Apache als Proxy-Server

Testen des Proxy-Servers
Das Thema DNS wird bei diesen Beispielen ausklammert, die Sites werden daher über ihre IP-Adressen aufgerufen. Wenn von einer Proxy-fähigen Workstation aus 17.112.144.32 (apple.com) eingeben wird, wird die Seite ordnungsgemäß angezeigt. Doch wie kann man sichergehen, dass der Client-Rechner auch tatsächlich den Proxy-Server genutzt hat, statt einfach den Content direkt von der Website abzurufen?

Bevor ich die Website von Apple aufrief, habe ich das Verzeichnis /usr/local/apache/proxy auf meinem Apache-Proxy-Server überprüft und festgestellt, dass dieses leer war. Nach dem Surfen zu der Site enthielt das Verzeichnis einige neue Dateien, darunter auch eine mit diesem Inhalt.

Wie der X-URL-Angabe in der ersten Zeile zu entnehmen ist, handelt es sich um eine Seite der Apple-Website, die vor einigen Minuten noch nicht auf dem Proxy-Server vorhanden war.

Authentifizierung
Neben der Bereitstellung von Caching und Proxy-Diensten kann Apache auch Benutzer auf Proxy-Server-Ebene authentifizieren, so dass ein Unternehmen überwachen kann, wer wann Zugriff auf seine Ressourcen hat.

Die Umsetzung dieses Dienstes hängt stärkt von der Positionierung des Proxy-Servers in einem Netzwerk sowie von seinen Routing-Einstellungen ab. Dazu folgendes Beispiel: Der Administrator eines kleinen Netzwerks möchte einen Proxy-Server implementieren. Dazu konfiguriert er in der gleichen Weise wie für alle anderen Workstations auch einen Proxy-Server mit Authentifizierung im Netzwerk. Dann fügt er die jeweiligen Proxy-Einstellungen lokal an den Workstations sämtlicher Benutzer hinzu (die Konfiguration der Proxy-Optionen des Clients ist je nach Browser unterschiedlich).

Alles scheint nach Plan zu laufen, bis der Administrator bemerkt, dass einige Benutzer den Proxy-Server nicht mehr verwenden. Sie haben die Proxy-Einstellungen von ihren Rechner entfernt.

Um dies zu vermeiden, könnte der Administrator den Proxy-Server zwischen das Netzwerk und die Außenwelt setzen, so dass jeglicher ausgehender Traffic diesen passieren muss, unabhängig von lokalen Browser-Einstellungen. Eine weitere mögliche Lösung wäre eine Konfiguration der Netzwerk-Ausstattung, die nur bestimmte Arten von Traffic von bestimmten Hosts akzeptiert. Beispielsweise könnte der Gateway-Server (der einzige mit der Außenwelt verbundene Server) HTTP-Traffic nur vom Proxy-Server zulassen und von anderen Quellen ablehnen.

Voraussetzungen
Zur Einrichtung einer Authentifizierung müssen lediglich Benutzer eingerichtet und einige Zeilen zur Datei httpd.conf hinzugefügt werden. Bei einer geringen Benutzeranzahl ist es am einfachsten, die Benutzer manuell über die Befehlszeile zu erstellen, mithilfe des Dienstprogramms htpasswd aus dem in Apache enthaltenen Paket htaccess.

In diesem Beispiel wurde die User-ID und das Passwort in eine Textdatei eingefügt, indem dieser Befehl in htpasswd eingegeben wurde.

Der Parameter -c teilt htpasswd mit, dass es sich hierbei um eine neu zu erstellende Datei handelt. Der Name der Datei lautet /usr/local/apache/conf/htaccess.conf, und slowe ist der Benutzername.

Wird dieser Befehl ausgeführt und ein Passwort eingeben (nach Eingabe des Befehls wird nach diesem Passwort gefragt), wird der Benutzer slowe hinzugefügt. Eine Anzeige des Inhalts der Datei htaccess.conf sieht wie folgt aus:

slowe:R5UsPKcGF6EqA

Das Passwort, als R5UsPKcGF6EqA angegeben, ist in dieser Anzeige verschlüsselt. Nun wird lediglich dieser Vorgang (ohne den Parameter -c) für alle einzurichtenden Benutzer wiederholt.