Прокси

Прокси-сервер обеспечивает контролируемый доступ хостов локальной сети в сеть Интернет, а также защиту локальной сети от внешнего доступа.

В качестве примера настройки прокси-сервера будет использоваться схема стенда, представленная на рисунке (см. Рисунок – Схема стенда для настройки прокси-сервера) со следующими параметрами прокси-сервера:

интерфейс хостов локальной сети – «LAN», сеть 192.168.1.0/24;

работа в прозрачном режиме для HTTP и HTTPS;

кэширование данных включено;

работает без аутентификации;

номер порта для HTTP – «3128», номера порта для HTTPS – «3129»;

ограничение доступа к ресурсам настроено для сайта «mail.ru» и согласно внешнему списку доступа «Blacklists UT1».

../../../_images/fw.rp.19.1.png — *Рисунок – Схема стенда для настройки прокси-сервера*

До момента настройки прокси-сервера подключение на ПК «Client» к сети Интернет отсутствует (см. Рисунок – Отсутствие подключения к сети Интернет).

../../../_images/fw.rp.19.2.png — *Рисунок – Отсутствие подключения к сети Интернет*

Настройка кэширующего прокси-сервера

Для настройки кэширующего прокси-сервера необходимо выполнить следующие шаги:

Создать доверенный центр сертификации.
Настроить прокси-сервер.
Создать правила NAT для прокси-сервера.

Создание доверенного центра сертификации

Для корректной работы прокси-сервера с HTTPS-трафиком необходимо создать доверенный центр сертификации и добавить данный центр клиентам прокси-сервера.

В примере доверенный центр сертификации создается с параметрами, приведёнными в таблице (см. Таблица «Значения параметров центра сертификации»).

Таблица «Значения параметров центра сертификации»
Параметр	Значение
Описательное имя	ARMA CA
Метод	Создать внутренний центр сертификации
Длина ключа (бит)	2048
Алгоритм дайджеста	SHA256
Время существования (дни)	365
Код страны	RU (Russia)
Область	МО
Город	Moscow
Организация	InfoWatch
Эл. почта	admin@infowatch.ru
Стандартное имя	arma-ca

Параметры «Описательное имя», «Код страны», «Область», «Город», «Организация», «Эл. почта», «Стандартное имя» указаны справочно.

Для создания доверенного центра сертификации необходимо выполнить следующие действия:

Перейти в подраздел полномочий («Система» - «Доверенные сертификаты» - «Полномочия»).
Нажать кнопку «+Добавить».
В открывшейся форме указать параметры из таблицы (см. Таблица «Значения параметров центра сертификации»).
Нажать кнопку «Сохранить».

Для добавления доверенного центра сертификации клиентам прокси-сервера необходимо предварительно экспортировать сертификат созданного центра сертификации, нажав кнопку «Экспортировать сертификат CA» (см. Рисунок – Экспорт сертификата СА) в подразделе полномочий («Система» - «Доверенные сертификаты» - «Полномочия»).

../../../_images/fw.rp.19.1.1.1.png — *Рисунок – Экспорт сертификата СА*

Установка сертификата клиентам прокси-сервера предполагается произвольным способом в зависимости от используемого оборудования – через групповые политики, с помощью браузера и т.д.

Примечание

При использовании импортированного центра сертификации необходимо руководствоваться стандартом X.509, при этом длина серийного номера импортируемого центра сертификации не должна превышать 20 байт.

Настройка прокси-сервера

Для настройки прокси-сервера необходимо выполнить следующие действия:

Перейти в подраздел администрирования прокси-сервера («Службы» - «Веб-прокси» - «Администрирование»).
Установить флажок в параметре «Включить прокси» на вкладке «Основные настройки» (см. Рисунок – Основные настройки прокси) и нажать кнопку «Применить».

../../../_images/fw.rp.19.1.2.1.png — *Рисунок – Основные настройки прокси*

Раскрыть вкладку «Основные настройки прокси», нажав кнопку «», и выбрать «Настройки локального кэша» (см. Рисунок – Выбор настроек прокси-сервера).

