Squid 5 પ્રોક્સી સર્વરનું સ્થિર પ્રકાશન

વિકાસના ત્રણ વર્ષ પછી, સ્ક્વિડ 5.1 પ્રોક્સી સર્વરનું સ્થિર પ્રકાશન પ્રસ્તુત કરવામાં આવ્યું છે, જે ઉત્પાદન પ્રણાલીઓ પર ઉપયોગ માટે તૈયાર છે (રીલીઝ 5.0.x બીટા સંસ્કરણોની સ્થિતિ ધરાવે છે). 5.x શાખાને સ્થિર દરજ્જો આપવામાં આવ્યા પછી, હવેથી તેમાં માત્ર નબળાઈઓ અને સ્થિરતા સમસ્યાઓ માટેના સુધારા કરવામાં આવશે, અને નાના ઑપ્ટિમાઇઝેશનને પણ મંજૂરી છે. નવી પ્રાયોગિક શાખા 6.0 માં નવી સુવિધાઓનો વિકાસ હાથ ધરવામાં આવશે. અગાઉની સ્થિર 4.x શાખાના વપરાશકર્તાઓને 5.x શાખામાં સ્થળાંતર કરવાની યોજના કરવાની સલાહ આપવામાં આવે છે.

સ્ક્વિડ 5 માં મુખ્ય નવીનતાઓ:

• ICAP (ઇન્ટરનેટ કન્ટેન્ટ એડેપ્ટેશન પ્રોટોકોલ) ના અમલીકરણ, જે બાહ્ય સામગ્રી ચકાસણી પ્રણાલીઓ સાથે સંકલન માટે ઉપયોગમાં લેવાય છે, તેમાં ડેટા જોડાણ પદ્ધતિ (ટ્રેલર) માટે સમર્થન ઉમેર્યું છે, જે તમને સંદેશ પછી મૂકવામાં આવેલા પ્રતિભાવમાં મેટાડેટા સાથે વધારાના હેડરો જોડવાની મંજૂરી આપે છે. શરીર (ઉદાહરણ તરીકે, તમે ચેકસમ મોકલી શકો છો અને ઓળખવામાં આવેલી સમસ્યાઓ વિશેની વિગતો).
• વિનંતીઓને રીડાયરેક્ટ કરતી વખતે, "હેપ્પી આઈબોલ્સ" અલ્ગોરિધમનો ઉપયોગ કરવામાં આવે છે, જે સંભવિત રૂપે ઉપલબ્ધ IPv4 અને IPv6 લક્ષ્ય સરનામાંના ઉકેલની રાહ જોયા વિના તરત જ પ્રાપ્ત IP સરનામાંનો ઉપયોગ કરે છે. IPv4 અથવા IPv4 એડ્રેસ ફેમિલીનો ઉપયોગ કરવામાં આવે છે કે કેમ તે નિર્ધારિત કરવા માટે "dns_v6_first" સેટિંગનો ઉપયોગ કરવાને બદલે, DNS પ્રતિસાદનો ક્રમ હવે ધ્યાનમાં લેવામાં આવે છે: જો IP સરનામાંના ઉકેલની રાહ જોતી વખતે DNS AAAA પ્રતિસાદ પ્રથમ આવે છે, તો પછી પરિણામી IPv6 સરનામાંનો ઉપયોગ કરવામાં આવશે. આમ, પ્રિફર્ડ એડ્રેસ ફેમિલી સેટ કરવાનું હવે ફાયરવોલ, DNS અથવા સ્ટાર્ટઅપ લેવલ પર “--disable-ipv6” વિકલ્પ સાથે કરવામાં આવે છે. સૂચિત ફેરફાર અમને TCP કનેક્શનના સેટઅપ સમયને ઝડપી બનાવવા અને DNS રિઝોલ્યુશન દરમિયાન વિલંબના પ્રભાવને ઘટાડવાની મંજૂરી આપે છે.
• "external_acl" ડાયરેક્ટિવમાં ઉપયોગ કરવા માટે, "ext_kerberos_sid_group_acl" હેન્ડલરને Kerberos નો ઉપયોગ કરીને સક્રિય ડિરેક્ટરીમાં જૂથ તપાસ સાથે પ્રમાણીકરણ માટે ઉમેરવામાં આવ્યું છે. જૂથના નામની ક્વેરી કરવા માટે, OpenLDAP પેકેજ દ્વારા પૂરી પાડવામાં આવેલ ldapsearch ઉપયોગિતાનો ઉપયોગ કરો.
• બર્કલે ડીબી ફોર્મેટ માટેનો આધાર લાયસન્સિંગ સમસ્યાઓને કારણે નાપસંદ કરવામાં આવ્યો છે. Berkeley DB 5.x શાખાને ઘણા વર્ષોથી જાળવવામાં આવી નથી અને તે અનપેચ્ડ નબળાઈઓ સાથે રહે છે, અને AGPLv3 માં લાયસન્સ ફેરફાર દ્વારા નવા પ્રકાશનોમાં સંક્રમણ અટકાવવામાં આવે છે, જેની જરૂરિયાતો એ એપ્લિકેશનને પણ લાગુ પડે છે જે બર્કલેડીબીનો ઉપયોગ કરે છે લાઇબ્રેરી - Squid GPLv2 લાયસન્સ હેઠળ સપ્લાય કરવામાં આવે છે, અને AGPL GPLv2 સાથે સુસંગત નથી. બર્કલે ડીબીને બદલે, પ્રોજેક્ટ ટ્રિવિયલડીબી ડીબીએમએસના ઉપયોગ માટે સ્થાનાંતરિત કરવામાં આવ્યો હતો, જે બર્કલે ડીબીથી વિપરીત, ડેટાબેઝની એક સાથે સમાંતર ઍક્સેસ માટે ઑપ્ટિમાઇઝ કરવામાં આવે છે. બર્કલે DB સપોર્ટ અત્યારે માટે જાળવી રાખવામાં આવ્યો છે, પરંતુ "ext_session_acl" અને "ext_time_quota_acl" હેન્ડલર્સ હવે "libdb" ને બદલે "libtdb" સ્ટોરેજ પ્રકારનો ઉપયોગ કરવાની ભલામણ કરે છે.
• CDN-લૂપ HTTP હેડર માટે ઉમેરાયેલ સમર્થન, RFC 8586 માં વ્યાખ્યાયિત કરવામાં આવ્યું છે, જે તમને સામગ્રી વિતરણ નેટવર્કનો ઉપયોગ કરતી વખતે લૂપ્સ શોધવા માટે પરવાનગી આપે છે (હેડર પરિસ્થિતિઓ સામે રક્ષણ પૂરું પાડે છે જ્યારે કોઈ કારણસર CDN વચ્ચે રીડાયરેક્ટ કરવાની પ્રક્રિયામાં વિનંતી પાછી આવે છે. મૂળ CDN, એક અનંત લૂપ બનાવે છે).
• SSL-Bump મિકેનિઝમ, જે તમને એનક્રિપ્ટેડ HTTPS સત્રોના સમાવિષ્ટોને અટકાવવા માટે પરવાનગી આપે છે, તેણે HTTP CONNECT પદ્ધતિ પર આધારિત નિયમિત ટનલનો ઉપયોગ કરીને, cache_peer માં નિર્દિષ્ટ અન્ય પ્રોક્સી સર્વર્સ દ્વારા સ્પૂફ્ડ (ફરી-એનક્રિપ્ટેડ) HTTPS વિનંતીઓને રીડાયરેક્ટ કરવા માટે સમર્થન ઉમેર્યું છે. HTTPS મારફતે ટ્રાન્સમિશન સપોર્ટેડ નથી, કારણ કે Squid હજુ સુધી TLS ની અંદર TLSનું પરિવહન કરી શકતું નથી). SSL-Bump તમને પ્રથમ ઇન્ટરસેપ્ટેડ HTTPS વિનંતીની પ્રાપ્તિ પર લક્ષ્ય સર્વર સાથે TLS કનેક્શન સ્થાપિત કરવાની અને તેનું પ્રમાણપત્ર મેળવવાની મંજૂરી આપે છે. આ પછી, સ્ક્વિડ સર્વરમાંથી પ્રાપ્ત વાસ્તવિક પ્રમાણપત્રમાંથી હોસ્ટનામનો ઉપયોગ કરે છે અને એક ડમી પ્રમાણપત્ર બનાવે છે, જેની સાથે તે ક્લાયંટ સાથે ક્રિયાપ્રતિક્રિયા કરતી વખતે વિનંતી કરેલ સર્વરનું અનુકરણ કરે છે, જ્યારે ડેટા પ્રાપ્ત કરવા માટે લક્ષ્ય સર્વર સાથે સ્થાપિત TLS કનેક્શનનો ઉપયોગ કરવાનું ચાલુ રાખે છે ( જેથી અવેજી ક્લાયંટ બાજુના બ્રાઉઝર્સમાં આઉટપુટ ચેતવણીઓ તરફ દોરી ન જાય, તમારે તમારા પ્રમાણપત્રને રૂટ પ્રમાણપત્ર સ્ટોરમાં બનાવટી પ્રમાણપત્રો જનરેટ કરવા માટે વપરાતું પ્રમાણપત્ર ઉમેરવાની જરૂર છે).
• નેટફિલ્ટર માર્ક્સ (CONNMARK) ને ક્લાયંટ TCP કનેક્શન્સ અથવા વ્યક્તિગત પેકેટો સાથે જોડવા માટે mark_client_connection અને mark_client_pack નિર્દેશો ઉમેર્યા.

