Proxy strežnik je strežniški program, ki ima vlogo posredovanja zahtev in odgovorov med Internetom in računalniki v lokalnem omrežju. Torej, je nekakšen posrednik. Poleg tega, da usmerja zahteve, ima proxy strežnik še nekaj pomembnih nalog:

Proxy strežnik je program, ki odgovarja na pritekajoče zahteve po dostopu do spletnih strani, ki jih pošiljajo uporabniki iz krajevnega omrežja. Uporabnikom odgovarja z vsebino, ki jo ima že shranjeno v svojem medpomnilniku (cache spominu), če pa vsebin še nima shranjenih, posreduje zahtevo do naslovljenega spletnega strežnika v Internet. Odgovor z Interneta posreduje uporabniku, ki je poslal zahtevo po določeni spletni strani. Ob tem se spletna stran shrani v medpomnilnik na disk proxy strežnika, kjer je na raspolago za primer, če bi še kdo povpraševal po tej vsebini.

Na ta način se lahko precej zmanjša promet med lokalnim omrežjem in Internetom, kar pomeni v končni fazi navidezno povečanje hitrosti dostopa do spletnih strani ali drugih vsebin na Internetu.

Shranjevanje (keširanje) spletnih strani in drugih vsebin v medpomnilnik je najosnovnejša funkcija vsakega proxy strežnika. Spletne strani ali druge vsebine se shranjujejo na lokalni disk proxy strežnika. Pri namestitvi samega strežnika določimo kateri disk bo to, in koliko prostora lahko proxy zasede za medpomnilnik. Pri zahtevi uporabnika po določeni spletni strani, proxy prvo preveri, če ima zahtevano stran shranjeno. Če jo ima, jo posreduje uporabnikovemu brkljalniku, če ne, pa posreduje zahtevo na Internetni naslov. V praksi pomeni to precejšenj prihranek pri času potrebnem, da se spletna stran prenese na uporabnikov računalnik, saj je precej vsebin že shranjenih v medpomnilniku proxy strežnika in ni potrebe po prenosu z Interneta.

Nekateri proxy strežniki uporabljajo dinamično shranjevanje. Pri tem načinu, proxy preverja pogostost dostopa do določenih strani in bolj obiskane strani obnavlja sam, tudi ko ni zahtev uporabnikov. S tem so te strani bolj »sveže«.

Sodobni proxy strežniki poznajo nov protokol Cache Array Routing Protocol (CARP), ki omogoča distribuirano shranjevanje preko več proxy strežnikov povezanih v verigo (chain) ali polje (array).

Povezanost računalnikov lokalnega omrežja preko proxy strežnika omogoča skrivanje računalnikov pred »pogledi« z Interneta. To je ena bolj preprostih in učinkovitih metod varovanja lokalnih računalnikov pred vdori z Interneta.

Posamezni podatkovni paketki TCP/IP protokola ki potujejo med računalniki nosijo s seboj tudi naslov (IP adreso) računalnika s katerega prihajajo. Ker gredo ti paketki preko proxy strežnika, tam »prestopijo« in privzamejo IP naslov strežnika. Nekdo, ki opazuje omrežje z Interneta vidi samo proxy strežnik, ostalih računalnikov v lokalnem omrežju pa ne.

Ena od osnovnih nalog proxy strežnika je tudi ta, da ga lahko uporabimo za povezovanje manjšega lokalnega omrežja v Internet preko klicne analogne ali ISDN linije. V tem primeru deluje proxy strežnik kot TCP/IP usmerjevalnik (router). Eden prvih programov, ki se že nekaj let uporablja na nekaterih šolah je Wingate.

Proxy strežnik spremlja promet na lokalnem omrežju. Ob pojavu podatkovnih paketkov, ki bi želeli v Internet, proxy požene proceduro za vzpostavljanje klicne povezave (omrežje na klic) nakar preusmeri paketke ven (v Internet) po pravkar vzpostavljeni povezavi. Ko ni več potrebe po povezavi jo zna tudi sam, po določenem nastavljivem času, prekiniti. Danes je smiselno povezovat krajevno omrežje preko ISDN klicne linije, ker je čas potreben za vzpostavljanje povezave neprimerno krajši od klica preko analogne telefonske linije (manj kot sekunda). Za namen povezave je že tudi vprašljivo, ali nebi bilo bolje iti v nabavo ISDN usmerjevalnika katerim je cena že padla pod 100.000 Sit. Leti so bolj uporabni, ker ne potrebujejo vzdrževanja (manj problemov).

Omejevanje servisov

Omejevanje servisov je zmožnost proxy strežnika, da posreduje zahteve samo določenih internet servisov. Običajni servisi so: WWW, FTP, E-mail, telnet, DNS in drugi. Zaradi varnosti ali pa zaradi drugih kriterijev določamo kaj sme skozi proxy strežnik.

