proxy – Netzentral

31 08 2016

Pound proxy под Windows

Pound это обратный прокси и балансировщик нагрузки для протоколов HTTP и HTTPS. Отличительные способности включают в себя возможность фронтальной обработки SSL и распределения на обслуживающие сервера в виде HTTP, дезинфекция HTTP и HTTPS на предмет неправильно сформированных запросов, балансировка по состоянию сессии и другим параметрам (URL, идентификации (Basic HTTP), кукам (cookies), HTTP headers). Полная поддержка WebDAV. В режиме балансировки он сам определяет, отвалился ли бекэнд и перенаправляет весь трафик на оставшиеся, периодически чекая отвалившейся хост. Как только Backend восстановился, Pound начинает перебрасывать трафик и на него.

Pound имеет встроенный механизм балансировки и проверки работоспособности обслуживающих серверов. Разработчики отмечают что дизайн изначально был спланирован из принципа не вмешиваться в проходящий трафик, исходя из этого не используют методы встраивания “печенек” и т.п. в сессии, довольно таки на прямую намекая на противоположность методам HAProxy. Несмотря на это замечание, может встраивать в хедэры “X-Forwarded-for” для передачи на бэкенд сервера IP адрес пользователя с целью записи в логи и т.п. Изначально проект разрабатывался как фронтэнд для нескольких серверов Zope (ZEO). Считается легковесным и безопасным, т.к. практически не обращается к диску (кроме чтения сертификатов SSL во время загрузки). Встроенных механизмов отказоустойчивости не имеет.
Проект скромен, манией величия не страдает. Установка и настройка не представляют больших сложностей. Существуют неофициальные пакеты под крупные сборки Линукса, на сайте распространяется только в виде сорсов. Официально тестирован на Линуксе, OpenBSD и Solaris. О использующих проект данных не много, но часто упоминается как решение для балансировки HTTPS в связке с другими решениями.

Чтобы скомпилировать Pound под Windows, используйте CygWin со следующими пакетами: coreutils, cygutils, findutils, gcc-core, gcc-g++, m4, openssl, openssl-devel, rebase, tar, w32api. Их необходимо отметить во время установки вот так:

Копируем следующие файлы в папку, например, C:\Apps\Pound:
cygssl-0.9.8.dll
cygcrypto-0.9.8.dll
cygrunsrv.exe
cygwin1.dll
pound.exe
cygz.dll

Запускаем Cygwin Terminal, переходим в папку с исходниками Pound и выполняем команду:

./configure --without-ssl --build=i686-pc-cygwin

1	./configure --without-ssl --build=i686-pc-cygwin

Затем даем команду

make

make

Чтобы запустить “фунт” как службу Windows, с ведением логов, используйте следующую команду с утилитой cygrunsrv от CygWin:

cygrunsrv --install Pound --path C:\Apps\Pound\pound.exe --args "-f
C:\Apps\Pound\pound.cfg" --stdout C:\Apps\Pound\pound.log --stderr
C:\Apps\Pound\pound.log

cygrunsrv --install Pound --path C:\Apps\Pound\pound.exe --args "-f

C:\Apps\Pound\pound.cfg" --stdout C:\Apps\Pound\pound.log --stderr

C:\Apps\Pound\pound.log

Пример конфига, показывающий весь широкий функционал Pound:

## Minimal sample pound.cfg
######################################################################
## global options:
User        "www-data"
Group       "www-data"
#RootJail   "/chroot/pound"
## Logging: (goes to syslog by default)
##  0   no logging
##  1   normal
##  2   extended
##  3   Apache-style (common log format)
LogLevel    1
## check backend every X secs:
Alive       30
## use hardware-accelleration card supported by openssl(1):
#SSLEngine  ""
######################################################################
## listen, redirect and ... to:
# Here is a more complex example: assume your static images (GIF/JPEG) are to be served from  a  single  back-end  192.168.0.10.  In
#       addition,  192.168.0.11  is  to  do  the  hosting for www.myserver.com with URL-based sessions, and 192.168.0.20 (a 1GHz PIII) and
#       192.168.0.21 (800Mhz Duron) are for all other requests (cookie-based sessions).  The logging will be done by the back-end servers.
#       The configuration file may look like this:
              # Main listening ports
              ListenHTTP
                  Address 202.54.1.10
                  Port    80
                  Client  10
              End
              ListenHTTPS
                  Address 202.54.1.10
                  Port    443
                  Cert    "/etc/pound/pound.pem"
                  Client  20
              End
              # Image server
              Service
                  URL ".*.(jpg|gif)"
                  BackEnd
                      Address 192.168.1.10
                      Port    80
                  End
              End
             # Virtual host www.myserver.com
              Service
                  URL         ".*sessid=.*"
                  HeadRequire "Host:.*www.nixcraft.com.*"
                  BackEnd
                      Address 192.168.1.11
                      Port    80
                  End
                  Session
                      Type    PARM
                      ID      "sessid"
                      TTL     120
                  End
              End
              # Everybody else
              Service
                  BackEnd
                      Address 192.168.1.20
                      Port    80
                      Priority 5
                  End
                  BackEnd
                      Address 192.168.1.21
                      Port    80
                      Priority 4
                  End
                  Session
                      Type    COOKIE
                      ID      "userid"
                      TTL     180
                  End
              End

## Minimal sample pound.cfg

######################################################################

## global options:

User "www-data"

Group "www-data"

#RootJail "/chroot/pound"

## Logging: (goes to syslog by default)

## 0 no logging

## 1 normal

## 2 extended

## 3 Apache-style (common log format)

LogLevel 1

## check backend every X secs:

Alive 30

## use hardware-accelleration card supported by openssl(1):

#SSLEngine ""

######################################################################

## listen, redirect and ... to:

# Here is a more complex example: assume your static images (GIF/JPEG) are to be served from a single back-end 192.168.0.10. In

# addition, 192.168.0.11 is to do the hosting for www.myserver.com with URL-based sessions, and 192.168.0.20 (a 1GHz PIII) and

# 192.168.0.21 (800Mhz Duron) are for all other requests (cookie-based sessions). The logging will be done by the back-end servers.