../../../_images/fw.rp.19.1.2.2.png — *Рисунок – Выбор настроек прокси-сервера*

В открывшейся форме (см. Рисунок – Настройки локального кэша) установить флажок для параметра «Включите локальный кэш» и нажать кнопку «Применить».

../../../_images/fw.rp.19.1.2.3.png — *Рисунок – Настройки локального кэша*

Перейти во вкладку «Перенаправляющий прокси» (см. Рисунок – Перенаправляющий прокси).

../../../_images/fw.rp.19.1.2.4.png — *Рисунок – Перенаправляющий прокси*

Проверить значение параметра «Интерфейсы прокси» – «LAN», выбрать значение «ARMA CA» в параметре «Использовать центр сертификации» и установить флажки для параметров:

«Включить прозрачный HTTP-прокси»;

«Включить проверку SSL».

Нажать кнопку «Применить».

Примечание

В случае использования непрозрачного режима прокси-сервера при ручной настройке клиентов (см. Рисунок – Параметры прокси-сервера) необходимо указывать один порт для всех протоколов.

../../../_images/fw.rp.19.1.2.5.png — *Рисунок – Параметры прокси-сервера*

Создание правил NAT для прокси-сервера

Для работы прозрачного режима HTTP-прокси и HTTPS-прокси необходимо добавить правила NAT.

Примечание

В случае использования непрозрачного прокси-сервера совместно с порталом авторизации (см. Портал авторизации) правила NAT необходимо отключать.

Создание правил NAT описано в разделе Создание правила NAT «Переадресация портов» настоящего руководства.

Необходимо создать правила с параметрами, указанными в таблице (см. Таблица «Значения параметров правил NAT»).

Таблица «Значения параметров правил NAT»
Параметр	HTTP	HTTPS
Интерфейс	LAN	LAN
Протокол	TCP	TCP
Отправитель	LAN сеть	LAN сеть
Диапазон портов источника	Любой-Любой	Любой-Любой
IP-адрес назначения	Любой	Любой
Диапазон портов назначения	HTTP-HTTP	HTTPS-HTTPS
Целевой IP-адрес	127.0.0.1	127.0.0.1
Целевой порт перенаправления	(другое), 3128	(другое), 3129
Описание	Трафик HTTP-прокси	Трафик HTTPS-прокси
Зеркальный NAT	Включить	Включить

После настройки NAT ПК «Client» имеет доступ к сети Интернет (см. Рисунок – Подключение к сети Интернет).

../../../_images/fw.rp.19.1.3.1.png — *Рисунок – Подключение к сети Интернет*

Примечание

В случае отключения прокси-сервера созданное правило NAT продолжит работать.

Создание правил запрета обхода трафика на МЭ

Для рассматриваемого примера, настройка запрета обхода трафика не применяется.

В случае, когда прокси-сервер работает в режиме «Непрозрачный прокси», для исключения доступа в сеть Интернет в обход прокси-сервера необходимо настроить правила блокировки HTTP и HTTPS трафика на МЭ.

Создание правил МЭ описано в разделе Создание правил межсетевого экранирования настоящего руководства.

Необходимо создать правила для интерфейса «LAN» с параметрами, указанными в таблице (см. Таблица «Значения параметров правил блокировки»).

Таблица «Значения параметров правил блокировки»
Параметр	HTTP	HTTPS
Действие	Блокирование (Drop)	Блокирование (Drop)
Интерфейс	LAN	LAN
Протокол	TCP	TCP
Отправитель	LAN сеть	LAN сеть
Диапазон портов назначения	HTTP	HTTPS
Описание	HTTP мимо Прокси	HTTPS мимо Прокси

Примечание

В случае отключения прокси-сервера созданные правила МЭ продолжат работать.

Настройка веб-фильтрации

Данная функция предназначена для ограничения доступа к Интернет-ресурсам вредоносного или сомнительного содержания – фишинговые сайты, сайты с запрещённым контентом и т.д.

Для фильтрации трафика необходимо выполнить следующие действия:

Перейти во вкладку «Перенаправляющий прокси».
Раскрыть вкладку «Перенаправляющий прокси», нажав кнопку «», и выбрать «Список управления доступом» (см. Рисунок – Выбор настроек перенаправляющего прокси).