Omejevane pravic uporabnikom

V krajevnih omrežjih imajo uporabniki pri dostopu do omrežnih resursov omejitve, ki so posledica njihovih pravic, ki jim jih nastavi upravitelj omrežja. Tudi dostop do Interneta je lahko reguliran, kar nam omogoči sam proxy strežnik, ki ima možnost teh nastavitev. V sklopu teh uporabnikovih omejitev je tudi časovna omejitev, kar pomeni, da lahko določen uporabnik dostopa do Interneta samo ob določenih urah. Uporabnik, ki pa se ne prijavi v krajevno omrežje s svojim uporabniškim imenom (username) in geslom (password) naj nebi imel sploh pravico dostopa v Internet.

Nekateri boljši proxy strežniki imajo tudi možnost omejevanja servisov uporabniku. Primer: uporabnik KDORKOLI lahko samo brska po spletnih straneh, uporabnik RAVNATELJ pa lahko uporablja vse internet servise.

Omejevanje dostopa do neprimernih spletnih vsebin na Internetu

Filtriranje paketov TCP/IP

Filtriranje na nivoju TCP/IP paketov in portov mrežnega protokola, omogoča najvišjo stopnjo kontrole in varnosti, vendar zahteva precej dobro poznavanje samega TCP/IP protokola.

Nadzor prometa preko proxy strežnika se vrši s pomočjo log datotek. V te se zapisujejo razni podatki, ki govorijo o tem: kateri računalnik in/ali uporabnik iz omrežja hoče dostopat v Internet, iz katerih naslovov v Internetu bi rad dobil spletne vsebine, kdaj se je to zgodilo in druge podatke, ki pomagajo skrbniku mreže pri nadzoru.

Proxy strežnik ima tudi mehanizme, ki sproti opozarjajo skrbnika mreže o morebitnih poizkusih vdora, ali kakšni drugi nepravilnosti v delovanju strežnika. Opozorila dobi skrbnik preko elektronske pošte, telefonskega klica ali preko zvočnega alarma.

Značilnosti

Skrb za zaščito

Skrb za delovanje in zaščito šolskega omrežja je danes prepuščena največkrat učitelju računalnikarju-organizatorju informacijskih dejavnosti (osnovne šole) ali učitelju računalništva (srednje šole). Le redko za šolska omrežja skrbijo drugi učitelji, vzdrževalci ali pa neka zunanja organizacija. Koliko in kaj ter na kakšen način ščititi je močno odvisno od »stopnje paranoje« v organizaciji-od NIČ pa do te mere, ko je že onemogočeno neko normalni delo. V šolskih omrežjih je le malo podatkov, ki bi bili strogo zaupnega značaja (podatki o uspehu, osebni dokumenti učiteljev, testi...). Pomembno je, da se zavemo zaščite dokumentov, zaščite posameznih računalnikov ter njihovega delovanja, pa tudi same integritete omrežja kot celote.

Povezovanje krajevnega omrežja v Internet

Proxy strežnik je tu dober odgovor, saj omogoča majhnim krajevnim omrežjem dostop do Interneta preko ene same klicne, bodisi »navadne« analogne ali digitalne (ISDN) linije. Največkrat gre tu za namestitev proxy strežnika na namenski računalnik, ki prevzame funkcijo »prehoda« v omrežje Internet. Računalnik je povezan v Internet z modemom, ISDN kartico ali ISDN usmerjevalnikom preko telefonske linije in dobi IP naslov od ponudnika Internet storitev. Ostali računalniki imajo interne naslove, ki pa »od zunaj« niso vidni.

Zaščita krajevnega omrežja

Povezovanje krajevnega omrežja na omenjeni način pomeni že dokaj dobro zaščito, saj interni naslovi napadalcu niso vidni. Večja, bolj razvejana omrežja, še posebej, če ima šola celo ali del C klase IP številk je potrebno skrbno načrtovati, pri tem pa upoštevati varnostne mehanizme za zaščito, preprečevanje vdorov, poskuse prevzema računalnika in preprečevati izkoriščanje našega omrežja kot odskočno desko drugam. Ustrezna namestitev proxy strežnika pomeni močno zmanjšano nevarnost za omenjeno početje. Proxy strežnik lahko izkoristimo tudi za to, da preverjamo uporabnike, ki dostopajo do omrežja Internet oziroma, da uporabnikom omogočamo selektivni dostop, npr.: www strani s spornimi vsebinami (pornografija, droge, nasilje…) niso dosegljive otrokom. Dobra lastnost proxy strežnika je tudi skrivanje IP naslovov oz. uporaba izmišljenih naslovov. Računalnikom, ki so za proxy strežnikom priredimo izbrane izmišljene naslove. Taki računalniki niso dosegljivi iz omrežja Internet

Spremljanje prometa omrežja

Glede na »log« datoteke lahko spremljamo promet omrežja. Na ta način je mogoče tudi ugotavljati poskuse vdora v računalniški sistem oz. omrežje.

Preprečevanje dostopov do spornih strani

Nekateri proxy strežniki omogočajo nastavitev filtriranja za uporabnike spornih strani, recimo trda pornografija, droge, nasilje, izdelovanje orožja… Delovanje nekaterih proxy strežnikov lahko dopolnimo s posebnimi programi (vstavki), ki se integrirajo v proxy strežnik (Third party »plug-in« products). Tovrstni programi vsebujejo bazo podatkov (naslovov) takih strani, ki jo lahko dopolnjujemo kar prek svetovnega spleta.

