¿Cómo Configurar Tu Propio Servidor Proxy?

Para configurar su propio servidor proxy, normalmente instala y configura un software proxy dedicado como Squid para el almacenamiento en caché HTTP/HTTPS, 3proxy para HTTP/SOCKS ligero, o Dante para SOCKS5 robusto, definiendo puertos de escucha, controles de acceso y mecanismos de autenticación en un servidor Linux.

Configurar un servidor proxy autoalojado proporciona control sobre el tráfico de red, privacidad, acceso a contenido con restricciones geográficas o seguridad mejorada para redes internas. La elección del software depende de requisitos específicos, como el soporte de protocolo (HTTP, HTTPS, SOCKS), las necesidades de almacenamiento en caché y la complejidad deseada.

Requisitos Generales

Antes de configurar cualquier proxy, asegúrese de que su servidor cumpla con estos requisitos básicos:
* Sistema Operativo: Se utiliza comúnmente una distribución de Linux (por ejemplo, Ubuntu, Debian, CentOS).
* Acceso a la Red: El servidor debe tener la conectividad de red adecuada y una dirección IP pública si se requiere acceso externo.
* Configuración del Firewall: Abra los puertos necesarios (por ejemplo, 3128 para HTTP, 1080 para SOCKS) en el firewall de su servidor (por ejemplo, ufw, firewalld).

Servidor Proxy Squid

Squid es un proxy de almacenamiento en caché potente y con todas las funciones para clientes web, compatible con HTTP, HTTPS, FTP y otros protocolos. Destaca en el almacenamiento en caché de contenido de acceso frecuente, reduciendo el uso de ancho de banda y mejorando los tiempos de respuesta.

Instalación (Debian/Ubuntu)

sudo apt update
sudo apt install squid

En CentOS/RHEL: sudo yum install squid o sudo dnf install squid.

Configuración Básica

El archivo de configuración principal se encuentra típicamente en /etc/squid/squid.conf.
1. Definir Puerto de Escucha:
Localice o agregue la directiva http_port.
http_port 3128
2. Listas de Control de Acceso (ACLs):
Squid utiliza ACLs para definir segmentos de red, usuarios u otros criterios, y reglas http_access para aplicar acciones.
```
# Define una ACL de red local (reemplace con la subred local de su servidor o la IP del cliente)
acl localnet src 192.168.1.0/24 # Ejemplo: Permitir clientes de esta subred
acl localhost src 127.0.0.1/32

# Permitir acceso para las ACLs definidas
http_access allow localhost
http_access allow localnet

# Denegar todo otro acceso
http_access deny all
```
Para permitir el acceso desde cualquier dirección IP (menos seguro, use con precaución y autenticación):
```
acl all src 0.0.0.0/0
http_access allow all
```

3. Reiniciar Squid:
   bash sudo systemctl restart squid sudo systemctl enable squid sudo systemctl status squid

Autenticación de Usuario (Auth Básica)

Implemente autenticación básica de nombre de usuario/contraseña para una seguridad mejorada.
1. Instalar Utilidades de Apache (para htpasswd):
bash sudo apt install apache2-utils
2. Crear Archivo de Contraseñas:
bash sudo htpasswd -c /etc/squid/passwd yourusername # Ingrese y confirme la contraseña. Para agregar más usuarios, omita -c: # sudo htpasswd /etc/squid/passwd anotheruser
3. Configurar Squid para Autenticación:
Agregue estas líneas a squid.conf (por ejemplo, al principio o en la sección AUTH):
```
auth_param basic program /usr/lib/squid/basic_ncsa_auth /etc/squid/passwd
auth_param basic children 5 startup=5 idle=1
auth_param basic realm "Squid Proxy Authentication"
auth_param basic credentialsttl 2 hours

acl authenticated proxy_auth REQUIRED
http_access allow authenticated
http_access deny all
```
Asegúrese de que `http_access allow authenticated` aparezca *antes* de cualquier regla `http_access deny all` que bloquearía a los usuarios autenticados.

4. Reiniciar Squid.

Intercepción HTTPS (Proxy Transparente)

Squid puede interceptar y descifrar el tráfico HTTPS, lo que requiere generar y confiar en un certificado SSL personalizado en las máquinas cliente. Esta es una configuración compleja utilizada principalmente en entornos corporativos para el filtrado y monitoreo de contenido, y generalmente no se recomienda para uso personal debido a las implicaciones de seguridad y privacidad.

Servidor Proxy 3proxy

3proxy es un servidor proxy ligero y versátil que admite HTTP, HTTPS (CONNECT), SOCKS4/5, FTP y otros protocolos. Es conocido por su pequeño tamaño y configuración flexible.

Instalación (Compilar desde el Código Fuente)

3proxy a menudo se compila desde el código fuente para obtener la última versión y el máximo control.
1. Instalar Herramientas de Compilación:
bash sudo apt update sudo apt install build-essential git
2. Descargar y Compilar:
bash git clone https://github.com/z3APA3A/3proxy.git cd 3proxy make -f Makefile.Linux sudo make -f Makefile.Linux install
Los binarios se instalarán típicamente en /usr/local/bin/3proxy.

