🥇fproxy v83 — локален прокси сървър за филтриране на http(s)-трафик

Публикувана е 83-та версия на кеширащия и антиспам прокси сървър за лична употреба с гъвкави настройки.

Основни функции (всичко е настраиваемо):

филтриране на нежелано съдържание (бели/черни списъци за URL адреси, забрана на бисквитки);
задължително и безсрочно кеширане на получените данни (предимно удобно за изображения и скриптове);
корекция на съдържанието на уеб страниците в реално време (чрез редактиране на изходния код на C, има пример за замяна на съдържанието на клонови страници на stackoverflow с линк към оригинала);
черни/бели списъци на сертификати и certificate pinning по списък;
замяна на IP адреса/домена/пътя/протокола на http-запитването според конфигурацията (такъв разширен вариант на /etc/hosts);
http/https-sniffer.

Чудесно подхожда за сърфиране в сайтове през бавен интернет или на бавно устройство (благодарение на т.1 и 2, заради които всичко беше замислено), но изобщо е полезно във всякакъв случай.

Прокси сървърът за целите на сигурността и опростяването на логиката на работа е разделен на три части: TLS сървър (терминиращ браузерните свързвания), централен модул на проксито и клиент, терминиращ изходящите свързвания.

Програмата е предназначена за персонализирана употреба, т.е. всички конфигурации и директорията с текущите данни на прокси сървъра са свързани с конкретен потребител или дори с конкретен профил на браузера. Стартирането на проксито в качеството на общосистемен демон е технически възможно, но в този вариант е затруднително да се използва една от основните му функции — агресивното кеширане на всичко, тъй като кешираните данни за всеки профил на браузера могат да бъдат свои и трябва да бъдат изолирани помежду си в интерес на сигурността.

Пример за списък за блокиране:

deny nosub all share.yandex.ru browser-updater.yandex.net deny nosub all a.ria.ru # ? deny nosub spec vk.com query \/share.php deny nosub spec yastatic.net query \/pcode\/adfox\/loader.js query \/share2\/share.js deny nosub spec www.youtube.com query \/subscribe_widget deny nosub spec pano.img.ria.ru query \/adriver\/flashplagin\/movie.swf deny nosub spec a.ria.ru query \/ping deny nosub spec n-ssl.ria.ru query \/polling deny nosub spec apis.google.com query \/js\/plusone.js deny nosub spec yandex.ru pref \/clck\/safeclick\/ pref \/clck\/click\/ pref \/clck\/jclck\/ deny all spec query \/tnc # index.ru proxied counter exact \/tnc.js # index.ru proxied counter query \/pixel.gif # някои спамери използват това

Пример на списък с маршрутизация:

https://my.local.site set proxy none set target http://127.0.0.1:1234/localsite set http_host new.host:1234 .intel.com resolve off set proxy socks5://127.0.0.1:3333

При обновление от версии по-стара от 78 е необходимо да се конвертира кеша: влезте в работната директория на прокси-сервера от потребителя (uid/gid) на прокси-сервера и изпълнете fproxy-cacheconv-78 (по подразбиране тази програма не се компилира).

Промени от последната публикувана версия (80):

fproxy-dashboard вече има опция за показване на размерите на съдържанието в байтове, вместо в килобайтове;
поддръжка на бъгнати сървъри, игнориращи заглавката «Connection: close»;
поддръжка на бъгнати сървъри, които връщат неправилна заглавка «Content-Encoding: identity»;
изпращане на TLS-опцията ALPN;
подобряване работата на TLS-третирането от страната на клиента: сега поддържа не само TLS, а и обикновени връзки, поддържа работа като независим демон с приемане на заявки от основния прокси по мрежата и може да пренасочва изходящите си връзки през друго прокси, по този начин позволява гъвкаво разделяне на задачите между възлите в условия на лоша интернет свързаност и/или необходимост от организиране на „изход“ на трафика на отдалечен сървър с различна степен на доверие; новата версия също е по-удобна за ръчно използване от командния ред като конзолен TLS-клиент с поддръжка на проксириране;
облекчена сборка, сега има Makefile вместо shell-скриптове
организирани предварително събрани .deb пакети в репозитория (за версии Debian 8-12)
промени в конфигурационния файл, обратно несъвместими
нов конфиг за управление на маршрутизацията на заявките, обединяващ преди съществуващите отделни конфиги resolv и включвания за пробиване на изходящите връзки на отдалечен сървър, както и получаващ редица нови опции: сега е възможно за всеки url (протокол, домейн, порт, път) да се избере чрез кой клиент, през кое прокси ще бъде изпратен, през чий dns-сървър ще се извършва определянето на неговия ip адрес (включително опционално делегиране на тази задача на външен http или socks5 прокси сървър), или да се запише адреса ръчно, а също така да се замести протокола, порта или префикса на пътя на url-а
добавена поддръжка на SAN-сертификати за ip адреси и в клиента и в сървера (броузерите от известно време не приемат ip адреси в CommonName)

В плановете за бъдещето:

поддръжка на CGI/FastCGI/.so хукове за mitm-обработка на съдържанието, получено от сайтове
мениджър на профили и конфигурации за проксита
интерактивно управление на проверката на сертификатите на отдалечени сайтове и списъци с блокировки

Източник: linux.org.ru

fproxy v83 — локален прокси-сървър за филтриране на http(s) трафик