Squid 5 പ്രോക്സി സെർവറിന്റെ സ്ഥിരതയുള്ള റിലീസ്

മൂന്ന് വർഷത്തെ വികസനത്തിന് ശേഷം, സ്‌ക്വിഡ് 5.1 പ്രോക്‌സി സെർവറിന്റെ സ്ഥിരമായ ഒരു റിലീസ് അവതരിപ്പിച്ചു, ഇത് പ്രൊഡക്ഷൻ സിസ്റ്റങ്ങളിൽ ഉപയോഗിക്കുന്നതിന് തയ്യാറാണ് (റിലീസുകൾക്ക് 5.0.x-ന് ബീറ്റ പതിപ്പുകളുടെ സ്റ്റാറ്റസ് ഉണ്ടായിരുന്നു). 5.x ബ്രാഞ്ചിന് സ്ഥിരത നൽകിയ ശേഷം, ഇനി മുതൽ അതിൽ കേടുപാടുകൾക്കും സ്ഥിരത പ്രശ്നങ്ങൾക്കുമുള്ള പരിഹാരങ്ങൾ മാത്രമേ ചെയ്യൂ, കൂടാതെ ചെറിയ ഒപ്റ്റിമൈസേഷനുകളും അനുവദനീയമാണ്. പുതിയ ഫീച്ചറുകളുടെ വികസനം പുതിയ പരീക്ഷണ ശാഖ 6.0-ൽ നടപ്പിലാക്കും. മുമ്പത്തെ സ്ഥിരതയുള്ള 4.x ബ്രാഞ്ചിന്റെ ഉപയോക്താക്കൾ 5.x ബ്രാഞ്ചിലേക്ക് മൈഗ്രേറ്റ് ചെയ്യാൻ പദ്ധതിയിടാൻ നിർദ്ദേശിക്കുന്നു.

സ്ക്വിഡ് 5 ലെ പ്രധാന കണ്ടുപിടുത്തങ്ങൾ:

• ബാഹ്യ ഉള്ളടക്ക പരിശോധനാ സംവിധാനങ്ങളുമായുള്ള സംയോജനത്തിനായി ഉപയോഗിക്കുന്ന ICAP (ഇന്റർനെറ്റ് ഉള്ളടക്ക അഡാപ്റ്റേഷൻ പ്രോട്ടോക്കോൾ) നടപ്പിലാക്കുന്നത്, ഒരു ഡാറ്റ അറ്റാച്ച്‌മെന്റ് മെക്കാനിസത്തിന് (ട്രെയിലർ) പിന്തുണ ചേർത്തിട്ടുണ്ട്, ഇത് സന്ദേശത്തിന് ശേഷം സ്ഥാപിച്ചിരിക്കുന്ന പ്രതികരണത്തിലേക്ക് മെറ്റാഡാറ്റ ഉപയോഗിച്ച് അധിക തലക്കെട്ടുകൾ അറ്റാച്ചുചെയ്യാൻ നിങ്ങളെ അനുവദിക്കുന്നു. ബോഡി (ഉദാഹരണത്തിന്, നിങ്ങൾക്ക് ഒരു ചെക്ക്സവും തിരിച്ചറിഞ്ഞ പ്രശ്നങ്ങളുടെ വിശദാംശങ്ങളും അയയ്ക്കാൻ കഴിയും).
• അഭ്യർത്ഥനകൾ റീഡയറക്‌ടുചെയ്യുമ്പോൾ, ലഭ്യമായേക്കാവുന്ന എല്ലാ IPv4, IPv6 ടാർഗെറ്റ് വിലാസങ്ങൾ പരിഹരിക്കുന്നതിനായി കാത്തിരിക്കാതെ, ലഭിച്ച IP വിലാസം ഉടനടി ഉപയോഗിക്കുന്ന "ഹാപ്പി ഐബോൾസ്" അൽഗോരിതം ഉപയോഗിക്കുന്നു. ഒരു IPv4 അല്ലെങ്കിൽ IPv4 വിലാസ കുടുംബം ഉപയോഗിക്കുന്നുണ്ടോ എന്ന് നിർണ്ണയിക്കാൻ "dns_v6_first" ക്രമീകരണം ഉപയോഗിക്കുന്നതിന് പകരം, DNS പ്രതികരണത്തിന്റെ ക്രമം ഇപ്പോൾ കണക്കിലെടുക്കുന്നു: ഒരു IP വിലാസം പരിഹരിക്കുന്നതിനായി കാത്തിരിക്കുമ്പോൾ DNS AAAA പ്രതികരണം ആദ്യം എത്തുകയാണെങ്കിൽ, തത്ഫലമായുണ്ടാകുന്ന IPv6 വിലാസം ഉപയോഗിക്കും. അതിനാൽ, തിരഞ്ഞെടുത്ത വിലാസ കുടുംബം ഇപ്പോൾ ഫയർവാൾ, ഡിഎൻഎസ് അല്ലെങ്കിൽ സ്റ്റാർട്ടപ്പ് തലത്തിൽ “--disable-ipv6” ഓപ്ഷൻ ഉപയോഗിച്ച് ചെയ്യുന്നു. നിർദ്ദിഷ്ട മാറ്റം TCP കണക്ഷനുകളുടെ സജ്ജീകരണ സമയം വേഗത്തിലാക്കാനും DNS റെസല്യൂഷനിലെ കാലതാമസത്തിന്റെ പ്രകടന ആഘാതം കുറയ്ക്കാനും ഞങ്ങളെ അനുവദിക്കുന്നു.
• "external_acl" നിർദ്ദേശത്തിൽ ഉപയോഗിക്കുന്നതിന്, Kerberos ഉപയോഗിച്ച് ആക്ടീവ് ഡയറക്ടറിയിൽ ഗ്രൂപ്പ് ചെക്കിംഗിനൊപ്പം പ്രാമാണീകരണത്തിനായി "ext_kerberos_sid_group_acl" ഹാൻഡ്‌ലർ ചേർത്തു. ഗ്രൂപ്പിന്റെ പേര് അന്വേഷിക്കാൻ, OpenLDAP പാക്കേജ് നൽകുന്ന ldapsearch യൂട്ടിലിറ്റി ഉപയോഗിക്കുക.
• ലൈസൻസിംഗ് പ്രശ്‌നങ്ങൾ കാരണം ബെർക്ക്‌ലി ഡിബി ഫോർമാറ്റിനുള്ള പിന്തുണ അവസാനിപ്പിച്ചു. Berkeley DB 5.x ബ്രാഞ്ച് നിരവധി വർഷങ്ങളായി പരിപാലിക്കപ്പെടുന്നില്ല, കൂടാതെ അൺപാച്ച് ചെയ്യപ്പെടാത്ത കേടുപാടുകൾ കൂടാതെ തുടരുന്നു, കൂടാതെ AGPLv3-ലേക്കുള്ള ലൈസൻസ് മാറ്റം വഴി പുതിയ പതിപ്പുകളിലേക്കുള്ള മാറ്റം തടയുന്നു, ഇതിന്റെ ആവശ്യകതകൾ BerkeleyDB ഉപയോഗിക്കുന്ന ആപ്ലിക്കേഷനുകൾക്കും ബാധകമാണ്. ഒരു ലൈബ്രറി - GPLv2 ലൈസൻസിന് കീഴിലാണ് കണവ വിതരണം ചെയ്യുന്നത്, കൂടാതെ AGPL GPLv2 ന് അനുയോജ്യമല്ല. ബെർക്ക്‌ലി ഡിബിക്ക് പകരം, പ്രോജക്റ്റ് ട്രൈവിയൽ ഡിബി ഡിബിഎംഎസിന്റെ ഉപയോഗത്തിലേക്ക് മാറ്റി, ബെർക്ക്‌ലി ഡിബിയിൽ നിന്ന് വ്യത്യസ്തമായി, ഡാറ്റാബേസിലേക്ക് ഒരേസമയം സമാന്തര ആക്‌സസ്സിനായി ഒപ്റ്റിമൈസ് ചെയ്‌തിരിക്കുന്നു. Berkeley DB പിന്തുണ ഇപ്പോൾ നിലനിർത്തിയിട്ടുണ്ട്, എന്നാൽ "ext_session_acl", "ext_time_quota_acl" ഹാൻഡ്‌ലറുകൾ ഇപ്പോൾ "libdb" എന്നതിന് പകരം "libtdb" സ്റ്റോറേജ് തരം ഉപയോഗിക്കാൻ ശുപാർശ ചെയ്യുന്നു.
• ഉള്ളടക്ക ഡെലിവറി നെറ്റ്‌വർക്കുകൾ ഉപയോഗിക്കുമ്പോൾ ലൂപ്പുകൾ കണ്ടെത്തുന്നതിന് നിങ്ങളെ അനുവദിക്കുന്ന RFC 8586-ൽ നിർവചിച്ചിരിക്കുന്ന CDN-Loop HTTP ഹെഡറിനുള്ള പിന്തുണ ചേർത്തു (ചില കാരണങ്ങളാൽ CDN-കൾക്കിടയിൽ റീഡയറക്‌ട് ചെയ്യുന്ന പ്രക്രിയയിൽ ഒരു അഭ്യർത്ഥന തിരികെ വരുമ്പോൾ സാഹചര്യങ്ങൾക്കെതിരെ തലക്കെട്ട് പരിരക്ഷ നൽകുന്നു. യഥാർത്ഥ CDN, അനന്തമായ ലൂപ്പ് രൂപീകരിക്കുന്നു ).
• എൻക്രിപ്റ്റ് ചെയ്ത HTTPS സെഷനുകളുടെ ഉള്ളടക്കം തടസ്സപ്പെടുത്താൻ നിങ്ങളെ അനുവദിക്കുന്ന SSL-Bump മെക്കാനിസം, HTTP CONNECT രീതിയെ അടിസ്ഥാനമാക്കിയുള്ള ഒരു സാധാരണ ടണൽ ഉപയോഗിച്ച്, cache_peer-ൽ വ്യക്തമാക്കിയിട്ടുള്ള മറ്റ് പ്രോക്സി സെർവറുകളിലൂടെ സ്പൂഫ് ചെയ്ത (വീണ്ടും എൻക്രിപ്റ്റ് ചെയ്ത) HTTPS അഭ്യർത്ഥനകൾ റീഡയറക്‌ടുചെയ്യുന്നതിനുള്ള പിന്തുണ ചേർത്തിരിക്കുന്നു ( HTTPS വഴിയുള്ള സംപ്രേക്ഷണം പിന്തുണയ്ക്കുന്നില്ല, കാരണം സ്ക്വിഡിന് ഇതുവരെ TLS-നുള്ളിൽ TLS കൊണ്ടുപോകാൻ കഴിയില്ല). ആദ്യം തടസ്സപ്പെടുത്തിയ HTTPS അഭ്യർത്ഥന ലഭിച്ചതിന് ശേഷം ടാർഗെറ്റ് സെർവറുമായി ഒരു TLS കണക്ഷൻ സ്ഥാപിക്കാനും അതിന്റെ സർട്ടിഫിക്കറ്റ് നേടാനും SSL-Bump നിങ്ങളെ അനുവദിക്കുന്നു. ഇതിനുശേഷം, സെർവറിൽ നിന്ന് ലഭിച്ച യഥാർത്ഥ സർട്ടിഫിക്കറ്റിൽ നിന്ന് സ്ക്വിഡ് ഹോസ്റ്റ്നാമം ഉപയോഗിക്കുകയും ഒരു ഡമ്മി സർട്ടിഫിക്കറ്റ് സൃഷ്ടിക്കുകയും ചെയ്യുന്നു, അത് ക്ലയന്റുമായി ഇടപഴകുമ്പോൾ അഭ്യർത്ഥിച്ച സെർവറിനെ അനുകരിക്കുകയും ഡാറ്റ സ്വീകരിക്കുന്നതിന് ടാർഗെറ്റ് സെർവറുമായി സ്ഥാപിച്ച TLS കണക്ഷൻ ഉപയോഗിക്കുന്നത് തുടരുകയും ചെയ്യുന്നു ( സബ്‌സ്റ്റിറ്റ്യൂഷൻ ക്ലയന്റ് സൈഡിലുള്ള ബ്രൗസറുകളിലെ ഔട്ട്‌പുട്ട് മുന്നറിയിപ്പുകളിലേക്ക് നയിക്കാതിരിക്കാൻ, സാങ്കൽപ്പിക സർട്ടിഫിക്കറ്റുകൾ സൃഷ്ടിക്കാൻ ഉപയോഗിക്കുന്ന നിങ്ങളുടെ സർട്ടിഫിക്കറ്റ് റൂട്ട് സർട്ടിഫിക്കറ്റ് സ്റ്റോറിലേക്ക് ചേർക്കേണ്ടതുണ്ട്).
• ക്ലയന്റ് TCP കണക്ഷനുകളിലേക്കോ വ്യക്തിഗത പാക്കറ്റുകളിലേക്കോ നെറ്റ്ഫിൽറ്റർ മാർക്കുകൾ (CONNMARK) ബന്ധിപ്പിക്കുന്നതിന് mark_client_connection, mark_client_pack നിർദ്ദേശങ്ങൾ ചേർത്തു.

