LXF78:HTTP прокси-сервер для защиты корпоративной сети - История изменений

Seafox: /* Сводная таблица возможностей */

2008-03-12T13:32:12Z

‎Сводная таблица возможностей

Seafox: /* Сводная таблица возможностей */

2008-03-12T13:28:54Z

‎Сводная таблица возможностей

Seafox: /* Сводная таблица возможностей */

2008-03-12T13:21:00Z

‎Сводная таблица возможностей

Seafox: /* Сводная таблица возможностей */

2008-03-12T13:18:58Z

‎Сводная таблица возможностей

Seafox: /* Сводная таблица возможностей */

2008-03-12T13:18:24Z

‎Сводная таблица возможностей

Seafox: /* Squid 3.0 */

2008-03-12T13:16:06Z

‎Squid 3.0

Seafox: /* Squid 2.5 */

2008-03-12T13:00:51Z

‎Squid 2.5

Seafox: /* Oops! */

2008-03-12T12:47:48Z

‎Oops!

Seafox: /* Delegate */

2008-03-12T12:36:39Z

‎Delegate

Seafox: /* Что же дальше? */

2008-03-12T12:29:11Z

‎Что же дальше?

← Предыдущая		Версия 13:32, 12 марта 2008
Строка 172:		Строка 172:

	===Сводная таблица возможностей===		===Сводная таблица возможностей===
		+

@@ Строка 188: / Строка 188: @@
 |-
 | Delegate
+|
+|
+|
+|
-|align=center|V
+|
 |-
 | Oops!
-|align=center|V
+|align=center| да
-|align=center|V
+|align=center|
-|align=center|V
+|align=center| да
-|align=center|V
+|align=center| LDAP, SQL, PAM
-|align=center|V
+|align=center| да
-|align=center|V
-|align=center|V
 |-
 | Squid 2.5
-|align=center|V
+|align=center| да
-|align=center|V
+|align=center| небходима пересборка
-|align=center|V
+|align=center| да
+|
-|align=center|V
+|align=center| один процесс на все соединения
-|align=center|V
+|align=center| да
-|align=center|V
 |-
 | Squid 3.0
-|align=center|V
+|align=center| да
-|align=center|V
+|align=center| да
-|align=center|V
+|align=center| да
+|
-|align=center|V
+|align=center| да
-|align=center|
+|align=center| да
-|align=center|
+|align=center| один процесс на все соединения
 |}

@@ Строка 187: / Строка 187: @@
 !''' Ограничение полосы пропускания '''
 |-
-| Пропуск рекламы
+| Delegate
+|
+|
@@ Строка 196: / Строка 196: @@
+|
 |-
-| Микширование аудио каналов
+| Oops!
 |align=center|V
 |align=center|V
@@ Строка 205: / Строка 205: @@
 |align=center|V
 |-
-| Меню DVD
+| Squid 2.5
 |align=center|V
 |align=center|V
@@ Строка 214: / Строка 214: @@
 |align=center|V
 |-
-| Закладки
+| Squid 3.0
 |align=center|V
 |align=center|V
@@ Строка 221: / Строка 221: @@
 |align=center|V
 |align=center|
 |align=center|
 |}

@@ Строка 185: / Строка 185: @@
 !''' Xephem '''
 !''' Сетевая модель '''
-!''' Ограничение полосы пропуская '''
+!''' Ограничение полосы пропускания '''
 |-
 | Пропуск рекламы

@@ Строка 177: / Строка 177: @@
 {| border="1" cellspacing="0" cellpadding="6"
 !''' '''
-!''' GXine '''
+!''' ICP '''
-!''' Kaffeine '''
+!''' CARP '''
-!''' KMPlayer '''
+!''' WCCP '''
-!''' MPlayer '''
+!''' Авторизация '''
-!''' Totem '''
+!''' NetFlow '''
-!''' VLC '''
+!''' SNMP '''
-!''' Xine '''
+!''' Xephem '''
 |-
 | Пропуск рекламы

← Предыдущая		Версия 13:16, 12 марта 2008
Строка 168:		Строка 168:

	Последняя версия 3.0 уже вышла на финальную стадию стабилизации, вновь добавленные возможности позволят ей стать достойной заменой версии 2.5.		Последняя версия 3.0 уже вышла на финальную стадию стабилизации, вновь добавленные возможности позволят ей стать достойной заменой версии 2.5.
		+
		+	----
		+
		+	===Сводная таблица возможностей===
		+
		+
		+
		+	{\| border="1" cellspacing="0" cellpadding="6"
		+	!''' '''
		+	!''' GXine '''
		+	!''' Kaffeine '''
		+	!''' KMPlayer '''
		+	!''' MPlayer '''
		+	!''' Totem '''
		+	!''' VLC '''
		+	!''' Xine '''
		+	\|-
		+	\| Пропуск рекламы
		+	\|
		+	\|
		+	\|
		+	\|align=center\|V
		+	\|
		+	\|align=center\|V
		+	\|
		+	\|-
		+	\| Микширование аудио каналов
		+	\|align=center\|V
		+	\|align=center\|V
		+	\|align=center\|V
		+	\|align=center\|V
		+	\|align=center\|V
		+	\|align=center\|V
		+	\|align=center\|V
		+	\|-
		+	\| Меню DVD
		+	\|align=center\|V
		+	\|align=center\|V
		+	\|align=center\|V
		+	\|
		+	\|align=center\|V
		+	\|align=center\|V
		+	\|align=center\|V
		+	\|-
		+	\| Закладки
		+	\|align=center\|V
		+	\|align=center\|V
		+	\|align=center\|V
		+	\|
		+	\|align=center\|V
		+	\|align=center\|
		+	\|align=center\|
		+	\|-
		+	\| Фильтры
		+	\|align=center\|V
		+	\|align=center\|V
		+	\|align=center\|
		+	\|align=center\|
		+	\|align=center\|V
		+	\|align=center\|
		+	\|align=center\|V
		+	\|-
		+	\| Переходы
		+	\|align=center\|V
		+	\|align=center\|V
		+	\|align=center\|
		+	\|align=center\|V
		+	\|align=center\|V
		+	\|align=center\|V
		+	\|align=center\|V
		+	\|-
		+	\| Субтитры
		+	\|align=center\|V
		+	\|align=center\|V
		+	\|align=center\|V
		+	\|align=center\|V
		+	\|align=center\|V
		+	\|align=center\|V
		+	\|align=center\|V
		+	\|-
		+	\| Списки воспроизведения
		+	\|align=center\|V
		+	\|align=center\|V
		+	\|align=center\|V
		+	\|align=center\|
		+	\|align=center\|V
		+	\|align=center\|V
		+	\|align=center\|
		+	\|-
		+	\| LIRC
		+	\|align=center\|V
		+	\|align=center\|V
		+	\|align=center\|V
		+	\|align=center\|V
		+	\|align=center\|V
		+	\|align=center\|
		+	\|align=center\|V
		+	\|-
		+	\| Вывод на экран (OSD)
		+	\|align=center\|V
		+	\|align=center\|V
		+	\|align=center\|V
		+	\|align=center\|V
		+	\|align=center\|V
		+	\|align=center\|V
		+	\|align=center\|V
		+	\|-
		+	\| Потоковое вещание
		+	\|align=center\|
		+	\|align=center\|
		+	\|align=center\|V
		+	\|align=center\|
		+	\|align=center\|
		+	\|align=center\|V
		+	\|align=center\|
		+	\|}

← Предыдущая		Версия 13:00, 12 марта 2008
Строка 133:		Строка 133:

	На базе Squid реализовано довольно много проектов. Некоторые из них перечислены на http://www.squid-cache.org/products.html. Это и специализированные устройства, и выделенные сервера. Очевидно, что Squid может быть адаптирован под самые различные задачи.		На базе Squid реализовано довольно много проектов. Некоторые из них перечислены на http://www.squid-cache.org/products.html. Это и специализированные устройства, и выделенные сервера. Очевидно, что Squid может быть адаптирован под самые различные задачи.
		+
		+
		+	===Squid 3.0===
		+	Адаптирован под самые различные задачи.
		+
		+	* Версия: 3.0
		+	* Web: [http://www.squid-cache.org www.squid-cache.org]
		+
		+	Новая веха в судьбе Squid.
		+
		+	Основные отличия от версии 2.5:
		+
		+	• Конвертирование исходного кода из С в C++. Довольно важный шаг, поскольку облегчит сопровождение продукта и расширение функциональности.
		+
		+	• Поддержка ICAP. Поддерживается не только адаптация HTTP-трафика, но и FTP.
		+
		+	• Переработана сетевая часть. Оптимизирована работа со стандартными функциями select, poll. Добавлена поддержка более высокопроизводительных интерфейсов отслеживания состояния дескрипторов: epoll, /dev/poll, kqueue. Поскольку Squid обрабатывает все сетевые соединения одним процессом, а эффективность poll/select функций сильно падает при большом числе дескрипторов, данная оптимизация позволяет ускорить работу сетевой части.
		+
		+	• Улучшена поддержка CARP. В ранних версиях поддержка по умолчанию отсутствовала, что создавало неудобства в использовании, поскольку требовалась пересборка Squid. В версии 3.0 поддержка CARP присутствует по умолчанию.
		+
		+	• «Прозрачные» и «акселерированные» запросы обрабатываются независимо. В ранних версиях такие запросы были связаны между собой в результате ограничения, накладываемые на «акселерированные», влияли на «прозрачные» запросы, что нелогично. Возникали неоднозначности при авторизации. Авторизация стала доступна только для «акселерированных» запросов.
		+
		+	• Улучшена работа в режиме акселератора. Более удобные и понятные опции конфигурации, повышен уровень безопасности.
		+
		+	• Улучшена поддержка SSL. Добавлена поддержка SSL peers, поддержка сертификатов клиента, поддержка аппаратных SSL-ускорителей при помощи OpenSSL, более защищенная работа с SSL-ключами.
		+
		+	• Переработана поддержка IPC.
		+
		+	• Расширена поддержка ACL. Добавлены новые методы.
		+
		+	Список изменений довольно большой. Вполне понятно, почему разработчики решили сделать эти изменения в новой ветке, а не развить ветку 2.x. Проделана большая работа, которая позволит дать толчок дальнейшему развитию продукта.
		+
		+	Среди добавленных возможностей хотелось бы особенно выделить поддержку протокола ICAP: возможность, которая позволит решать задачи аудита и фильтрации в полном объеме. Хотелось бы отметить, что реализация ICAP в Squid 3.0 – не наследие неэффективной экспериментальной версии из ветки 2.5, а новая, более производительная реализация. Поддержка ICAP позволит интегрировать в Squid антивирусы и другие внешние сервисы для обработки HTTP-трафика, что сделает сеть более защищенной.
		+
		+	Последняя версия 3.0 уже вышла на финальную стадию стабилизации, вновь добавленные возможности позволят ей стать достойной заменой версии 2.5.

← Предыдущая		Версия 12:47, 12 марта 2008
Строка 95:		Строка 95:

	При большой нагрузке у Oops! возникают серьезные проблемы с производительностью на большинстве Unix-систем, а зачастую он попросту зависает. Таким образом, основные требования для сервера – бесперебойная работа и высокая производительность – не выполнены. Тем не менее Oops! вполне можно использовать в небольших сетях благодаря простоте настройки.		При большой нагрузке у Oops! возникают серьезные проблемы с производительностью на большинстве Unix-систем, а зачастую он попросту зависает. Таким образом, основные требования для сервера – бесперебойная работа и высокая производительность – не выполнены. Тем не менее Oops! вполне можно использовать в небольших сетях благодаря простоте настройки.
		+
		+	===Squid 2.5===
		+	Стандарт де-факто.
		+
		+	* Версия: 2.5.SATBLE13
		+	* Web: [http://www.squid-cache.org www.squid-cache.org]
		+	* Цена: бесплатно, по лицензии GPL
		+
		+	Вот уже много лет Squid является наиболее популярным высокопроизводительным HTTP прокси-сервером на Unix-системах. Поддерживаются такие протоколы, как HTTP, SSL, FTP, Gopher. Squid может работать как в режиме кэширующего прокси, так и в режиме HTTP-акселератора. Хранилище кэшированных объектов реализовано в виде модульной виртуальной файловой системы. Используемые файловые системы определяются конфигурацией Squid. Поддерживаются следующие системы: ufs, diskd, aufs, coss. Список модулей может быть легко расширен. По умолчанию используется ufs. Модули diskd и aufs используются для оптимизации работы с файловой системой при большой нагрузке. При необходимости распределения нагрузки кэш-сервера могут каскадироваться, взаимодействуя по протоколу ICP.
		+
		+	Поддержка Round-robin и CARP обеспечивает балансировку нагрузки между серверами. Поддерживается полноценная работа в режиме «прозрачный прокси». Поддержка протокола WCCP позволяет использовать прозрачный режим наиболее эффективно. Довольно распространенный протокол SNMP для поддержки удаленного контроля и управления также поддерживается Squid. Это позволяет отслеживать его поведение с единой консоли администратора.
		+
		+	Для авторизации пользователей поддерживаются NTLM, MSNT, LDAP, SMB, что позволяет легко интегрировать Squid в сеть Microsoft. Одна из удобных возможностей, которую поддерживает Squid – ограничение пропускной способности по настраиваемым критериями. Такая функциональность позволяет ограничить использование канала в Интернет для определенных групп пользователей. Особенно важной такая функциональность становится в условиях экономии трафика, поскольку позволяет устанавливать свою пропускную способность для разных типов трафика.
		+
		+	Для управления доступом и сервисами используется мощное средство – ACL. На основании данных HTTP-заголовка и URL, используя ACL, можно выполнить статическую фильтрацию трафика. К сожалению, с динамической фильтрацией трафика дела обстоят несколько хуже. Кроме redirector, других возможностей для внешнего контроля данных в Squid не пре-
		+	дусмотрено. В экспериментальной версии Squid 2.5 поддерживается протокол ICAP, но его реализация обладает рядом серьезных недостатков:
		+
		+	• не поддерживается фильтрация FTP-трафика. Для реализации такой фильтрации необходимо объединять два прокси-сервера;
		+
		+	• не поддерживаются постоянные соединения с ICAP-сервером. Таким образом, каждый запрос клиента порождает новое соединение с ICAP-сервером, что не оптимально при большой нагрузке;
		+
		+	• неполная поддержка ICAP RFC.
		+
		+	Возможно, именно эти недостатки помешали включить поддержку ICAP в стабильную ветку.
		+
		+	Squid довольно мощное гибкое средство и предоставляет большие возможности по его оптимизации. В вопросах оптимизации может помочь статистика реального времени, которая накапливается в процессе работы. С помощью CacheManager, входящего в состав Squid, ее можно просматривать через Web. Конечно же, это не единственное применение такой статистики. За счет оптимизации производительность Squid может быть улучшена, хотя в конфигурации по умолчанию скорость его работы вполне достойная.
		+
		+	Из перечисленных выше продуктов Squid – самое высокопроизводительное решение.
		+
		+	Высокое быстродействие и переносимость обеспечивается выбранной архитектурой. Squid использует однопроцессную архитектуру, когда один процесс обслуживает все операции ввода/вывода в неблокирующем режиме. Состояния дескрипторов отслеживаются с помощью функций poll, select и т.д. Для оптимизации некоторые виды действий, такие как dns-запросы или операции с диском, могут быть выделены в отдельные процессы. Вспомогательные процессы взаимодействуют с основным через IPC-функции.
		+
		+	Squid не предполагает обязательного использования потоков, чем обеспечивает хорошую переносимость между различными Unix-системами без потери производительности.
		+
		+	Использование потоков в Squid является альтернативой оптимизации дисковых операций, для которых часто не поддерживается неблокирующий ввод/вывод. Для SMP-систем это является дополнительным плюсом, так как улучшает масштабируемость.
		+
		+	Сетевая модель, лежащая основе архитектуры Squid, – одна их самых оптимальных, хотя и не достаточно учитывает SMP-системы. Распределение обслуживания сетевых соединений между несколькими процессами (потоками) позволило бы улучшить масштабируемость.
		+
		+	На базе Squid реализовано довольно много проектов. Некоторые из них перечислены на http://www.squid-cache.org/products.html. Это и специализированные устройства, и выделенные сервера. Очевидно, что Squid может быть адаптирован под самые различные задачи.

← Предыдущая		Версия 12:36, 12 марта 2008
Строка 67:		Строка 67:

	Несмотря на все перечисленные недостатки, Delegate может быть весьма полезен в небольших сетях для решения простых задач, поскольку весьма прост в конфигурации. В таких сетях загрузка прокси будет небольшой, и проблемы с производительностью не возникнут.		Несмотря на все перечисленные недостатки, Delegate может быть весьма полезен в небольших сетях для решения простых задач, поскольку весьма прост в конфигурации. В таких сетях загрузка прокси будет небольшой, и проблемы с производительностью не возникнут.
		+
		+	===Oops!===
		+	Альтернатива Squid.
		+
		+	* Версия: 1.5.23
		+	* Web: [http://www.oops-cache.org www.oops-cache.org]
		+	* Цена: бесплатно, по лицензии GPL
		+
		+	Это полноценный HTTP прокси-сервер, который был разработан в качестве альтернативы Squid. Поддерживаются протоколы HTTP, FTP, SSL-туннелирование.
		+
		+	Основными целями, которые преследовали разработчики Oops!, были: модульность, высокое быстродействие, простота конфигурирования, длительная бесперебойная работа. Oops! – это кэширующий прокси-сервер.
		+
		+	Хранение кэшированных объектов реализовано в одном или нескольких файлах. Каждый файл содержит внутри себя файловую систему. Для взаимодействия с кэш-серверами поддерживается протокол ICP. Oops! полноценно поддерживает режим прозрачного проксирования, поскольку опирается не только на данные HTTP-заголовка, но и на NAT. Поддерживается протокол WCCP, что позволяет оптимально использовать режим прозрачного прокси. Для авторизации пользователей поддерживается PAM, LDAP, стандартный файл паролей. Также доступна авторизация через MySQL, PostgreSQL. Для сбо-
		+	ра статистики реализована поддержка протокола NetFlow. Контроль доступа осуществляется через набор правил, определяемых через ACL.
		+
		+	Помимо очевидных плюсов существуют и минусы. Отсутствует поддержка протокола CARP, в результате балансировка нагрузки между различными серверами не может быть выполнена с максимальной эффективностью. Хотя вариантов авторизации довольно много, не поддерживаются схемы NTLM, MSNT. Отсутствует поддержка протокола ICAP, что затрудняет решение задач фильтрации. Благодаря поддержке NetFLow и ACL, задачи аудита могут быть решены, но эффективное решение для фильтрации трафика не реализовано. После рассмотрения основных плюсов и минусов c точки зрения поддерживаемых возможностей перейдем в архитектуре Oops!
		+
		+	В Oops! используется модель, где каждое соединение обрабатывается отдельным потоком.
		+
		+	Если с точки зрения простоты программирования этот подход имеет свои преимущества, то с точки зрения производительности он далеко не оптимален. В общем-то это одно из основных отличий от архитектуры Squid, который вообще не требует использования потоков и использует однопроцессную модель. За счет выбранной модели разработчики Oops! стремились обеспечить лучшее масштабирование на SMP-системах.
		+
		+	Выбранная архитектура была не самая удачной, поскольку создание потока на каждый выполняемый запрос нерационально с точки зрения использования системных ресурсов.
		+
		+	На SMP-системах для обеспечения масштабируемости достаточно создавать пул потоков и распределять задачи между ними, используя неблокирующие операции ввода/вывода.
		+
		+	Возвращаясь к использованию потоков вообще, хотелось бы заметить, что они и по сей день работают не на всех Unix-системах одинаково эффективно, а на момент создания Oops! реализацию потоков можно было назвать полноценной только в Solaris, для которой он, собственно, и разрабатывался.
		+
		+	При большой нагрузке у Oops! возникают серьезные проблемы с производительностью на большинстве Unix-систем, а зачастую он попросту зависает. Таким образом, основные требования для сервера – бесперебойная работа и высокая производительность – не выполнены. Тем не менее Oops! вполне можно использовать в небольших сетях благодаря простоте настройки.

← Предыдущая		Версия 12:29, 12 марта 2008
Строка 44:		Строка 44:

	Вооружившись общими сведениями о прокси, можно перейти к рассмотрению конкретных примеров. Из прокси-серверов с открытым кодом наиболее популярны Delegate, Oops и Squid. Для получения наиболее полной картины, целесообразно сравнить эти продукты не только с точки зрения поддерживаемых возможностей, но и с точки зрения архитектуры. Ведь именно архитектура определяет дальнейшую судьбу продукта, как в области применения, так и в области развития. Итак, рассмотрим каждый из них.		Вооружившись общими сведениями о прокси, можно перейти к рассмотрению конкретных примеров. Из прокси-серверов с открытым кодом наиболее популярны Delegate, Oops и Squid. Для получения наиболее полной картины, целесообразно сравнить эти продукты не только с точки зрения поддерживаемых возможностей, но и с точки зрения архитектуры. Ведь именно архитектура определяет дальнейшую судьбу продукта, как в области применения, так и в области развития. Итак, рассмотрим каждый из них.
		+
		+	----

	===Delegate===		===Delegate===