fproxy v83 — en lokal proxy-server for filtrering av http(s)-trafikk

Den 83. versjonen av cache- og anti-spam proxy-serveren for personlig bruk med fleksible innstillinger er publisert.

Hovedfunksjoner (alt kan tilpasses):

1. filtrering av uønsket innhold (hvite/svarte lister på URL-er, forbud mot informasjonskapsler);
2. tvungen og tidsbegrenset caching av mottatte data (primært nyttig for bilder og skript);
3. korreksjon av innhold på nettsider i sanntid (gjennom redigering av kildekoden i C, eksempler finnes for å erstatte innhold på klonede sider av stackoverflow med lenker til originalen);
4. hvite/svarte lister for sertifikater og sertifikatpinning basert på liste;
5. ommressing av IP-adresse/domene/sti/protokoll i HTTP-forespørselen basert på konfigurasjon (en utvidet versjon av /etc/hosts);
6. HTTP/HTTPS-sniffer.

Passer perfekt for å surfe på nettsteder gjennom treg internettforbindelse eller på en treg enhet (takket være punktene 1 og 2, som var årsaken til opprettelsen), men er uansett nyttig.

Proxy-serveren er delt opp i tre deler for sikkerhet og for å forenkle logikken i arbeidet: TLS-server (som terminerer nettleserforbindelser), sentral proxy-modul og klient, som terminerer utgående forbindelser.

Programmet er designet for personlig bruk, noe som betyr at alle konfigurasjoner og katalogen med nåværende proxy-data er knyttet til en spesifikk bruker, eller til og med en spesifikk nettleserprofil. Det er teknisk mulig å kjøre proxy'en som et systemdemont, men det er vanskelig å bruke en av hovedfunksjonene — aggressiv caching av alt, fordi cache dataene for hver nettleserprofil kan være forskjellige, og de må være isolert fra hverandre for sikkerheten.

Eksempel på blokkliste:

deny nosub all share.yandex.ru browser-updater.yandex.net deny nosub all a.ria.ru # ? deny nosub spec vk.com query /share.php deny nosub spec yastatic.net query /pcode/adfox/loader.js query /share2/share.js deny nosub spec www.youtube.com query /subscribe_widget deny nosub spec pano.img.ria.ru query /adriver/flashplagin/movie.swf deny nosub spec a.ria.ru query /ping deny nosub spec n-ssl.ria.ru query /polling deny nosub spec apis.google.com query /js/plusone.js deny nosub spec yandex.ru pref /clck/safeclick/ pref /clck/click/ pref /clck/jclck/ deny all spec query /tnc # index.ru proxied counter exact /tnc.js # index.ru proxied counter query /pixel.gif # noens spammere bruker dette

Eksempel på ruteringsliste:

https://my.local.site set proxy none set target http://127.0.0.1:1234/localsite set http_host new.host:1234 .intel.com resolve off set proxy socks5://127.0.0.1:3333

Ved oppgradering fra en versjon eldre enn 78 må hurtigbufferen konverteres: gå til arbeidskatalogen til proxy-serveren fra bruker (uid/gid) og kjør fproxy-cacheconv-78 (dette programmet kompileres ikke som standard).

Endringer siden den sist publiserte versjonen (80):

1. fproxy-dashboard har nå et alternativ for å vise innholdsstørrelser i byte i stedet for kilobyte;
2. støtte for feilaktige servere som ignorerer headeren «Connection: close»;
3. støtte for feilaktige servere som returnerer uheldig headeren «Content-Encoding: identity»;
4. sending av TLS-alternativ ALPN;
5. forbedret drift av TLS-terminatoren på klientsiden: den støtter nå ikke bare TLS, men også vanlige forbindelser, fungerer som en uavhengig daemon som kan motta forespørsel fra hovedproxyen over nettverket, og kan også videresende sine utgående forbindelser gjennom en annen proxy, som gjør det mulig å fleksibelt skille oppgaver mellom noder under dårlige internettforhold og/eller organisere ‘utgangen’ av trafikk på en annen server med forskjellig nivå av pålitelighet; den nye versjonen er også mer brukervennlig for manuell bruk fra kommandolinjen som en konsoll-TLS-klient med proxy-støtte;
6. forenklet bygging, nå er det en Makefile i stedet for shell-skript
7. organisert forhåndsbygde .deb-pakker i depotet (for versjoner av Debian 8-12)
8. konfigurasjonsfilendringer, bakoverkompatible
9. ny konfigurasjon for styring av forespørselruting som kombinerer tidligere separate konfigurasjoner for resolv og videresending av utgående forbindelser til en ekstern server, og som har fått flere nye alternativer: nå kan man for hver URL (protokoll, domene, port, sti) velge hvilken klient og hvilken proxy den skal sendes gjennom, hvilken DNS-server som skal brukes til å bestemme IP-adressen (inkludert mulig delegasjon til en ekstern http- eller socks5-proxy), eller angi adressen manuelt, samt bytte protokoll, port eller prefiks av URL-stien.
10. lagt til støtte for SAN-sertifikater for IP-adresser både i klienten og serveren (nettlesere har nylig sluttet å akseptere IP-adresser i CommonName)

Planer for fremtiden:

1. CGI/FastCGI/.so-hooks-støtte for MITM-behandling av innhold hentet fra nettsteder
2. profiler- og proxykonfigurasjonsadministrator
3. interaktiv kontroll av sertifikatvalidering for eksterne nettsteder og blokkeringlister

Kilde: linux.org.ru