Uporaba skupnega medpomnilnika

V splošnem lahko namestimo proxy strežnik na namenski strežnik; s tem izkoristimo vse možnosti, ki nam jih taka namestitev nudi.

Namestitev na namenski strežnik

Tak strežnik naj bi se ne uporabljal za druge namene. Uporaba takega strežnika v druge namene (srfanje, delo z dokumenti, izdelava web strani, nameščanje programov) pomeni lahko namestitev varnostne luknje v omrežju, preko katere je možen vdor v sistem. Možna so tudi občasna nepravilna delovanja strežnika, kar rezultira z popravili, ponovnimi zagoni proxy servisa, kar vse moti dostop uporabnikov omrežja do Interneta. Če je dostop do omrežja izključno odvisen od edinega računalnika, ki je direktno vezan v Internet, mora biti le-ta zanesljiv, na njem pa naj bi bil nameščen robusten operacijski sistem (različice UNIX-a, NOVELL, Windows NT…). Nekateri proxy strežniki omogočajo namestitev več strežnikov v »polje«. Strežniki si delijo vlogo in se obnašajo navzven kot eden. Odpoved delovanja enega tako ne pomeni bistveno zmanjšane funkcije proxy strežnikov. Takšna namestitev seveda pomeni podražitev na račun povečane zanesljivosti delovanja.

Namestitev na delovno postajo

Namestitev na nenamenski računalnik (delovno postajo) lahko pomeni, da so nekatere funkcije strežnika okrnjene, npr.: izkoristimo samo možnosti »prehoda«, vmesnega medpomnilnika, ne pa tudi njegove funkcije posredovanja IP številk drugim delovnim postajam. Takšna namestitev proxy strežnika je čisto zadovoljiva v tistih primerih, ko gre za manjša omrežja, ki šele spoznavajo storitve Interneta in so nekje v začetni fazi razvoja šolskega omrežja. Potrebe so takrat skromne, zanimive storitve so predvsem WWW ter elektronska pošta, nekoliko manj FTP, telnet, ostali servisi pa še manj.

Nastavitve proxy strežnika

Po sami instalaciji proxy strežnika so potrebne še nastavitve le-tega. Običajno za osnovne nastavitve servisov (WWW, FTP, gopher) ter pripadajoča vrata poskrbi sama instalacija oz. so že kar privzete. Pri ostalih nastavitvah je pa treba poskrbeti za »ročne« obdelave, nastavitve, morebitne popravke…

Nastavitve odjemalca

Odjemalec običajno ne zahteva kakšne posebne ali dodatne programske opreme. Potrebno pa je nastaviti prehod v omrežje Internet za posamezne storitve. Na primer: na brskalnikih nastavimo proxy strežnik tako, kot je ime računalniku, na katerem teče proxy, vrata (port) lahko tudi izpustimo, ker so privzeta vrata št. 80. Kako se kakšne storitve nastavi na klientih je dovolj dobro opisano v priročnikih.

Administracija proxy strežnika

Sama administracija se po enkrat uspešni instalaciji ne izvaja pogosteje, običajno je omejena na ponovne zagone servisov, kadar strežnik »pade«, na morebitna dodajanja novih servisov, ki niso privzeta ob nastavitvah (npr.: ICQ, real media ali kakšne bolj eksotične servise). Takrat moramo za dotični servis nastaviti tip protokola in vrata ter včasih smer.

Če je naše omrežje že povezano v Internet ter želimo opraviti delitev omrežja na segmente in/ali zaščititi posamezne segmente mreže, lahko postopamo ne več načinov. Najenostavnejši način je, da izvedemo segmentacijo omrežja tako, da je en del dostopen samo učiteljem in/ali administraciji, drugi del pa učencem/dijakom. Izvedba je lahko takšna, da je ločitev fizična (recimo usmerjevalnik z dvema ločenima portoma) ali pa na nivoju programske opreme (robusten operacijski sistem, ki to omogoča). Proxy strežnik je lahko nameščen tako, da ščiti samo en del (recimo administracijo) ali pa oba.

Seminar je namenjen vsem učiteljem/administratorjem šolskih omrežij, ki bi želeli namestiti in administrirati proxy strežnik v šolskem okolju .

Slušatelji bodo po končanem seminarju znali namestiti proxy strežnik, ga nastaviti ter administrirati.

Kandidati naj bi obvladali operacijske sisteme Windows95 in/ali WindowsNT, ter znali delati v Internetu, ter poznali osnove TCP/IP protokola .

Dva dni (2 x 8 ur)

Predavatelj in asistent: predavatelji in asistenti, ki bodo vodili izobraževanje se morajo predhodno udeležit uvajalnega seminarja, ki ga organizira program RAČUNALNIŠKO OPISMENJEVANJE

1.dan

2.dan