Squid 5 प्रोक्सी सर्भरको स्थिर रिलीज

विकासको तीन वर्ष पछि, Squid 5.1 प्रोक्सी सर्भरको स्थिर रिलीज प्रस्तुत गरिएको छ, उत्पादन प्रणालीहरूमा प्रयोगको लागि तयार छ (रिलिज 5.0.x को बिटा संस्करणको स्थिति थियो)। 5.x शाखालाई स्थिर स्थिति प्रदान गरिसकेपछि, अब देखि यसमा कमजोरी र स्थिरता समस्याहरूको लागि मात्र समाधान गरिनेछ, र साना अप्टिमाइजेसनहरू पनि अनुमति दिइनेछ। नयाँ सुविधाहरूको विकास नयाँ प्रयोगात्मक शाखा 6.0 मा गरिनेछ। अघिल्लो स्थिर 4.x शाखाका प्रयोगकर्ताहरूलाई 5.x शाखामा स्थानान्तरण गर्ने योजना बनाउन सल्लाह दिइन्छ।

Squid 5 मा प्रमुख आविष्कारहरू:

• बाह्य सामग्री प्रमाणिकरण प्रणालीहरूसँग एकीकरणको लागि प्रयोग गरिएको ICAP (इन्टरनेट सामग्री अनुकूलन प्रोटोकल) को कार्यान्वयनले डाटा एट्याचमेन्ट मेकानिजम (ट्रेलर) को लागि समर्थन थपेको छ, जसले तपाईंलाई सन्देश पछि राखिएको प्रतिक्रियामा मेटाडेटासहित थप हेडरहरू संलग्न गर्न अनुमति दिन्छ। शरीर (उदाहरणका लागि, तपाईंले चेकसम र पहिचान गरिएका समस्याहरूको विवरण पठाउन सक्नुहुन्छ)।
• अनुरोधहरू पुन: निर्देशित गर्दा, "Happy Eyeballs" एल्गोरिदम प्रयोग गरिन्छ, जसले तुरुन्तै प्राप्त IP ठेगाना प्रयोग गर्दछ, सबै सम्भावित रूपमा उपलब्ध IPv4 र IPv6 लक्ष्य ठेगानाहरू समाधान हुनको लागि प्रतीक्षा नगरी। IPv4 वा IPv4 ठेगाना परिवार प्रयोग गरिएको छ कि छैन भनेर निर्धारण गर्न "dns_v6_first" सेटिङ प्रयोग गर्नुको सट्टा, DNS प्रतिक्रियाको क्रमलाई अब ध्यानमा राखिएको छ: यदि DNS AAAA प्रतिक्रिया पहिले आइपुग्यो भने समाधान हुनको लागि IP ठेगानाको प्रतीक्षा गर्दा। परिणामस्वरूप IPv6 ठेगाना प्रयोग गरिनेछ। यसरी, मनपर्ने ठेगाना परिवार सेटिङ अब फायरवाल, DNS वा स्टार्टअप स्तरमा "--disable-ipv6" विकल्पको साथ गरिन्छ। प्रस्तावित परिवर्तनले हामीलाई TCP जडानहरूको सेटअप समयलाई गति दिन र DNS रिजोल्युसनको समयमा ढिलाइको कार्यसम्पादन प्रभावलाई कम गर्न अनुमति दिन्छ।
• "external_acl" निर्देशनमा प्रयोगको लागि, "ext_kerberos_sid_group_acl" ह्यान्डलर Kerberos प्रयोग गरेर सक्रिय निर्देशिकामा समूह जाँचको साथ प्रमाणीकरणको लागि थपिएको छ। समूह नाम क्वेरी गर्न, OpenLDAP प्याकेज द्वारा प्रदान गरिएको ldapsearch उपयोगिता प्रयोग गर्नुहोस्।
• बर्कले DB ढाँचाको लागि समर्थन इजाजतपत्र समस्याहरूको कारणबाट हटाइएको छ। Berkeley DB 5.x शाखा धेरै वर्षसम्म कायम गरिएको छैन र अनप्याच गरिएको कमजोरीहरूसँग रहन्छ, र नयाँ रिलीजहरूमा संक्रमण AGPLv3 मा इजाजतपत्र परिवर्तनद्वारा रोकिएको छ, जसका आवश्यकताहरू बर्कलेडीबी प्रयोग गर्ने अनुप्रयोगहरूमा पनि लागू हुन्छन्। पुस्तकालय - Squid GPLv2 लाइसेन्स अन्तर्गत आपूर्ति गरिएको छ, र AGPL GPLv2 सँग उपयुक्त छैन। Berkeley DB को सट्टा, परियोजना TrivialDB DBMS को प्रयोगमा हस्तान्तरण गरिएको थियो, जुन, Berkeley DB को विपरीत, डाटाबेसमा एक साथ समानान्तर पहुँचको लागि अनुकूलित छ। बर्कले DB समर्थन अहिलेको लागि राखिएको छ, तर "ext_session_acl" र "ext_time_quota_acl" ह्यान्डलरहरूले अब "libdb" को सट्टा "libtdb" भण्डारण प्रकार प्रयोग गर्न सिफारिस गर्छन्।
