Squid

Squid é um servidor proxy de cache de código aberto e alto desempenho para clientes web, com suporte a HTTP, HTTPS, FTP e outros protocolos de rede, projetado para reduzir o consumo de banda da rede e melhorar os tempos de resposta armazenando em cache o conteúdo web acessado com frequência.

Visão geral do Squid

O Squid opera como intermediário entre aplicações cliente (por exemplo, navegadores web) e servidores de origem (por exemplo, servidores web). Quando um cliente solicita um conteúdo, o Squid intercepta a requisição. Se o conteúdo estiver armazenado no cache local do Squid e for considerado fresco, o Squid o entrega diretamente ao cliente, sem passar pelo servidor de origem. Se o conteúdo não estiver em cache ou estiver obsoleto, o Squid o busca no servidor de origem, entrega ao cliente e guarda uma cópia em seu cache para requisições futuras.

Funções principais

• Cache: armazena cópias de páginas web, imagens e outros conteúdos para atender requisições subsequentes mais rapidamente.
• Proxy: atua como intermediário, encaminhando requisições e respostas.
• Controle de acesso: filtra requisições de clientes e respostas de servidores com base em regras configuráveis.
• Logging: registra informações detalhadas sobre as requisições dos clientes e a atividade do Squid.

Mecanismo de cache do Squid

O mecanismo de cache do Squid é central para seus ganhos de desempenho. Ele gerencia um armazenamento local de objetos previamente requisitados, tipicamente em disco e em memória.

Cache hits e misses

• Cache hit: quando o Squid recebe uma requisição por um objeto já presente em seu cache, e esse objeto é válido (não expirado nem invalidado), o Squid o entrega diretamente. Isso resulta em tempos de resposta menores e menor uso de banda upstream.
• Cache miss: quando o Squid recebe uma requisição por um objeto que não está em seu cache, ou por um objeto obsoleto, ele busca o objeto no servidor de origem. Ao recebê-lo, o Squid guarda uma cópia em seu cache para requisições futuras.

Validação de cache

O Squid emprega vários mecanismos para garantir que o conteúdo em cache permaneça fresco e correto:

• Cabeçalhos HTTP: o Squid respeita cabeçalhos de cache HTTP como Cache-Control, Expires, Last-Modified e ETag.
  • Cache-Control: direciona o comportamento de cache (por exemplo, max-age, no-cache, no-store).
  • Expires: especifica a data/hora após a qual a resposta é considerada obsoleta.
  • Last-Modified: indica a última vez em que o recurso foi modificado. O Squid usa cabeçalhos If-Modified-Since em requisições subsequentes à origem para verificar atualizações.
  • ETag: um identificador opaco para uma versão específica de um recurso. O Squid usa cabeçalhos If-None-Match para validar com a origem.
• Expiração heurística: se um objeto não tiver cabeçalhos de cache explícitos, o Squid aplica regras heurísticas baseadas no cabeçalho Last-Modified para estimar sua validade.

Armazenamento de cache

O Squid usa uma combinação de memória e disco para seu cache.
* Cache em memória: armazena objetos pequenos acessados com frequência para recuperação muito rápida.
* Cache em disco: armazena objetos maiores e uma gama mais ampla de conteúdo de forma persistente. O Squid suporta diversos tipos de cache em disco (por exemplo, aufs, diskd, rock) otimizados para cargas de trabalho diferentes.

# Exemplo: configurar cache em disco (10000 MB, 16 níveis, 256 diretórios por nível)
cache_dir ufs /var/spool/squid 10000 16 256

# Exemplo: configurar cache em memória (256 MB)
cache_mem 256 MB

Modos de proxy do Squid

O Squid pode operar em vários modos de proxy, cada um atendendo a necessidades arquiteturais diferentes.

Forward proxy

Em uma configuração de forward proxy, os clientes são configurados explicitamente para enviar suas requisições ao Squid. Esse é o caso de uso mais comum para cache e controle de acesso no lado do cliente.

• Configuração do cliente: navegadores ou aplicações precisam ser configurados com o endereço IP e a porta do Squid.
• Casos de uso:
  • Acelerar a navegação web para um grupo de usuários em um escritório.
  • Filtrar o acesso de saída à internet.
  • Prover anonimato mascarando os endereços IP dos clientes.

# Exemplo: forward proxy básico escutando na porta 3128
http_port 3128

Reverse proxy

Como reverse proxy, o Squid fica à frente de um ou mais servidores web, interceptando requisições dos clientes antes que elas cheguem ao servidor de origem. Esse modo é usado para balanceamento de carga, aceleração de conteúdo e segurança de aplicações web.

• Configuração do cliente: os clientes não sabem da existência do Squid; eles se conectam ao endereço do reverse proxy, que então encaminha as requisições ao servidor de origem apropriado.
• Casos de uso:
  • Balanceamento de carga: distribuir requisições de clientes entre vários servidores web de backend.
  • SSL offloading: tratar a criptografia e descriptografia SSL/TLS, reduzindo a carga dos servidores de backend.
  • Aceleração de conteúdo: cachear conteúdo dinâmico e ativos estáticos para melhorar os tempos de resposta de aplicações web.
  • Segurança: ocultar detalhes dos servidores de backend e fornecer uma camada adicional de defesa.