അവരുടെ കുതികാൽ, സ്ക്വിഡ് 5.2, സ്ക്വിഡ് 4.17 എന്നിവയുടെ റിലീസുകൾ പ്രസിദ്ധീകരിച്ചു, അതിൽ കേടുപാടുകൾ പരിഹരിച്ചു:

• CVE-2021-28116 - പ്രത്യേകം തയ്യാറാക്കിയ WCCPv2 സന്ദേശങ്ങൾ പ്രോസസ്സ് ചെയ്യുമ്പോൾ വിവര ചോർച്ച. അറിയപ്പെടുന്ന WCCP റൂട്ടറുകളുടെ ലിസ്റ്റ് കേടാക്കാനും പ്രോക്സി സെർവർ ക്ലയന്റുകളിൽ നിന്ന് അവരുടെ ഹോസ്റ്റിലേക്ക് ട്രാഫിക് റീഡയറക്ട് ചെയ്യാനും ഒരു ആക്രമണകാരിയെ ദുർബലത അനുവദിക്കുന്നു. WCCPv2 പിന്തുണ പ്രവർത്തനക്ഷമമാക്കിയ കോൺഫിഗറേഷനുകളിലും റൂട്ടറിന്റെ IP വിലാസം കബളിപ്പിക്കാൻ കഴിയുമ്പോഴും മാത്രമേ പ്രശ്നം ദൃശ്യമാകൂ.
• CVE-2021-41611 - TLS സർട്ടിഫിക്കറ്റ് പരിശോധനയിലെ ഒരു പ്രശ്നം വിശ്വസനീയമല്ലാത്ത സർട്ടിഫിക്കറ്റുകൾ ഉപയോഗിച്ച് ആക്സസ് അനുവദിക്കുന്നു.

അവലംബം: opennet.ru