Squid 5 ਪ੍ਰੌਕਸੀ ਸਰਵਰ ਦੀ ਸਥਿਰ ਰੀਲੀਜ਼

ਤਿੰਨ ਸਾਲਾਂ ਦੇ ਵਿਕਾਸ ਤੋਂ ਬਾਅਦ, ਸਕੁਇਡ 5.1 ਪ੍ਰੌਕਸੀ ਸਰਵਰ ਦੀ ਇੱਕ ਸਥਿਰ ਰੀਲੀਜ਼ ਪੇਸ਼ ਕੀਤੀ ਗਈ ਹੈ, ਉਤਪਾਦਨ ਪ੍ਰਣਾਲੀਆਂ 'ਤੇ ਵਰਤੋਂ ਲਈ ਤਿਆਰ ਹੈ (ਰਿਲੀਜ਼ 5.0.x ਬੀਟਾ ਸੰਸਕਰਣਾਂ ਦੀ ਸਥਿਤੀ ਸੀ)। 5.x ਸ਼ਾਖਾ ਨੂੰ ਸਥਿਰ ਦਰਜਾ ਦਿੱਤੇ ਜਾਣ ਤੋਂ ਬਾਅਦ, ਹੁਣ ਤੋਂ ਇਸ ਵਿੱਚ ਸਿਰਫ ਕਮਜ਼ੋਰੀਆਂ ਅਤੇ ਸਥਿਰਤਾ ਸਮੱਸਿਆਵਾਂ ਲਈ ਫਿਕਸ ਕੀਤੇ ਜਾਣਗੇ, ਅਤੇ ਮਾਮੂਲੀ ਅਨੁਕੂਲਤਾਵਾਂ ਦੀ ਵੀ ਆਗਿਆ ਹੈ। ਨਵੀਆਂ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਦਾ ਵਿਕਾਸ ਨਵੀਂ ਪ੍ਰਯੋਗਾਤਮਕ ਸ਼ਾਖਾ 6.0 ਵਿੱਚ ਕੀਤਾ ਜਾਵੇਗਾ। ਪਿਛਲੀ ਸਥਿਰ 4.x ਸ਼ਾਖਾ ਦੇ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ 5.x ਸ਼ਾਖਾ ਵਿੱਚ ਮਾਈਗਰੇਟ ਕਰਨ ਦੀ ਯੋਜਨਾ ਬਣਾਉਣ ਦੀ ਸਲਾਹ ਦਿੱਤੀ ਜਾਂਦੀ ਹੈ।

ਸਕੁਇਡ 5 ਵਿੱਚ ਮੁੱਖ ਕਾਢਾਂ:

• ICAP (ਇੰਟਰਨੈੱਟ ਕੰਟੈਂਟ ਅਡੈਪਟੇਸ਼ਨ ਪ੍ਰੋਟੋਕੋਲ) ਦੇ ਲਾਗੂਕਰਨ, ਜੋ ਕਿ ਬਾਹਰੀ ਸਮਗਰੀ ਤਸਦੀਕ ਪ੍ਰਣਾਲੀਆਂ ਨਾਲ ਏਕੀਕਰਣ ਲਈ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ, ਨੇ ਇੱਕ ਡੇਟਾ ਅਟੈਚਮੈਂਟ ਵਿਧੀ (ਟ੍ਰੇਲਰ) ਲਈ ਸਮਰਥਨ ਜੋੜਿਆ ਹੈ, ਜੋ ਤੁਹਾਨੂੰ ਜਵਾਬ ਵਿੱਚ ਮੈਟਾਡੇਟਾ ਦੇ ਨਾਲ ਵਾਧੂ ਸਿਰਲੇਖ ਜੋੜਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ, ਸੰਦੇਸ਼ ਦੇ ਬਾਅਦ ਰੱਖਿਆ ਗਿਆ ਹੈ। body (ਉਦਾਹਰਨ ਲਈ, ਤੁਸੀਂ ਇੱਕ ਚੈੱਕਸਮ ਅਤੇ ਪਛਾਣੀਆਂ ਗਈਆਂ ਸਮੱਸਿਆਵਾਂ ਬਾਰੇ ਵੇਰਵੇ ਭੇਜ ਸਕਦੇ ਹੋ)।
