squid.service; enabled)    Active: active (running) since Пт 2015-12-04 23:32:04 YEKT; 2min 41s ago  Main PID: 590 (squid)    CGroup: /system.slice/squid.service            ├─590 /usr/sbin/squid -sYC -N            └─591 (logfile-daemon) /var/log/squid/access.log  дек 04 23:32:04 squidX64 squid[590]: Max Swap size: 0 KB дек 04 23:32:04 squidX64 squid[590]: Using Least Load store dir selection дек 04 23:32:04 squidX64 squid[590]: Current Directory is / дек 04 23:32:04 squidX64 squid[590]: Finished loading MIME types and icons. дек 04 23:32:04 squidX64 squid[590]: HTCP Disabled. дек 04 23:32:04 squidX64 squid[590]: Pinger socket opened on FD 16 дек 04 23:32:04 squidX64 squid[590]: Squid plugin modules loaded: 0 дек 04 23:32:04 squidX64 squid[590]: Adaptation support is off. дек 04 23:32:04 squidX64 squid[590]: Accepting HTTP Socket connections at local=[::]:3128 remote=[::] FD 14 flags=9 дек 04 23:32:05 squidX64 squid[590]: storeLateRelease: released 0 objects 

Если выхлоп консоли выглядит похоже, а точнее в нем нет ошибок и обязательно присутствует строка «Active: active (running)», то вы успешно установили себе Squid с поддержкой прозрачного проксирования HTTPS! Поздравляю!

Если не хочется ничего компилировать, то можете скачать архив с готовыми deb пакетами (x64 версия!). Если будете устанавливать из готовых пакетов, то вам нужны будут шаги: 2, 3(б), 7, 8, 9, 10, 11.

Также хочу отметить, что checkinstall позволяет создавать пакеты rpm, и вы можете этим воспользоваться. Единственное, нужно все пакеты собирать с помощью checkinstall, но я думаю, проблем с этим не будет, так как основное и самое сложное уже собрано именно checkinstall’ом.

Конфигурационный файл Squid’a с нужными директивами, описание работы и т.п. читайте в предыдущей статье!

Спасибо Татьяне Илларионовой и разработчикам Squid’a за помощь в создании данного рецепта!

ссылка на оригинал статьи http://habrahabr.ru/post/272733/