# Exemplo: reverse proxy simples para um servidor web
http_port 80 accel vhost
cache_peer 192.168.1.10 parent 80 0 no-query origin-for-miss name=webserver1
cache_peer_domain webserver1 example.com

Proxy transparente

Um proxy transparente intercepta o tráfego de rede sem exigir configuração explícita no cliente. Isso normalmente é obtido configurando roteadores ou firewalls da rede para redirecionar o tráfego HTTP/HTTPS ao Squid.

• Configuração do cliente: nenhuma configuração no lado do cliente é necessária. Os clientes acreditam estar se conectando diretamente ao servidor de origem.
• Casos de uso:
  • Filtragem de conteúdo ou cache obrigatórios para todos os usuários de um segmento de rede.
  • Implantação em ambientes onde a configuração no lado do cliente é impraticável ou impossível.
• Considerações: proxiar tráfego HTTPS de forma transparente exige SSL bumping (inspeção Man-in-the-Middle), que envolve geração de certificados e pode levantar preocupações de privacidade e segurança.

# Exemplo: proxy transparente escutando na porta 3128
http_port 3128 intercept

Listas de controle de acesso (ACLs)

O controle de acesso do Squid é gerenciado por meio de listas de controle de acesso (ACLs). As ACLs definem critérios baseados em IP de origem, destino, padrões de URL, horário e outros atributos. As regras http_access então usam essas ACLs para permitir ou negar requisições.

# Define uma ACL para a rede local
acl localnet src 192.168.1.0/24

# Define uma ACL para domínios bloqueados específicos
acl blocked_sites dstdomain .badsite.com .malware.net

# Nega acesso aos sites bloqueados
http_access deny blocked_sites

# Permite acesso a partir da rede local
http_access allow localnet

# Nega todo o restante
http_access deny all

Logging e monitoramento

O Squid oferece amplos recursos de logging, registrando detalhes de cada requisição que processa. Esses logs são valiosos para monitorar desempenho, diagnosticar problemas e auditar a atividade da rede.

• access.log: registra informações detalhadas sobre as requisições dos clientes, incluindo IP do cliente, URL requisitada, status HTTP, tamanho do objeto e a ação do Squid (por exemplo, TCP_HIT, TCP_MISS).
• cache.log: contém mensagens internas, avisos e erros do Squid.
• store.log: registra detalhes sobre objetos armazenados e recuperados do cache.

# Exemplo: personalizar o formato do log de acesso
logformat squid %ts.%03tu %6tr %>a %Ss/%03>Hs %<st %rm %ru %un %Sh/%<A %mt
access_log /var/log/squid/access.log squid

Vantagens de usar o Squid

• Ganho de desempenho: reduz a latência para os clientes ao entregar conteúdo em cache diretamente e aliviar as requisições sobre os servidores de origem.
• Economia de banda: minimiza transferências redundantes de dados pela internet, economizando custos de banda, especialmente para ISPs ou grandes empresas.
• Escalabilidade: pode ser implantado em uma estrutura hierárquica de cache para escalar em grandes bases de usuários ou grandes volumes de conteúdo.
• Segurança: fornece uma camada de isolamento entre clientes e servidores de origem, permitindo filtrar requisições, bloquear sites maliciosos e proteger a infraestrutura de backend no modo reverse proxy.
• Controle de acesso: controle granular sobre quem pode acessar qual conteúdo, com base em vários critérios.
• Filtragem de conteúdo: pode bloquear conteúdo ou sites indesejáveis com base em URLs, domínios ou tipos de conteúdo.
• Monitoramento e relatórios: logs detalhados facilitam a análise do tráfego de rede e o monitoramento do comportamento dos usuários.

Considerações e limitações

• Complexidade de configuração: o arquivo de configuração do Squid (squid.conf) pode se tornar complexo, especialmente em setups avançados com múltiplas ACLs e regras de cache.
• Consumo de recursos: o cache exige espaço em disco significativo para o diretório de cache e RAM para cache em memória e indexação de objetos.
• Invalidação de cache: garantir que o conteúdo em cache esteja sempre fresco pode ser difícil, sobretudo para recursos dinâmicos ou atualizados com frequência. Cabeçalhos Cache-Control inadequados vindos dos servidores de origem podem fazer com que conteúdo obsoleto seja entregue.
• Interceptação SSL/TLS: proxiar tráfego HTTPS de forma transparente exige SSL bumping, o que introduz um cenário Man-in-the-Middle, exigindo confiança no certificado nas máquinas cliente e levantando questões de privacidade.

Squid vs. outras soluções de proxy

Embora o Squid se destaque como proxy de cache dedicado, outras soluções podem ser mais adequadas para requisitos específicos.

Para cenários que exigem cache robusto e agnóstico de protocolo, controle de acesso extenso e capacidades de forward proxy, o Squid continua sendo uma escolha poderosa e flexível. Para pura aceleração HTTP de aplicações web com requisitos extremos de desempenho, soluções especializadas como Varnish ou Nginx podem oferecer características de desempenho melhores devido ao seu design focado.