स्क्विड 5 प्रॉक्सी सर्व्हरचे स्थिर प्रकाशन

तीन वर्षांच्या विकासानंतर, स्क्विड 5.1 प्रॉक्सी सर्व्हरचे स्थिर प्रकाशन सादर केले गेले आहे, उत्पादन प्रणालींवर वापरण्यासाठी तयार आहे (रिलीझ 5.0.x ला बीटा आवृत्त्यांची स्थिती होती). 5.x शाखेला स्थिर दर्जा दिल्यानंतर, यापुढे फक्त भेद्यता आणि स्थिरतेच्या समस्यांचे निराकरण केले जाईल आणि किरकोळ ऑप्टिमायझेशनला देखील परवानगी आहे. नवीन वैशिष्ट्यांचा विकास नवीन प्रायोगिक शाखा 6.0 मध्ये केला जाईल. पूर्वीच्या स्थिर 4.x शाखेच्या वापरकर्त्यांना 5.x शाखेत स्थलांतर करण्याची योजना करण्याचा सल्ला दिला जातो.

Squid 5 मधील प्रमुख नवकल्पना:

• ICAP (इंटरनेट कंटेंट अॅडॉपटेशन प्रोटोकॉल) च्या अंमलबजावणीने, बाह्य सामग्री पडताळणी प्रणालीसह एकत्रीकरणासाठी वापरला जातो, डेटा संलग्नक यंत्रणा (ट्रेलर) साठी समर्थन जोडले आहे, जे तुम्हाला संदेशानंतर मेटाडेटासह अतिरिक्त शीर्षलेख जोडण्याची परवानगी देते. शरीर (उदाहरणार्थ, तुम्ही चेकसम पाठवू शकता आणि ओळखल्या गेलेल्या समस्यांबद्दल तपशील).
• विनंत्या पुनर्निर्देशित करताना, "हॅपी आयबॉल्स" अल्गोरिदम वापरला जातो, जो सर्व संभाव्य उपलब्ध IPv4 आणि IPv6 लक्ष्य पत्त्यांचे निराकरण होण्याची प्रतीक्षा न करता, प्राप्त झालेला IP पत्ता त्वरित वापरतो. IPv4 किंवा IPv4 अॅड्रेस फॅमिली वापरली आहे की नाही हे निर्धारित करण्यासाठी "dns_v6_first" सेटिंग वापरण्याऐवजी, DNS प्रतिसादाचा क्रम आता विचारात घेतला जातो: जर IP पत्त्याचे निराकरण होण्याची प्रतीक्षा करत असताना DNS AAAA प्रतिसाद प्रथम आला, तर परिणामी IPv6 पत्ता वापरला जाईल. अशा प्रकारे, पसंतीचे पत्ते कुटुंब सेट करणे आता फायरवॉल, DNS किंवा स्टार्टअप स्तरावर “--disable-ipv6” पर्यायाने केले जाते. प्रस्तावित बदल आम्हाला TCP कनेक्शनच्या सेटअप वेळेची गती वाढवण्यास आणि DNS रिझोल्यूशन दरम्यान विलंबाचा प्रभाव कमी करण्यास अनुमती देतो.
• "external_acl" निर्देशामध्ये वापरण्यासाठी, "ext_kerberos_sid_group_acl" हँडलर Kerberos वापरून ऍक्टिव्ह डिरेक्टरीमध्ये गट तपासणीसह प्रमाणीकरणासाठी जोडले गेले आहे. गटाच्या नावाची चौकशी करण्यासाठी, OpenLDAP पॅकेजद्वारे प्रदान केलेली ldapsearch उपयुक्तता वापरा.
• परवाना समस्यांमुळे बर्कले डीबी फॉरमॅटसाठी समर्थन नापसंत केले गेले आहे. बर्कले डीबी 5.x शाखा अनेक वर्षांपासून राखली गेली नाही आणि अनपॅच नसलेल्या भेद्यतेसह राहते, आणि नवीन प्रकाशनांमध्ये संक्रमण AGPLv3 मधील परवाना बदलाद्वारे प्रतिबंधित केले जाते, ज्याच्या आवश्यकता बर्कलेडीबी वापरणाऱ्या अनुप्रयोगांना देखील लागू होतात लायब्ररी - स्क्विडचा पुरवठा GPLv2 परवान्याअंतर्गत केला जातो आणि AGPL GPLv2 शी सुसंगत नाही. बर्कले डीबी ऐवजी, प्रकल्प ट्रिवियलडीबी डीबीएमएस वापरण्यासाठी हस्तांतरित करण्यात आला, जो बर्कले डीबीच्या विपरीत, डेटाबेसमध्ये एकाचवेळी समांतर प्रवेशासाठी अनुकूल आहे. बर्कले डीबी समर्थन आत्तासाठी राखून ठेवले आहे, परंतु "ext_session_acl" आणि "ext_time_quota_acl" हँडलर आता "libdb" ऐवजी "libtdb" स्टोरेज प्रकार वापरण्याची शिफारस करतात.