Configuración Básica

Cree un archivo de configuración, por ejemplo, /etc/3proxy/3proxy.cfg.
1. Resolutor DNS:
nserver 8.8.8.8 # Google DNS nserver 1.1.1.1 # Cloudflare DNS
2. Autenticación (si se desea):
auth strong users yourusername:CL:yourpassword # CL para texto plano, use hash para producción
3. Definir Proxies:
* Proxy HTTP:
proxy -p3128
* Proxy SOCKS5:
socks -p1080
* HTTP y SOCKS Combinados:
proxy -p3128 socks -p1080
4. Control de Acceso:
Después de users y antes de las líneas proxy/socks:
allow yourusername # Permitir solo al usuario especificado # O para permitir a todos los usuarios autenticados: # allow * # O para permitir desde una IP específica: # allow 192.168.1.0/24
Una configuración básica, menos segura, que permite a cualquiera desde cualquier lugar:
allow * * proxy -p3128 socks -p1080
5. Iniciar 3proxy:
bash /usr/local/bin/3proxy /etc/3proxy/3proxy.cfg
Para operación en segundo plano, use start 3proxy /etc/3proxy/3proxy.cfg dentro del archivo de configuración, o use systemd para una gestión de servicio adecuada.

Servicio Systemd (Opcional)

Cree /etc/systemd/system/3proxy.service:

[Unit]
Description=3proxy Proxy Server
After=network.target

[Service]
ExecStart=/usr/local/bin/3proxy /etc/3proxy/3proxy.cfg
Restart=always
User=nobody # Ejecutar como un usuario sin privilegios

[Install]
WantedBy=multi-user.target

Luego:

sudo systemctl daemon-reload
sudo systemctl enable 3proxy
sudo systemctl start 3proxy
sudo systemctl status 3proxy

Servidor SOCKS Dante

Dante es un robusto servidor proxy SOCKS que admite principalmente SOCKS4 y SOCKS5. Es conocido por su estabilidad y rendimiento, lo que lo hace adecuado para túneles SOCKS de alto tráfico.

Instalación (Debian/Ubuntu)

sudo apt update
sudo apt install dante-server

En CentOS/RHEL: sudo yum install dante-server o sudo dnf install dante-server.

Configuración Básica

El archivo de configuración principal es /etc/danted.conf.
1. Definir Interfaces de Red y Puertos:
logoutput: stderr internal: eth0 port = 1080 # Reemplace eth0 con el nombre de la interfaz interna de su servidor external: eth0 # Reemplace eth0 con el nombre de la interfaz externa de su servidor
Si solo tiene una interfaz, úsela tanto para internal como para external.
2. Privilegios de Usuario:
user.privileged: root user.notprivileged: nobody
3. Métodos de Autenticación:
Para la autenticación de nombre de usuario/contraseña, Dante utiliza usuarios del sistema.
socksmethod: username none
username requiere autenticación del cliente, none permite acceso no autenticado.
4. Reglas de Acceso:
Defina reglas client (quién puede conectarse al proxy) y reglas socks (qué tráfico reenviará el proxy).
```
# Regla de cliente: Permitir que cualquiera se conecte al proxy
client pass {
from: 0.0.0.0/0 to: 0.0.0.0/0
socksmethod: username none # Aplicar métodos de autenticación definidos anteriormente
}

# Regla SOCKS: Permitir que el proxy reenvíe tráfico a cualquier lugar
socks pass {
    from: 0.0.0.0/0 to: 0.0.0.0/0
    socksmethod: username none
}
```
Para restringir el acceso del cliente a un rango de IP específico:
```
client pass {
    from: 192.168.1.0/24 to: 0.0.0.0/0
    socksmethod: username none
}
```

5. Crear Usuario del Sistema para Autenticación:
   Si se utiliza socksmethod: username, cree un usuario del sistema (sin directorio de inicio ni acceso a shell por seguridad).
   bash sudo adduser --no-create-home --shell /usr/sbin/nologin proxyuser # Establezca una contraseña segura para proxyuser
6. Reiniciar Dante:
   bash sudo systemctl restart danted sudo systemctl enable danted sudo systemctl status danted

Tabla Comparativa: Squid vs. 3proxy vs. Dante

Consideraciones Generales de Seguridad y Rendimiento

• Firewall: Siempre configure el firewall de su servidor (por ejemplo, ufw, firewalld) para permitir solo conexiones entrantes a los puertos del proxy desde IPs o rangos de IP de confianza.
• Autenticación: Use contraseñas fuertes y únicas para la autenticación del proxy. Para proxies de cara al público, siempre habilite la autenticación.
• Menor Privilegio: Ejecute los servicios proxy bajo un usuario dedicado y sin privilegios (por ejemplo, nobody o un usuario personalizado) para limitar el daño potencial en caso de una vulneración.
• Monitoreo: Revise regularmente los registros del proxy en busca de actividad inusual y monitoree los recursos del servidor (CPU, RAM, E/S de red) para identificar cuellos de botella de rendimiento o posibles ataques.
• Actualizaciones: Mantenga su software proxy y sistema operativo actualizados para parchear vulnerabilidades de seguridad.
• Hardware: Asegúrese de que el servidor tenga suficiente CPU, RAM y ancho de banda de red para la carga esperada. Para Squid con almacenamiento en caché intensivo, el almacenamiento SSD es beneficioso.