स्क्विड 5 प्रॉक्सी सर्वर की स्थिर रिलीज़

तीन साल के विकास के बाद, स्क्विड 5.1 प्रॉक्सी सर्वर की एक स्थिर रिलीज़ प्रस्तुत की गई है, जो उत्पादन प्रणालियों पर उपयोग के लिए तैयार है (रिलीज़ 5.0.x को बीटा संस्करण की स्थिति प्राप्त थी)। 5.x शाखा को स्थिर दर्जा दिए जाने के बाद, अब से इसमें केवल कमजोरियों और स्थिरता की समस्याओं को ठीक किया जाएगा, और मामूली अनुकूलन की भी अनुमति है। नई सुविधाओं का विकास नई प्रायोगिक शाखा 6.0 में किया जाएगा। पिछली स्थिर 4.x शाखा के उपयोगकर्ताओं को 5.x शाखा में स्थानांतरित करने की योजना बनाने की सलाह दी जाती है।

स्क्विड 5 में प्रमुख नवाचार:

• बाहरी सामग्री सत्यापन प्रणालियों के साथ एकीकरण के लिए उपयोग किए जाने वाले आईसीएपी (इंटरनेट सामग्री अनुकूलन प्रोटोकॉल) के कार्यान्वयन ने डेटा अनुलग्नक तंत्र (ट्रेलर) के लिए समर्थन जोड़ा है, जो आपको संदेश के बाद रखे गए प्रतिक्रिया के लिए मेटाडेटा के साथ अतिरिक्त हेडर संलग्न करने की अनुमति देता है। मुख्य भाग (उदाहरण के लिए, आप एक चेकसम और पहचानी गई समस्याओं के बारे में विवरण भेज सकते हैं)।
• अनुरोधों को पुनर्निर्देशित करते समय, "हैप्पी आईबॉल्स" एल्गोरिदम का उपयोग किया जाता है, जो सभी संभावित रूप से उपलब्ध आईपीवी 4 और आईपीवी 6 लक्ष्य पते के समाधान की प्रतीक्षा किए बिना तुरंत प्राप्त आईपी पते का उपयोग करता है। यह निर्धारित करने के लिए कि IPv4 या IPv4 पता परिवार का उपयोग किया जाता है या नहीं, "dns_v6_first" सेटिंग का उपयोग करने के बजाय, DNS प्रतिक्रिया के क्रम को अब ध्यान में रखा जाता है: यदि IP पते के समाधान की प्रतीक्षा करते समय DNS AAAA प्रतिक्रिया पहले आती है, तो परिणामी IPv6 पते का उपयोग किया जाएगा. इस प्रकार, पसंदीदा पता परिवार की सेटिंग अब फ़ायरवॉल, डीएनएस या स्टार्टअप स्तर पर "--disable-ipv6" विकल्प के साथ की जाती है। प्रस्तावित परिवर्तन हमें टीसीपी कनेक्शन के सेटअप समय को तेज करने और डीएनएस रिज़ॉल्यूशन के दौरान देरी के प्रदर्शन प्रभाव को कम करने की अनुमति देता है।
• "एक्सटर्नल_एसीएल" निर्देश में उपयोग के लिए, केर्बरोस का उपयोग करके सक्रिय निर्देशिका में समूह जांच के साथ प्रमाणीकरण के लिए "ext_kerberos_sid_group_acl" हैंडलर जोड़ा गया है। समूह नाम को क्वेरी करने के लिए, OpenLDAP पैकेज द्वारा प्रदान की गई ldapsearch उपयोगिता का उपयोग करें।
• लाइसेंस संबंधी समस्याओं के कारण बर्कले डीबी प्रारूप के लिए समर्थन बंद कर दिया गया है। बर्कले DB 5.x शाखा का कई वर्षों से रखरखाव नहीं किया गया है और यह अप्रकाशित कमजोरियों के साथ बनी हुई है, और नए रिलीज में संक्रमण को AGPLv3 में लाइसेंस परिवर्तन द्वारा रोका जाता है, जिसकी आवश्यकताएं उन अनुप्रयोगों पर भी लागू होती हैं जो BerkeleyDB का उपयोग करते हैं एक लाइब्रेरी - स्क्विड की आपूर्ति GPLv2 लाइसेंस के तहत की जाती है, और AGPL GPLv2 के साथ संगत नहीं है। बर्कले डीबी के बजाय, प्रोजेक्ट को ट्रिवियलडीबी डीबीएमएस के उपयोग में स्थानांतरित कर दिया गया था, जो बर्कले डीबी के विपरीत, डेटाबेस तक एक साथ समानांतर पहुंच के लिए अनुकूलित है। बर्कले डीबी समर्थन अभी बरकरार रखा गया है, लेकिन "ext_session_acl" और "ext_time_quota_acl" हैंडलर अब "libdb" के बजाय "libtdb" स्टोरेज प्रकार का उपयोग करने की सलाह देते हैं।