• RFC 8586 मध्ये परिभाषित केलेल्या CDN-Loop HTTP शीर्षलेखासाठी समर्थन जोडले आहे, जे तुम्हाला सामग्री वितरण नेटवर्क वापरताना लूप शोधण्याची परवानगी देते (जेव्हा काही कारणास्तव CDNs दरम्यान पुनर्निर्देशित करण्याच्या प्रक्रियेत एखादी विनंती परत येते तेव्हा हेडर परिस्थितींपासून संरक्षण प्रदान करते. मूळ CDN, एक अंतहीन लूप तयार करते).
• SSL-Bump मेकॅनिझम, जी तुम्हाला एनक्रिप्टेड HTTPS सत्रांची सामग्री इंटरसेप्ट करण्याची परवानगी देते, HTTP CONNECT पद्धतीवर आधारित नियमित बोगदा वापरून, cache_peer मध्ये निर्दिष्ट केलेल्या इतर प्रॉक्सी सर्व्हरद्वारे स्पूफ केलेल्या (पुन्हा एनक्रिप्टेड) ​​HTTPS विनंत्या पुनर्निर्देशित करण्यासाठी समर्थन जोडले आहे ( HTTPS द्वारे ट्रान्समिशन समर्थित नाही, कारण Squid अद्याप TLS मध्ये TLS वाहतूक करू शकत नाही). SSL-Bump तुम्हाला प्रथम अवरोधित HTTPS विनंती मिळाल्यावर लक्ष्य सर्व्हरसह TLS कनेक्शन स्थापित करण्याची आणि त्याचे प्रमाणपत्र प्राप्त करण्यास अनुमती देते. यानंतर, स्क्विड सर्व्हरकडून प्राप्त झालेल्या वास्तविक प्रमाणपत्रावरून होस्टनाव वापरतो आणि एक डमी प्रमाणपत्र तयार करतो, ज्याद्वारे क्लायंटशी संवाद साधताना विनंती केलेल्या सर्व्हरचे अनुकरण करते, डेटा प्राप्त करण्यासाठी लक्ष्य सर्व्हरसह स्थापित केलेले TLS कनेक्शन वापरणे सुरू ठेवते ( जेणेकरून प्रतिस्थापन क्लायंटच्या बाजूने ब्राउझरमध्ये आउटपुट चेतावणीकडे नेत नाही, तुम्हाला मूळ प्रमाणपत्र स्टोअरमध्ये काल्पनिक प्रमाणपत्रे व्युत्पन्न करण्यासाठी वापरलेले प्रमाणपत्र जोडणे आवश्यक आहे).
• नेटफिल्टर मार्क्स (CONNMARK) ला क्लायंट TCP कनेक्शन किंवा वैयक्तिक पॅकेटशी बांधण्यासाठी mark_client_connection आणि mark_client_pack निर्देश जोडले.

त्यांच्या टाचांवर गरम, स्क्विड 5.2 आणि स्क्विड 4.17 चे प्रकाशन प्रकाशित केले गेले, ज्यामध्ये असुरक्षा निश्चित केल्या गेल्या:

• CVE-2021-28116 - खास तयार केलेल्या WCCPv2 संदेशांवर प्रक्रिया करताना माहिती गळती. असुरक्षा आक्रमणकर्त्यास ज्ञात WCCP राउटरची यादी दूषित करण्यास आणि प्रॉक्सी सर्व्हर क्लायंटकडून त्यांच्या होस्टकडे रहदारी पुनर्निर्देशित करण्यास अनुमती देते. समस्या फक्त WCCPv2 समर्थन सक्षम असलेल्या कॉन्फिगरेशनमध्ये दिसून येते आणि जेव्हा राउटरचा IP पत्ता फसवणे शक्य असते.
• CVE-2021-41611 - TLS प्रमाणपत्र पडताळणीमधील समस्या अविश्वासू प्रमाणपत्रे वापरून प्रवेशास अनुमती देते.

स्त्रोत: opennet.ru