• ਬੇਨਤੀਆਂ ਨੂੰ ਰੀਡਾਇਰੈਕਟ ਕਰਦੇ ਸਮੇਂ, "ਹੈਪੀ ਆਈਬਾਲਜ਼" ਐਲਗੋਰਿਦਮ ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਜੋ ਤੁਰੰਤ ਪ੍ਰਾਪਤ ਹੋਏ IP ਪਤੇ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ, ਸਾਰੇ ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ ਉਪਲਬਧ IPv4 ਅਤੇ IPv6 ਟੀਚੇ ਦੇ ਪਤਿਆਂ ਦੇ ਹੱਲ ਹੋਣ ਦੀ ਉਡੀਕ ਕੀਤੇ ਬਿਨਾਂ। ਇਹ ਨਿਰਧਾਰਤ ਕਰਨ ਲਈ "dns_v4_first" ਸੈਟਿੰਗ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਬਜਾਏ ਕਿ ਕੀ ਇੱਕ IPv4 ਜਾਂ IPv6 ਐਡਰੈੱਸ ਪਰਿਵਾਰ ਵਰਤਿਆ ਗਿਆ ਹੈ, DNS ਜਵਾਬ ਦੇ ਕ੍ਰਮ ਨੂੰ ਹੁਣ ਧਿਆਨ ਵਿੱਚ ਰੱਖਿਆ ਗਿਆ ਹੈ: ਜੇਕਰ DNS AAAA ਜਵਾਬ ਪਹਿਲਾਂ ਆਉਂਦਾ ਹੈ ਜਦੋਂ ਇੱਕ IP ਐਡਰੈੱਸ ਹੱਲ ਹੋਣ ਦੀ ਉਡੀਕ ਵਿੱਚ ਆਉਂਦਾ ਹੈ, ਤਾਂ ਨਤੀਜੇ ਵਜੋਂ IPv6 ਪਤਾ ਵਰਤਿਆ ਜਾਵੇਗਾ। ਇਸ ਤਰ੍ਹਾਂ, ਤਰਜੀਹੀ ਐਡਰੈੱਸ ਫੈਮਿਲੀ ਨੂੰ ਸੈੱਟ ਕਰਨਾ ਹੁਣ ਫਾਇਰਵਾਲ, DNS ਜਾਂ ਸਟਾਰਟਅੱਪ ਪੱਧਰ 'ਤੇ “--disable-ipv6” ਵਿਕਲਪ ਨਾਲ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਪ੍ਰਸਤਾਵਿਤ ਤਬਦੀਲੀ ਸਾਨੂੰ TCP ਕਨੈਕਸ਼ਨਾਂ ਦੇ ਸੈੱਟਅੱਪ ਸਮੇਂ ਨੂੰ ਤੇਜ਼ ਕਰਨ ਅਤੇ DNS ਰੈਜ਼ੋਲਿਊਸ਼ਨ ਦੌਰਾਨ ਦੇਰੀ ਦੇ ਪ੍ਰਦਰਸ਼ਨ ਪ੍ਰਭਾਵ ਨੂੰ ਘਟਾਉਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦੀ ਹੈ।
• "external_acl" ਡਾਇਰੈਕਟਿਵ ਵਿੱਚ ਵਰਤਣ ਲਈ, "ext_kerberos_sid_group_acl" ਹੈਂਡਲਰ ਨੂੰ ਕਰਬੇਰੋਸ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਐਕਟਿਵ ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਗਰੁੱਪ ਚੈਕਿੰਗ ਦੇ ਨਾਲ ਪ੍ਰਮਾਣਿਕਤਾ ਲਈ ਜੋੜਿਆ ਗਿਆ ਹੈ। ਗਰੁੱਪ ਨਾਂ ਦੀ ਪੁੱਛਗਿੱਛ ਕਰਨ ਲਈ, OpenLDAP ਪੈਕੇਜ ਦੁਆਰਾ ਪ੍ਰਦਾਨ ਕੀਤੀ ldapsearch ਸਹੂਲਤ ਦੀ ਵਰਤੋਂ ਕਰੋ।
