Решаемые задачи

Б. Контроль и защита

Возможность использования прокси-серверов, как посредников между клиентом и HTTP-сервером является весьма полезной не только с точки зрения уменьшения трафика путем кэширования, но и с точки зрения обеспечения безопасности.

Разумная политика состоит в том, что все хосты внутренней сети должны пользоваться WWW через прокси-сервер предприятия. Правила фильтрации брандмауэра строятся таким образом, что разрешен только HTTP-трафик, следующий к прокси-серверу или от него. Особенность HTTP-трафика состоит в том, что он далеко не всегда привязан к порту 80, поэтому в общем случае для прокси-сервера должны быть открыты все порты или хотя бы наиболее популярные из них (80-86, 8000-8006, 8080-8086, 8888).

Следующие административные задачи могут быть решены на прокси-сервере при обслуживании пользователя (группы пользователей):

• разрешение доступа к тому или иному сайту;
• разрешение использовать те или иные методы запроса (особенно CONNECT, позволяющего туннелировать сквозь прокси-сервер);
• качество обслуживания запроса: например, выделение определенной полосы пропускания;
• учет объема полученного за определенный период трафика и отказ в обслуживании пользователя при превышении определенного лимита;
• направление запроса через того или иного провайдера, если организация подключена к нескольким провайдерам (например, запросы низкоприоритетных пользователей направляются по медленному, но дешевому каналу, а высокоприоритетные - по скоростной, но дорогой линии);
• инспекция данных, передаваемых в запросе или ответе, например, для предотвращения несанкционированной передачи секретных данных или для автоматического удаления рекламных баннеров (выполнимо, если данные передаются в открытом виде).
• HTTP прокси-серверы также могут предоставлять прокси-сервис и для протокола FTP, что поддерживается всеми браузерами и большинством специализированных FTP-клиентов.

1. НТТР-прокси. Самые распространенные прокси-сервера, которые позволяют работать по HTTP и (иногда) FTP протоколам. Степень обеспечиваемой анонимности определяется переменными окружения, которые прокси передает конечному серверу. Самые значимые из них:

REMOTE_ADDR (IP адрес клиента/прокси);

HTTP_VIA (адрес прокси-сервера);

HTTP_X_FORWARD_FOR (реальный IP-адрес клиента);

От того, какие переменные окружения подменяет или скрывает прокси сервер во время своей посреднической деятельности напрямую зависит анонимность его пользователей в сети.

Прозрачные (обычные) прокси не только не скрывают своего присутствия, но еще и показывают реальный IP-адрес клиента. У них другие задачи (кэширование информации, организации совместного доступа в Интернет нескольких машин и т.п.) При этом переменные окружения выглядят следующим образом:

REMOTE_ADDR=IP прокси

HTTP_VIA= IP прокси (подтверждение использования прокси-сервера)

HTTP_X_FORWARD_FOR=реальный IP-адрес клиента

Анонимные. Эти прокси также не скрывают факта своей работы, но заменяют IP адрес клиента своим собственным:

REMOTE_ADDR= IP прокси

HTTP_VIA= IP прокси (подтверждение использования прокси-сервера)

HTTP_X_FORWARD_FOR= IP прокси

Искажающие. То же самое что и анонимные. Не скрывают от конечного сервера то, что запрос идет через прокси, однако, вместо реального адреса клиента показывают произвольный:

REMOTE_ADDR= IP прокси

HTTP_VIA= IP прокси (подтверждение использования прокси-сервера)

HTTP_X_FORWARD_FOR= произвольный IP

Действительно анонимные. В отличие от других видов прокси-серверов скрывают сам факт своего существования, поэтому удаленный сервер фиксирует работу как с обычным клиентом.

2. SOCKS-прокси. Этот тип прокси работает не только по протоколам HTTP и FTP, но и по любому другому TCP/IP протоколу прикладного уровня (FTP, POP, SМТР и т.д.). Дело в том, что SOCKS (протокол представляет собой "уровень-прокладку" между прикладным уровнем и транспортным уровнем) не обрабатывает информацию, а просто передает данные от клиента к серверу. Поэтому используемый протокол не играет для него никакой роли. Выделяют две основные версии SOCKS 4 и 5. Последняя, в отличие от предшественницы, умеет использовать не только TCP, но и UDP соединения. С точки зрения анонимности SOCKS более предпочтителен, чем http-прокси, потому что не передают IP адрес источника информации. Кроме того, выстроить цепочку из SOCKS-ов значительно легче. Для этого можно воспользоваться утилитой SocksChain (www.ufasoft.com).

3. CGI-прокси. В последнее время стали выделять ещё один тип прокси-сервера, так называемые анонимайзеры. Это скрипты, которые сами выкачивают удаленную веб-страницу (соответственно открывают IP своего сервера) и выдают ее браузеру клиента. Использование публичных сервисов (например, www.anonymizer.com) вероятнее всего не даёт полную анонимность, а цепочка собственных CGI-прокси поставленных на различных веб-серверах, скорее всего, обеспечит анонимность. Классификация по степени анонимности у CGI-прокси точно такая же, как и у HTTP-прокси.

Дата добавления: 2013-12-12