• आरएफसी 8586 में परिभाषित सीडीएन-लूप HTTP हेडर के लिए समर्थन जोड़ा गया, जो आपको सामग्री वितरण नेटवर्क का उपयोग करते समय लूप का पता लगाने की अनुमति देता है (हेडर उन स्थितियों के खिलाफ सुरक्षा प्रदान करता है जब किसी कारण से सीडीएन के बीच पुनर्निर्देशन की प्रक्रिया में कोई अनुरोध वापस आ जाता है) मूल सीडीएन, एक अंतहीन लूप बनाता है)।
• एसएसएल-बम्प तंत्र, जो आपको एन्क्रिप्टेड HTTPS सत्रों की सामग्री को इंटरसेप्ट करने की अनुमति देता है, ने HTTP CONNECT विधि के आधार पर एक नियमित सुरंग का उपयोग करके कैश_पीयर में निर्दिष्ट अन्य प्रॉक्सी सर्वर के माध्यम से स्पूफ्ड (पुनः एन्क्रिप्टेड) ​​HTTPS अनुरोधों को पुनर्निर्देशित करने के लिए समर्थन जोड़ा है। HTTPS के माध्यम से ट्रांसमिशन समर्थित नहीं है, क्योंकि स्क्विड अभी तक TLS को TLS के भीतर ट्रांसपोर्ट नहीं कर सकता है)। एसएसएल-बम्प आपको पहला इंटरसेप्टेड HTTPS अनुरोध प्राप्त होने पर लक्ष्य सर्वर के साथ एक टीएलएस कनेक्शन स्थापित करने और उसका प्रमाणपत्र प्राप्त करने की अनुमति देता है। इसके बाद, स्क्विड सर्वर से प्राप्त वास्तविक प्रमाणपत्र से होस्टनाम का उपयोग करता है और एक डमी प्रमाणपत्र बनाता है, जिसके साथ यह क्लाइंट के साथ बातचीत करते समय अनुरोधित सर्वर का अनुकरण करता है, जबकि डेटा प्राप्त करने के लिए लक्ष्य सर्वर के साथ स्थापित टीएलएस कनेक्शन का उपयोग जारी रखता है ( ताकि प्रतिस्थापन के कारण क्लाइंट पक्ष के ब्राउज़र में आउटपुट चेतावनियां न आएं, आपको काल्पनिक प्रमाणपत्र उत्पन्न करने के लिए उपयोग किए जाने वाले अपने प्रमाणपत्र को रूट प्रमाणपत्र स्टोर में जोड़ना होगा)।
• नेटफिल्टर मार्क्स (CONMARK) को क्लाइंट टीसीपी कनेक्शन या व्यक्तिगत पैकेट से बांधने के लिए मार्क_क्लाइंट_कनेक्शन और मार्क_क्लाइंट_पैक निर्देश जोड़े गए।

उनकी ऊँची एड़ी के जूते पर, स्क्विड 5.2 और स्क्विड 4.17 की रिलीज़ प्रकाशित की गईं, जिसमें कमजोरियाँ तय की गईं:

• सीवीई-2021-28116 - विशेष रूप से तैयार किए गए डब्ल्यूसीसीपीवी2 संदेशों को संसाधित करते समय सूचना रिसाव। भेद्यता एक हमलावर को ज्ञात WCCP राउटर्स की सूची को दूषित करने और प्रॉक्सी सर्वर क्लाइंट से ट्रैफ़िक को उनके होस्ट पर पुनर्निर्देशित करने की अनुमति देती है। समस्या केवल WCCPv2 समर्थन सक्षम कॉन्फ़िगरेशन में दिखाई देती है और जब राउटर के आईपी पते को धोखा देना संभव होता है।
• सीवीई-2021-41611 - टीएलएस प्रमाणपत्र सत्यापन में एक समस्या अविश्वसनीय प्रमाणपत्रों का उपयोग करके पहुंच की अनुमति देती है।

स्रोत: opennet.ru