• ਬਰਕਲੇ DB ਫਾਰਮੈਟ ਲਈ ਸਮਰਥਨ ਲਾਇਸੈਂਸ ਸੰਬੰਧੀ ਸਮੱਸਿਆਵਾਂ ਦੇ ਕਾਰਨ ਬਰਤਰਫ਼ ਕੀਤਾ ਗਿਆ ਹੈ। ਬਰਕਲੇ DB 5.x ਬ੍ਰਾਂਚ ਨੂੰ ਕਈ ਸਾਲਾਂ ਤੋਂ ਬਰਕਰਾਰ ਨਹੀਂ ਰੱਖਿਆ ਗਿਆ ਹੈ ਅਤੇ ਅਣਪਛਾਤੇ ਕਮਜ਼ੋਰੀਆਂ ਦੇ ਨਾਲ ਬਣਿਆ ਹੋਇਆ ਹੈ, ਅਤੇ AGPLv3 ਵਿੱਚ ਲਾਇਸੈਂਸ ਤਬਦੀਲੀ ਦੁਆਰਾ ਨਵੀਆਂ ਰੀਲੀਜ਼ਾਂ ਵਿੱਚ ਤਬਦੀਲੀ ਨੂੰ ਰੋਕਿਆ ਗਿਆ ਹੈ, ਜਿਸ ਦੀਆਂ ਲੋੜਾਂ ਉਹਨਾਂ ਐਪਲੀਕੇਸ਼ਨਾਂ 'ਤੇ ਵੀ ਲਾਗੂ ਹੁੰਦੀਆਂ ਹਨ ਜੋ ਬਰਕਲੇਡੀਬੀ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ। ਇੱਕ ਲਾਇਬ੍ਰੇਰੀ - ਸਕੁਇਡ ਨੂੰ GPLv2 ਲਾਇਸੰਸ ਦੇ ਅਧੀਨ ਸਪਲਾਈ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਅਤੇ AGPL GPLv2 ਦੇ ਅਨੁਕੂਲ ਨਹੀਂ ਹੈ। ਬਰਕਲੇ ਡੀਬੀ ਦੀ ਬਜਾਏ, ਪ੍ਰੋਜੈਕਟ ਨੂੰ ਟ੍ਰਿਵਿਅਲਡੀਬੀ ਡੀਬੀਐਮਐਸ ਦੀ ਵਰਤੋਂ ਲਈ ਟ੍ਰਾਂਸਫਰ ਕੀਤਾ ਗਿਆ ਸੀ, ਜੋ ਕਿ ਬਰਕਲੇ ਡੀਬੀ ਦੇ ਉਲਟ, ਡੇਟਾਬੇਸ ਦੇ ਸਮਾਨਾਂਤਰ ਪਹੁੰਚ ਲਈ ਅਨੁਕੂਲਿਤ ਹੈ। ਬਰਕਲੇ DB ਸਹਿਯੋਗ ਨੂੰ ਫਿਲਹਾਲ ਬਰਕਰਾਰ ਰੱਖਿਆ ਗਿਆ ਹੈ, ਪਰ "ext_session_acl" ਅਤੇ "ext_time_quota_acl" ਹੈਂਡਲਰ ਹੁਣ "libdb" ਦੀ ਬਜਾਏ "libtdb" ਸਟੋਰੇਜ਼ ਕਿਸਮ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਸਿਫਾਰਸ਼ ਕਰਦੇ ਹਨ।
• RFC 8586 ਵਿੱਚ ਪਰਿਭਾਸ਼ਿਤ CDN-ਲੂਪ HTTP ਸਿਰਲੇਖ ਲਈ ਸਮਰਥਨ ਸ਼ਾਮਲ ਕੀਤਾ ਗਿਆ ਹੈ, ਜੋ ਤੁਹਾਨੂੰ ਸਮੱਗਰੀ ਡਿਲੀਵਰੀ ਨੈੱਟਵਰਕਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਸਮੇਂ ਲੂਪਸ ਦਾ ਪਤਾ ਲਗਾਉਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ (ਸਿਰਲੇਖ ਉਹਨਾਂ ਸਥਿਤੀਆਂ ਤੋਂ ਸੁਰੱਖਿਆ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ ਜਦੋਂ ਕਿਸੇ ਕਾਰਨ ਕਰਕੇ CDNs ਵਿਚਕਾਰ ਰੀਡਾਇਰੈਕਟ ਕਰਨ ਦੀ ਪ੍ਰਕਿਰਿਆ ਵਿੱਚ ਇੱਕ ਬੇਨਤੀ ਵਾਪਸ ਆਉਂਦੀ ਹੈ। ਅਸਲੀ CDN, ਇੱਕ ਬੇਅੰਤ ਲੂਪ ਬਣਾਉਂਦਾ ਹੈ)।
• SSL-Bump ਵਿਧੀ, ਜੋ ਤੁਹਾਨੂੰ ਇਨਕ੍ਰਿਪਟਡ HTTPS ਸੈਸ਼ਨਾਂ ਦੀ ਸਮੱਗਰੀ ਨੂੰ ਰੋਕਣ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ, ਨੇ HTTP ਕਨੈਕਟ ਵਿਧੀ (ਤੇ ਆਧਾਰਿਤ ਇੱਕ ਨਿਯਮਤ ਸੁਰੰਗ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ, cache_peer ਵਿੱਚ ਦਰਸਾਏ ਹੋਰ ਪ੍ਰੌਕਸੀ ਸਰਵਰਾਂ ਦੁਆਰਾ ਸਪੁੱਫਡ (ਰੀ-ਏਨਕ੍ਰਿਪਟਡ) HTTPS ਬੇਨਤੀਆਂ ਨੂੰ ਰੀਡਾਇਰੈਕਟ ਕਰਨ ਲਈ ਸਮਰਥਨ ਜੋੜਿਆ ਹੈ। HTTPS ਦੁਆਰਾ ਪ੍ਰਸਾਰਣ ਸਮਰਥਿਤ ਨਹੀਂ ਹੈ, ਕਿਉਂਕਿ Squid ਅਜੇ TLS ਦੇ ਅੰਦਰ TLS ਨੂੰ ਟ੍ਰਾਂਸਪੋਰਟ ਨਹੀਂ ਕਰ ਸਕਦਾ ਹੈ)। SSL-Bump ਤੁਹਾਨੂੰ ਪਹਿਲੀ ਰੋਕੀ HTTPS ਬੇਨਤੀ ਦੀ ਪ੍ਰਾਪਤੀ 'ਤੇ ਟਾਰਗਿਟ ਸਰਵਰ ਨਾਲ ਇੱਕ TLS ਕਨੈਕਸ਼ਨ ਸਥਾਪਤ ਕਰਨ ਅਤੇ ਇਸਦਾ ਸਰਟੀਫਿਕੇਟ ਪ੍ਰਾਪਤ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ। ਇਸ ਤੋਂ ਬਾਅਦ, ਸਕੁਇਡ ਸਰਵਰ ਤੋਂ ਪ੍ਰਾਪਤ ਅਸਲ ਸਰਟੀਫਿਕੇਟ ਤੋਂ ਹੋਸਟਨਾਮ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ ਅਤੇ ਇੱਕ ਡਮੀ ਸਰਟੀਫਿਕੇਟ ਬਣਾਉਂਦਾ ਹੈ, ਜਿਸ ਨਾਲ ਇਹ ਗਾਹਕ ਨਾਲ ਇੰਟਰੈਕਟ ਕਰਦੇ ਸਮੇਂ ਬੇਨਤੀ ਕੀਤੇ ਸਰਵਰ ਦੀ ਨਕਲ ਕਰਦਾ ਹੈ, ਜਦੋਂ ਕਿ ਡੇਟਾ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਟਾਰਗੇਟ ਸਰਵਰ ਨਾਲ ਸਥਾਪਤ TLS ਕਨੈਕਸ਼ਨ ਦੀ ਵਰਤੋਂ ਕਰਨਾ ਜਾਰੀ ਰੱਖਦਾ ਹੈ ( ਇਸ ਲਈ ਕਿ ਬਦਲਣਾ ਕਲਾਇੰਟ ਸਾਈਡ 'ਤੇ ਬ੍ਰਾਉਜ਼ਰਾਂ ਵਿੱਚ ਆਉਟਪੁੱਟ ਚੇਤਾਵਨੀਆਂ ਦੀ ਅਗਵਾਈ ਨਹੀਂ ਕਰਦਾ, ਤੁਹਾਨੂੰ ਰੂਟ ਸਰਟੀਫਿਕੇਟ ਸਟੋਰ ਵਿੱਚ ਫਰਜ਼ੀ ਸਰਟੀਫਿਕੇਟ ਬਣਾਉਣ ਲਈ ਵਰਤਿਆ ਜਾਣ ਵਾਲਾ ਆਪਣਾ ਸਰਟੀਫਿਕੇਟ ਸ਼ਾਮਲ ਕਰਨ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ)।
• Netfilter ਮਾਰਕ (CONNMARK) ਨੂੰ ਕਲਾਇੰਟ TCP ਕਨੈਕਸ਼ਨਾਂ ਜਾਂ ਵਿਅਕਤੀਗਤ ਪੈਕੇਟਾਂ ਨਾਲ ਜੋੜਨ ਲਈ mark_client_connection ਅਤੇ mark_client_pack ਨਿਰਦੇਸ਼ ਸ਼ਾਮਲ ਕੀਤੇ ਗਏ ਹਨ।

ਉਹਨਾਂ ਦੀ ਅੱਡੀ 'ਤੇ ਗਰਮ, ਸਕੁਇਡ 5.2 ਅਤੇ ਸਕੁਇਡ 4.17 ਦੀਆਂ ਰੀਲੀਜ਼ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤੀਆਂ ਗਈਆਂ ਸਨ, ਜਿਸ ਵਿੱਚ ਕਮਜ਼ੋਰੀਆਂ ਨੂੰ ਹੱਲ ਕੀਤਾ ਗਿਆ ਸੀ:

• CVE-2021-28116 - ਖਾਸ ਤੌਰ 'ਤੇ ਤਿਆਰ ਕੀਤੇ ਗਏ WCCPv2 ਸੁਨੇਹਿਆਂ ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਰਦੇ ਸਮੇਂ ਜਾਣਕਾਰੀ ਦਾ ਲੀਕ ਹੋਣਾ। ਕਮਜ਼ੋਰੀ ਇੱਕ ਹਮਲਾਵਰ ਨੂੰ ਜਾਣੇ-ਪਛਾਣੇ WCCP ਰਾਊਟਰਾਂ ਦੀ ਸੂਚੀ ਨੂੰ ਖਰਾਬ ਕਰਨ ਅਤੇ ਪ੍ਰੌਕਸੀ ਸਰਵਰ ਕਲਾਇੰਟਸ ਤੋਂ ਉਹਨਾਂ ਦੇ ਹੋਸਟ ਨੂੰ ਟ੍ਰੈਫਿਕ ਰੀਡਾਇਰੈਕਟ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦੀ ਹੈ। ਸਮੱਸਿਆ ਸਿਰਫ WCCPv2 ਸਮਰਥਨ ਸਮਰਥਿਤ ਸੰਰਚਨਾਵਾਂ ਵਿੱਚ ਦਿਖਾਈ ਦਿੰਦੀ ਹੈ ਅਤੇ ਜਦੋਂ ਰਾਊਟਰ ਦੇ IP ਪਤੇ ਨੂੰ ਧੋਖਾ ਦੇਣਾ ਸੰਭਵ ਹੁੰਦਾ ਹੈ।
• CVE-2021-41611 - TLS ਸਰਟੀਫਿਕੇਟ ਤਸਦੀਕ ਵਿੱਚ ਇੱਕ ਮੁੱਦਾ ਗੈਰ-ਭਰੋਸੇਯੋਗ ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਪਹੁੰਚ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ।

ਸਰੋਤ: opennet.ru