# The configuration file may look like this:

# Main listening ports

ListenHTTP

Address 202.54.1.10

Port 80

Client 10

End

ListenHTTPS

Address 202.54.1.10

Port 443

Cert "/etc/pound/pound.pem"

Client 20

End

# Image server

Service

URL ".*.(jpg|gif)"

BackEnd

Address 192.168.1.10

Port 80

End

# Virtual host www.myserver.com

Service

URL ".*sessid=.*"

HeadRequire "Host:.*www.nixcraft.com.*"

BackEnd

Address 192.168.1.11

Port 80

End

Session

Type PARM

ID "sessid"

TTL 120

End

# Everybody else

Service

BackEnd

Address 192.168.1.20

Port 80

Priority 5

End

BackEnd

Address 192.168.1.21

Port 80

Priority 4

End

Session

Type COOKIE

ID "userid"

TTL 180

End

Скачать скомпилированный Pound под Windows:
pound-2.7.exe.cab

20 05 2011

Прозрачный прокси перед Squid

Uchla nix debian, iptables, proxy, squid 2

routing На маршрутизаторе (Debian 6 Squeeze, ip1 10.2.16.181, ip2 192.168.56.1) с двумя сетевыми адаптерами необходимо предоставить интернет клиентской сети 192.168.56.0/24 как NAT (получаемый через шлюз по умолчанию). Сам маршрутизатор получает интернет от Squid (HTTP – IP 10.80.20.22, порт 3128, DNS – 10.10.110.10). В общем, необходимо выступить в роли прозрачного прокси для клиентской подсети 192.168.56.0/24.
Первым делом устанавливаем Squid 3, конфиг (/etc/squid3/squid.conf) такой:

acl Net1 src 192.168.56.0/24
cache_peer 10.80.20.22 parent 3128 # Родительский Squid
acl Safe_ports port 80
acl CONNECT method CONNECT
http_access allow CONNECT Safe_ports
http_access allow Net1
http_access allow all
http_port 192.168.56.1:3128 transparent
cache_effective_user proxy
dns_nameservers 10.2.16.1 10.10.110.10 # Взято из /etc/hosts
cache_access_log /var/log/squid3/access.log
cache_log /var/log/squid3/cache.log
hosts_file /etc/hosts
forwarded_for on

acl Net1 src 192.168.56.0/24

cache_peer 10.80.20.22 parent 3128 # Родительский Squid

acl Safe_ports port 80

acl CONNECT method CONNECT

http_access allow CONNECT Safe_ports

http_access allow Net1

http_access allow all

http_port 192.168.56.1:3128 transparent

cache_effective_user proxy

dns_nameservers 10.2.16.1 10.10.110.10 # Взято из /etc/hosts

cache_access_log /var/log/squid3/access.log

cache_log /var/log/squid3/cache.log

hosts_file /etc/hosts

forwarded_for on

Теперь включаем форвардинг:
echo 1 > /proc/sys/net/ipv4/ip_forward
Чтобы форвардинг автоматически включался при запуске системы в /etc/sysctl.conf добавляем строчку:

net.ipv4.ip_forward = 1

1	net.ipv4.ip_forward = 1

Затем добавляем правила в iptables:

iptables -t nat -A PREROUTING -d 192.168.56.1/32 -p udp -m udp --dport 53 -j DNAT --to-destination 10.10.110.10:53
iptables -t nat -A PREROUTING -s 192.168.56.0/24 -i vboxnet0 -p tcp -m multiport --dports 80,8080 -j DNAT --to-destination 192.168.56.1:3128
iptables -t nat -A PREROUTING -p tcp -d 192.168.56.1 --dport 53 -j DNAT --to-destination 10.10.110.10:53
iptables -t nat -A POSTROUTING -p udp -d 10.10.110.10 --dport 53 -j SNAT --to-source 10.2.16.181

iptables -t nat -A PREROUTING -d 192.168.56.1/32 -p udp -m udp --dport 53 -j DNAT --to-destination 10.10.110.10:53

iptables -t nat -A PREROUTING -s 192.168.56.0/24 -i vboxnet0 -p tcp -m multiport --dports 80,8080 -j DNAT --to-destination 192.168.56.1:3128

iptables -t nat -A PREROUTING -p tcp -d 192.168.56.1 --dport 53 -j DNAT --to-destination 10.10.110.10:53

iptables -t nat -A POSTROUTING -p udp -d 10.10.110.10 --dport 53 -j SNAT --to-source 10.2.16.181

Чтобы работало после перезагрузки, сохраняем настройки iptables в файл:
sudo iptables-save > /etc/iptables.rooslan
И добавляем в конец файла /etc/network/interfaces:
pre-up iptables-restore < /etc/iptables.rooslan
Не забудьте у клиента в качестве DNS-сервера и шлюза по умолчанию выставить свой IP-адрес (192.168.56.1)