../../../_images/fw.rp.19.2.1.png — *Рисунок – Выбор настроек перенаправляющего прокси*

В открывшейся форме (см. Рисунок – Список управления доступом), в поле параметра «Черный список» указать список сайтов, подлежащих блокировке. В примере используется сайт «mail.ru».

../../../_images/fw.rp.19.2.2.png — *Рисунок – Список управления доступом*

С целью разрешения загрузки удалённых списков доступа установить флажок для параметра «Разрешить удаленные списки ACL» и нажать кнопку «Применить».
Перейти во вкладку «Списки контроля доступа» (см. Рисунок – Списки контроля доступа) и нажать кнопку «» для добавления внешнего списка доступа.

../../../_images/fw.rp.19.2.3.png — *Рисунок – Списки контроля доступа*

В открывшейся форме (см. Рисунок – Редактировать чёрный список) указать следующие параметры:

«Имя файла» – «UT1»;

«URL» – «ftp://ftp.ut-capitole.fr/pub/reseau/cache/squidguard_contrib/blacklists.tar.gz»;

«Описание» – «Блокировка UT1 web filter».

../../../_images/fw.rp.19.2.4.png — *Рисунок – Редактировать чёрный список*

Нажать кнопку «Обновить списки контроля доступа», а затем нажать кнопку «Применить».

Примечание

При использовании внешних списков контроля доступа необходимо убедиться в их доступности.

В результате настройки сайт «mail.ru» будет заблокирован как включённый в чёрный список ARMA FW, а сайт «pornhub.com» будет заблокирован как включённый во внешний чёрный список (см. Рисунок – Заблокированные сайты).

../../../_images/fw.rp.19.2.5.png — *Рисунок – Заблокированные сайты*

Порядок изменения текста уведомления при блокировке ресурса описан в разделе Редактирование шаблона уведомления настоящего руководства.

Расширенная веб-фильтрация

При использовании аутентификации на прокси-сервере доступно создание чёрных и белых списков доменов с привязкой к пользователям и группам пользователей.

Для создания списка доменов необходимо выполнить следующие действия:

Перейти во вкладку «Перенаправляющий прокси» подраздела администрирования прокси-сервера («Службы» - «Веб-прокси» - «Администрирование»).
Раскрыть вкладку «Перенаправляющий прокси», нажав кнопку «», и выбрать «Настройки аутентификации» (см. Рисунок – Настройки аутентификации).

../../../_images/fw.rp.19.2.1.1.png — *Рисунок – Настройки аутентификации*

В открывшейся форме указать значение «Local Database» для параметра «Метод аутентификации» и нажать кнопку «Применить».
Перейти в подраздел управления списками доменов («Службы» - «Веб-прокси» - «Группы и пользователи») и нажать кнопку «».
В открывшейся форме «Редактирование групповых/пользовательских белых и черных журналов» (см. Рисунок – Создание списка доменов) задать значения параметров:

«Имя» – имя пользователя или группы, в зависимости от выбранного значения параметра «Группа/пользователь»;

«Приоритет» – приоритет списка;

«Группа/пользователь» – тип записи;

«Черный/белый» – тип списка;

«Домены» – домен или перечень доменов.

../../../_images/fw.rp.19.2.1.2.png — *Рисунок – Создание списка доменов*

Нажать кнопку «Сохранить» и нажать кнопку «Применить».

В зависимости от выбранного типа параметра «Черный/белый» будет применяться следующее правило веб-фильтрации:

«Черный» – доступ есть ко всем сайтам, кроме указанных в параметре «Домены»;

«Белый» – доступ есть только к сайтам, указанным в параметре «Домены».

ICAP

ICAP используется для настройки взаимодействия прокси-сервера с антивирусом или другими информационными системами, например, InfoWatch Traffic Monitor, в том числе, расположенными на внешнем хосте. Подробная настройка проверки веб-трафика с использованием службы Dr.Web в ARMA FW рассмотрена в разделе Dr.Web настоящего руководства.

ARMA FW поддерживает работу ICAP только с одним клиентом.

