fproxy v83 — lokálny proxy server na filtrovanie http(s) prevádzky

Bola zverejnená 83. verzia cache a antispamového proxy servera na osobné použitie s flexibilným nastavením.

Hlavné funkcie (všetko je nastaviteľné):

1. filtrácia nežiadúceho obsahu (biele/čierne zoznamy URL, zakázanie cookies);
2. povinné a neobmedzené cacheovanie prijatých dát (predovšetkým vhodné pre obrázky a skripty);
3. oprava obsahu webových stránok v reálnom čase (úpravou zdrojového kódu v C, existuje príklad na nahradenie obsahu klonovaných stránok stackoverflow odkazom na originál);
4. čierne/biele zoznamy certifikátov a certificate pinning podľa zoznamu;
5. zmena IP adresy/domeny/cesty/protokolu HTTP požiadavky podľa konfigurácie (rozšírená verzia /etc/hosts);
6. HTTP/HTTPS sniffer.

Skvele sa hodí na prezeranie stránok cez pomalý internet alebo na pomalom zariadení (vďaka bodom 1 a 2, kvôli čomu to celé bolo pôvodne navrhnuté), ale je striktne užitočné v každom prípade.

Proxy server je z pohľadu bezpečnosti a zjednodušenia logiky práce rozdelený na tri časti: TLS server (terminujúci prehliadačové pripojenia), centrálna modul proxy a klient, terminujúci odchádzajúce pripojenia.

Program je určený na personalizované použitie, to znamená, že všetky konfigurácie a adresár s aktuálnymi dátami proxy servera sú viazané na konkrétneho používateľa, alebo dokonca na konkrétny profil prehliadača. Spustiť proxy ako systémového démona je technicky možné, ale v takej podobe je ťažké využiť jednu z jeho hlavných funkcií — agresívne cacheovanie všetkého, pretože cachované dáta môžu byť pre každý profil prehliadača iné a musia byť oddelené pre bezpečnosť.

Príklad zoznamu blokovania:

deny nosub all share.yandex.ru browser-updater.yandex.net deny nosub all a.ria.ru # ? deny nosub spec vk.com query \/share.php deny nosub spec yastatic.net query \/pcode\/adfox\/loader.js query \/share2\/share.js deny nosub spec www.youtube.com query \/subscribe_widget deny nosub spec pano.img.ria.ru query \/adriver\/flashplagin\/movie.swf deny nosub spec a.ria.ru query \/ping deny nosub spec n-ssl.ria.ru query \/polling deny nosub spec apis.google.com query \/js\/plusone.js deny nosub spec yandex.ru pref \/clck\/safeclick\/ pref \/clck\/click\/ pref \/clck\/jclck\/ deny all spec query \/tnc # index.ru proxied counter exact \/tnc.js # index.ru proxied counter query \/pixel.gif # niektorí spameri používajú toto

Príklad zoznamu smerovania:

https://my.local.site set proxy none set target http://127.0.0.1:1234/localsite set http_host new.host:1234 .intel.com resolve off set proxy socks5://127.0.0.1:3333

Pri aktualizácii z verzie staršej ako 78 je potrebné konvertovať cache: prejsť do pracovného adresára proxy servera od používateľa (uid/gid) proxy servera a spustiť fproxy-cacheconv-78 (podľa predvolených nastavení nie je tento program kompilovaný).

Zmeny od poslednej publikovanej verzie (80):

1. fproxy-dashboard teraz obsahuje možnosť zobrazenia veľkostí obsahu v bajtoch a nie kB;
2. podpora problémových serverov, ignorujúcich hlavičku „Connection: close“;
3. podpora problémových serverov, vracajúcich nesprávnu hlavičku „Content-Encoding: identity“;
4. odosielanie TLS možnosti ALPN;
5. vylepšenie výkonu TLS terminátora vonkajšej strany (klienta): teraz podporuje nielen TLS, ale aj bežné spojenia, pracuje ako nezávislý démon prijímajúci požiadavky od hlavného proxy cez sieť, a môže tiež posielať svoje odchádzajúce spojenia cez iné proxy, čím umožňuje flexibilne rozdeliť úlohy medzi uzlami v podmienkach slabého internetového pripojenia a/alebo potreby organizovať „výstup“ prevádzky niekde na vzdialenom serveri s rôznou úrovňou dôvery; nová verzia je tiež pohodlnejšia na manuálne použitie z príkazového riadku ako konzolový TLS klient s podporou proxy;
6. zjednodušená kompilácia, teraz je k dispozícii Makefile namiesto shell skriptov
7. organizované predpripravené .deb balíčky v repozitári (pre verzie Debian 8-12)
8. zmiany v konfiguračnom súbore, spätné nekompatibilné
9. nový konfiguračný súbor na správu smerovania požiadaviek, ktorý spojil predtým oddelené konfiguračné súbory resolv a konfigurácie presmerovania odchádzajúcich spojení na vzdialený server, pričom dostal aj množstvo nových možností: teraz je možné pre každú url (protokol, doména, port, cesta) zvoliť cez ktorého klienta, cez ktoré proxy bude odoslané, prostredníctvom ktorého dns servera sa určí jeho ip adresa (vrátane voliteľného delegovania tejto úlohy vonkajšiemu proxy serveru http alebo socks5), alebo zadať adresu manuálne, a tiež zmeniť protokol, port alebo prefix cesty url.
10. pridaná podpora SAN certifikátov pre ip adresy v klientovi aj na serveri (prehliadače pred nejakým časom prestali akceptovať ip adresy v CommonName)

Plány do budúcnosti:

1. podpora CGI/FastCGI/.so háčikov pre mitm-spracovanie získaného obsahu zo stránok
2. manažér profilov a konfigurácií proxy
3. interaktívne riadenie overovania certifikátov vzdialených stránok a zoznamov blokád

Zdroj: linux.org.ru