તેમની રાહ પર ગરમ, સ્ક્વિડ 5.2 અને સ્ક્વિડ 4.17 ના પ્રકાશન પ્રકાશિત કરવામાં આવ્યા હતા, જેમાં નબળાઈઓ નિશ્ચિત કરવામાં આવી હતી:

• CVE-2021-28116 - ખાસ રચાયેલા WCCPv2 સંદેશાઓ પર પ્રક્રિયા કરતી વખતે માહિતી લિકેજ. નબળાઈ હુમલાખોરને જાણીતા WCCP રાઉટર્સની સૂચિને બગાડવા અને પ્રોક્સી સર્વર ક્લાયન્ટ્સથી તેમના હોસ્ટ પર ટ્રાફિકને રીડાયરેક્ટ કરવાની મંજૂરી આપે છે. સમસ્યા ફક્ત WCCPv2 સપોર્ટ સાથેની ગોઠવણીમાં જ દેખાય છે અને જ્યારે રાઉટરના IP એડ્રેસને સ્પુફ કરવું શક્ય હોય ત્યારે.
• CVE-2021-41611 - TLS પ્રમાણપત્ર ચકાસણીમાં સમસ્યા અવિશ્વસનીય પ્રમાણપત્રોનો ઉપયોગ કરીને ઍક્સેસ કરવાની મંજૂરી આપે છે.

સોર્સ: opennet.ru