• CDN-लूप HTTP हेडरको लागि समर्थन थपियो, RFC 8586 मा परिभाषित, जसले तपाईंलाई सामग्री डेलिभरी नेटवर्कहरू प्रयोग गर्दा लूपहरू पत्ता लगाउन अनुमति दिन्छ (हेडरले परिस्थितिहरू विरुद्ध सुरक्षा प्रदान गर्दछ जब कुनै कारणले CDN हरू बीच रिडिरेक्ट गर्ने प्रक्रियामा अनुरोध फिर्ता आउँछ। मौलिक CDN, एउटा अन्तहीन लूप बनाउँदै)।
• SSL-Bump मेकानिजम, जसले तपाईंलाई एन्क्रिप्टेड HTTPS सत्रहरूको सामग्रीहरू रोक्न अनुमति दिन्छ, HTTP CONNECT विधिमा आधारित नियमित टनेल प्रयोग गरेर, cache_peer मा निर्दिष्ट अन्य प्रोक्सी सर्भरहरू मार्फत स्पूफ गरिएको (पुन: इन्क्रिप्टेड) ​​HTTPS अनुरोधहरू पुन: निर्देशित गर्न समर्थन थपेको छ। HTTPS मार्फत प्रसारण समर्थित छैन, किनकि Squid ले TLS भित्र TLS ढुवानी गर्न सक्दैन)। SSL-Bump ले तपाईंलाई पहिलो अवरोधित HTTPS अनुरोध प्राप्त गरेपछि लक्ष्य सर्भरसँग TLS जडान स्थापना गर्न र यसको प्रमाणपत्र प्राप्त गर्न अनुमति दिन्छ। यस पछि, Squid ले सर्भरबाट प्राप्त वास्तविक प्रमाणपत्रबाट होस्टनाम प्रयोग गर्दछ र एक डमी प्रमाणपत्र सिर्जना गर्दछ, जसको साथ यसले ग्राहकसँग अन्तरक्रिया गर्दा अनुरोध गरिएको सर्भरको नक्कल गर्दछ, डाटा प्राप्त गर्न लक्षित सर्भरसँग स्थापित TLS जडान प्रयोग गर्न जारी राख्दा ( ताकि प्रतिस्थापनले क्लाइन्ट साइडमा ब्राउजरहरूमा आउटपुट चेतावनीहरूको नेतृत्व गर्दैन, तपाईंले रूट प्रमाणपत्र भण्डारमा काल्पनिक प्रमाणपत्रहरू उत्पन्न गर्न प्रयोग गरिएको आफ्नो प्रमाणपत्र थप्न आवश्यक छ)।
• थपियो mark_client_connection र mark_client_pack निर्देशनहरू Netfilter मार्क्स (CONNMARK) लाई क्लाइन्ट TCP जडान वा व्यक्तिगत प्याकेटहरूमा बाँध्न।

तिनीहरूको एड़ीमा तातो, स्क्विड 5.2 र स्क्विड 4.17 को रिलीज प्रकाशित गरिएको थियो, जसमा कमजोरीहरू तय गरिएको थियो:

• CVE-2021-28116 - विशेष रूपमा क्राफ्ट गरिएको WCCPv2 सन्देशहरू प्रशोधन गर्दा सूचना चुहावट। जोखिमले आक्रमणकर्तालाई ज्ञात WCCP राउटरहरूको सूची भ्रष्ट गर्न र प्रोक्सी सर्भर क्लाइन्टहरूबाट उनीहरूको होस्टमा ट्राफिक पुन: निर्देशित गर्न अनुमति दिन्छ। समस्या केवल WCCPv2 समर्थन सक्षम भएको कन्फिगरेसनहरूमा देखा पर्दछ र जब राउटरको आईपी ठेगाना स्पूफ गर्न सम्भव हुन्छ।
• CVE-2021-41611 - TLS प्रमाणपत्र प्रमाणीकरणमा एउटा मुद्दाले अविश्वसनीय प्रमाणपत्रहरू प्रयोग गरेर पहुँच गर्न अनुमति दिन्छ।

स्रोत: opennet.ru