Интеграция по ICAP с InfoWatch Traffic Monitor

Для интеграции по ICAP с InfoWatch Traffic Monitor необходимо выполнить следующие шаги:

Настроить прокси-сервер (см. Настройка кэширующего прокси-сервера).
Включить ICAP.

Для включения ICAP необходимо выполнить следующие действия:

перейти в подраздел настроек прокси-сервера («Службы» - «Веб-прокси» - «Администрирование»);

раскрыть вкладку «Перенаправляющий прокси» нажатием кнопки «» и выбрать «Настройки ICAP» (см. Рисунок – Выбор настроек перенаправляющего прокси-сервера).

../../../_images/fw.rp.19.3.1.1.png — *Рисунок – Выбор настроек перенаправляющего прокси-сервера*

Установить флажок «Включить ICAP», указав следующие значения параметров:

«REQMOD URL» – «icap://[IP_Traffic_Monitor]:1344/request», где «[IP_Traffic_Monitor]» – IP-адрес InfoWatch Traffic Monitor;

«RESPMOD URL» – поле параметра пустое;

«Заголовок имени пользователя» – «X-Authenticated-User»;

«Отправить имя пользователя» – флажок установлен;

«Закодировать имя пользователя» – флажок установлен.

и нажать кнопку «Применить».

Параметры «Заголовок имени пользователя», «Отправить имя пользователя» и «Закодировать имя пользователя» доступны при включении переключателя «расширенный режим».

Дополнительные настройки

В рамках выполнения сценария настройки прокси-сервера не используются некоторые вкладки и параметры, представленные в подразделе администрирования прокси-сервера («Службы» - «Веб-прокси» - «Администрирование»):

Вкладка «Основные настройки»:

«Настройка управления трафиком» – задаёт максимальные значения пропускной способности и размеров скачиваемых/загружаемых файлов;

«Настройка родительского прокси» – задаёт настройки родительского (вышестоящего) прокси-сервера.

Вкладка «Перенаправляющий прокси»:

«Настройки FTP-прокси» – задаёт настройки для FTP-трафика;

«Настройки аутентификации» – задаёт настройки аутентификации;

«Настройки агента SNMP» – задаёт настройки для мониторинга работоспособности прокси-сервера.

Вкладка «Помощь» – позволяет очистить кэш-память прокси-сервера с последующей перезагрузкой.

Для некоторых вкладок подраздела доступны дополнительные настройки параметров. Их отображение включается переключателем «расширенный режим» в левой части формы (см. Рисунок – Переключатель «расширенный режим»).

../../../_images/fw.rp.19.4.1.png — *Рисунок – Переключатель «расширенный режим»*

Редактирование шаблона уведомления

В ARMA FW реализована возможность редактирования шаблона уведомления при посещении сайтов, подлежащих блокировке. По умолчанию используется предустановленный шаблон уведомления.

Для редактирования шаблона уведомления необходимо выполнить следующие действия:

Перейти в подраздел администрирования прокси-сервера («Службы» - «Веб-прокси» - «Администрирование»).
Выбрать значение «Настроенное пользователем» (см. Рисунок – Пользовательские страницы ошибок) в параметре «Пользовательские страницы ошибок».

../../../_images/fw.rp.19.4.1.1.png — *Рисунок – Пользовательские страницы ошибок*

Перейти в появившуюся вкладку «Страницы ошибок».
Нажать кнопку «» в результате чего будет загружен архив «proxy_template.zip».
Распаковать загруженный архив и перейти в извлечённую директорию.
Открыть файл «ERR_ACCESS_DENIED.html» с помощью текстового редактора, например «Notepad++».
Изменить текст страницы в отмеченных строках (см. Рисунок – Редактирование уведомления) и сохранить файл.

../../../_images/fw.rp.19.4.1.2.png — *Рисунок – Редактирование уведомления*

Сжать директорию «proxy_template» в архив с расширением «zip».
Нажать кнопку «», указать добавленный архив и нажать кнопку «Открыть».
Нажать кнопку «», а затем кнопку «Применить» (см. Рисунок – Загрузка архива).

../../../_images/fw.rp.19.4.1.3.png — *Рисунок – Загрузка архива*

При необходимости сброса настроенного шаблона к значениям по умолчанию нажать кнопку « bttn.cancel », затем во всплывающем окне с предупреждением нажать кнопку « bttn.accept » и кнопку «Применить».

Технология единого входа

SSO используется для аутентификации пользователей на прокси-сервере через протокол Kerberos и позволяет исключить повторные запросы для прохождения аутентификации.

В качестве примера настройки SSO для прокси-сервера будет использоваться схема стенда, представленная на рисунке (см. Рисунок – Схема стенда для настройки SSO), со следующими параметрами:

домен Active Directory – «test.local»;

имя контроллера домена – «DC-01.test.local»;

контроллер домена является DNS-сервером сети «LAN»;

ПК «Client» введён в домен «test.local»;

имя ARMA FW – «arma.test.local».

../../../_images/fw.rp.19.5.1.png — *Рисунок – Схема стенда для настройки SSO*

Для использования SSO на настроенном прокси-сервере необходимо выполнить следующие шаги:

Добавить DNS-записи на DNS-сервере.
Настроить ARMA FW для работы с Active Directory.
Настроить LDAP аутентификацию.
Настроить прокси-сервер.
Включить и настроить SSO.

Добавление DNS-записей

На DNS-сервере необходимо создать записи:

Запись 1:

«Зона» – Прямого просмотра «test.local»;

«Тип записи» – Узел (A);

«Узел» – arma;

«IP-адрес» – 192.168.1.1;

«Имя узла» – –;

Запись 2:

«Зона» – Прямого просмотра «test.local»;

«Тип записи» – Узел (A);

«Узел» – dc-01;

«IP-адрес» – 192.168.1.200;

«Имя узла» – –;

Запись 3:

«Зона» – Обратного просмотра «1.168.192.in-addr.arpa»;

«Тип записи» – Указатель (PRT);

«Узел» – –;

«IP-адрес» – 192.168.1.1;

«Имя узла» – arma.test.local;

Запись 4:

«Зона» – Обратного просмотра «1.168.192.in-addr.arpa»;

«Тип записи» – Указатель (PRT);

«Узел» – –;

«IP-адрес» – 192.168.1.200;

«Имя узла» – dc-01.test.local.

Записи создаются в соответствии с руководством пользователя используемого DNS-сервера.

Настройка ARMA FW для работы с Active Directory

Перед использованием SSO необходимо выполнить следующие шаги по настройке ARMA FW:

Указать домен.
Указать контроллер домена в качестве DNS-сервера.
Настроить синхронизацию времени с контролером домена.

Указание домена и DNS-сервера

Для указания домена ARMA FW и контроллера домена в качестве DNS-сервера необходимо выполнить следующие действия:

Перейти в подраздел общих настроек ARMA FW («Система» - «Настройки» - «Общие настройки»).
Указать имя домена «test.local» в поле параметра «Домен» (см. Рисунок – Указание домена).

../../../_images/fw.rp.19.5.2.1.1.png — *Рисунок – Указание домена*

Указать IP-адрес контроллера домена в поле параметра «DNS-сервер» (см. Рисунок – Указание DNS-сервера).

../../../_images/fw.rp.19.5.2.1.2.png — *Рисунок – Указание DNS-сервера*

Снять флажок для параметра «Позволить переопределить список DNS-серверов DHCP/PPP на WAN» и нажать кнопку «Сохранить».

Настройка синхронизации времени с контроллером домена

Необходимо указать контроллер домена в качестве предпочтительного NTP-сервера. Подробная настройка синхронизации времени рассмотрена в разделе Настройка синхронизации времени по протоколу NTP настоящего руководства.

Настройка LDAP авторизации

Подробная настройка LDAP авторизации рассмотрена в разделе LDAP настоящего руководства.

Настройка прокси-сервера

Подробная настройка прокси-сервера рассмотрена в разделе Настройка кэширующего прокси-сервера настоящего руководства.

Для использования технологии единого входа на прокси-сервере необходимо выполнить следующие действия:

Отключить прозрачный прокси-сервер в случае его использования.

Для этого необходимо перейти во вкладку «Перенаправляющий прокси» подраздела администрирования прокси-сервера («Службы» - «Веб-прокси» - «Администрирование»), снять флажок для параметра «Включить прозрачный HTTP-прокси» и нажать кнопку «Применить».

Указать добавленный LDAP-сервер в качестве метода аутентификации на прокси-сервере.

Для этого необходимо раскрыть вкладку «Перенаправляющий прокси» подраздела администрирования прокси-сервера («Службы» - «Веб-прокси» - «Администрирование»), выбрать «Настройки аутентификации», выбрать добавленный LDAP-сервер в поле параметра «Метод аутентификации» и нажать кнопку «Применить».

Примечание

При отключённом прозрачном прокси-сервере настройки прокси-сервера на клиентах необходимо указывать явно – вручную, с помощью групповых политик и т.д. Адрес прокси-сервера указывается в виде полного доменного имени (см. Рисунок – Настройка прокси-сервера клиентам), в случае указания IP-адреса технология единого входа работать не будет!

../../../_images/fw.rp.19.5.4.1.png — *Рисунок – Настройка прокси-сервера клиентам*

Включение и настройка SSO

Для включения SSО необходимо выполнить следующие действия:

Перейти в подраздел настроек единой точки входа («Службы» - «Веб-прокси» - «Единая точка входа») и установить флажок для параметра «Включите единый вход».
Указать имя УЗ Kerberos ARMA FW (см. Рисунок – Включение SSO) и нажать кнопку «Применить».

../../../_images/fw.rp.19.5.5.1.png — *Рисунок – Включение SSO*

Для настройки SSO необходимо выполнить следующие действия:

Перейти во вкладку «Идентификация Kerberos» подраздела настроек единой точки входа («Службы» - «Веб-прокси» - «Единая точка входа») и нажать кнопку «Обновить».
Все пункты, за исключением «Файл с таблицей ключей», должны быть отмечены зелёными флажками (см. Рисунок – Журнал проверок идентификации Kerberos).

Рисунок – Журнал проверок идентификации Kerberos

В случае ошибок необходимо проверить выполненные ранее шаги.

Указать данные УЗ, имеющей привилегии администратора домена, в полях параметров «Добавьте логин администратора» и «Добавьте пароль администратора» и нажать кнопку «Создать таблицу ключей».

Примечание

При использовании контроллера домена уровня Windows Server 2003 перед созданием таблицы ключей необходимо удалить УЗ Kerberos ARMA FW.

Нажать кнопку «Обновить». В случае успешного создания таблицы ключей пункт «Файл с таблицей ключей» будет отмечен зелёным флажком.
Перейти во вкладку «Общие настройки» и нажать кнопку «Применить».

Проверка корректности настроек

Для проверки корректности настроек идентификации Kerberos необходимо выполнить следующие действия:

Перейти во вкладку «Идентификация Kerberos» подраздела настроек единой точки входа («Службы» - «Веб-прокси» - «Единая точка входа»).
Указать учётные данные для подключения к внешнему LDAP серверу и нажать кнопку «Проверка логина Kerberos» (см. Рисунок – Проверка корректности настроек идентификации Kerberos).

../../../_images/fw.rp.19.5.5.1.1.png — *Рисунок – Проверка корректности настроек идентификации Kerberos*

В случае успешной проверки в поле «Выход» отобразится результат, содержащий слово «ОК» (см. Рисунок – Результат успешной проверки).

../../../_images/fw.rp.19.5.5.1.2.png — *Рисунок – Результат успешной проверки*

Проверка работы SSO

Для проверки работы технологии единого входа необходимо выполнить следующие действия:

Открыть настроенный веб-браузер на ПК «Client» и перейти на сайт «ya.ru» – сайт будет открыт без запроса учётных данных пользователя.
Перейти в подраздел журналирования прокси-сервера («Службы» - «Веб-прокси» - «Журнал доступа») и убедиться в наличии записей авторизации с УЗ пользователей домена «test.local» (см. Рисунок – Записи в журнале доступа).

../../../_images/fw.rp.19.5.6.1.png — *Рисунок – Записи в журнале доступа*