はじめまして。 エムスリーエンジニアリンググループSREチームの山本です。 先日来のリモートワーク促進の中、弊社でも多くの社員がオフィス外から接続するようになりました。 もちろん、VPNを利用すれば社内のサービスも利用できますが、VPNの使用量が一気に増えるとそちらの制限にかかります。 今回「VPNを可能な限り利用せず、なおかつセキュアに社内のサービスを利用してもらう」という課題に取り組みましたので、ここでその紹介をさせてください。 前提 方針 クライアント証明書の問題点 一括でのSSL化・証明書検証 ドメイン変換 実際の設定 Squidの設定(抜粋) unboundの設定 nginxの設定(クライアント証明書検証) nginxの設定(HTTPサーバに対するproxy) nginxの設定(個別対応) ブラウザのProxy設定 その後発生した問題 ポート問題 Hostヘッダ問題 戻りヘッダ問
以前に、CentOS上のSquidでSSLをインターセプトしてフィルタリングする透過型プロキシを立てて、さらに Google の個人アカウント利用を禁止する設定を紹介しました。 pslabo.hatenablog.com さて、同じことを Ubuntu 16.04 LTS で行おうとしてみたのですが、標準のリポジトリから配布されているバイナリでは、これは行えないようでした。その理由は下記の理由によります。 Ubuntu 向けの squid パッケージングは with-openssl を付けずにビルドされている そこで、 Ubuntu 16.04 LTS で同じ設定を作るために、squid のリビルドを行ってみることにしました。 作業の流れ 概ね、以下の7ステップです。 source をダウンロードできるように apt の設定を変更する ビルドに必要なパッケージをインストールする ソースコー
squid3で透過型プロキシをたてるとき、標準ではSSL/HTTPSの通信の中身を確認することは出来ない。しかし、いわゆる「SSL Bump」という、Squidの中で一度SSLをほどき、そしてsquidで処理をし終わった後に再度SSLをかけるような処理を採用することで、SSL/HTTPSのアクセスでもsquidでキャッシュをすることが出来る。 この方法は、じつは「中間者攻撃」と非常によく似ている方法なので注意が必要なのだが、squidを利用したキャッシュサーバーの構築では非常に優れている方法なので、今回はこちらを用いて透過型プロキシを構築していく。 透過型プロキシとする理由は、VPN接続時に自動的にこちらに接続されるように仕向けるため。 squid3をSSL/HTTPSに対応するようリビルドSourceファイルをダウンロード出来るようにaptを編集標準でaptからインストールされるsqui
こんにちは。情報システム部の松平です！ 今回は社内ネットワーク内から安全にインターネット上の Web サービスを活用するためのプロキシ構築方法を紹介します。 1. Web プロキシの NAT に対する利点 企業では、ルータやファイアウォールなどの NAT 機能を利用して、社内ネットワーク内のコンピュータからインターネットにアクセスすることが多いのではないかと思います。 NAT の構成では、悪質なサイトなど、特定のサイトへのアクセスを IP アドレスでしかブロックできない場合があります。 IP アドレスでブロックした場合、AWS や Akamai といった CDN まで対象に含めてしまうと、まったく関係のないサイトで利用されている CSS、JavaScript ファイルまでブロックしてしまうケースが出てきます。 そこで注目したいのが Web プロキシである Squid の活用です。 Web
Huge Domains makes it easy to acquire premium domain names. As an entrepreneur, the flexibility of interest-free payment options is amazing. It means I can build a killer brand without a huge upfront expense. That allows me to invest in other key areas of the business without settling for a lower-quality domain name. - Sean King, October 25, 2023
In part one of this series I tested the raw throughput performance of Varnish and Squid. My results are consistent with all the blogs and comments floating around the blogosphere – Varnish blows away Squid. Unfortunately, the first series of tests were somewhat uninformative. Since they only tested the raw performance of serving cached content from memory, it did not mimic a real world scenario
実験環境なんかで、プライベートなネットワーク組むことがよくあるのですが、その際外部ネットワークに HTTP だけは通したいことがよくあります。 OSのパッケージインストールとか、Mavenビルドとかね。 そういうときには Proxy を立てますが、いっつも忘れるのでメモ。 構成的には、プライベートネットワーク内のマシンは、ここで立てるProxyサーバを通して社内ネットワークに接続。 社内ネットワークには、インターネットに出るための社内Proxyサーバが別途立っていて、そこを通らないと Firewall が越えられない前提。 さらに、社内ネットワークのマシン群には、社内Proxyを通さずにHTTPする必要がある。 微妙に、特殊かもしれませんが。 使うのは定番のSquidです。 Ubuntu だと、 # sudo apt-get install squid で、/etc/squid/squid
Having a reverse-proxy web cache as one of the major infrastructure elements brings many benefits for large web applications: it reduces your application servers load, reduces average response times on your site, etc. But there is one problem every developer experiences when works with such a cache – cached content invalidation. It is a complex problem that usually consists of two smaller ones: in
プロキシキャッシュサーバであるSquidの設定パラメータを用いてバイトヒット率を上げれば、利用可能な帯域幅を3～6割近くも拡大できる。Webサイトの最適化を考えるあなたにはまずこれを試してみていただきたい。 帯域幅の制限は、インターネットに接続している多くの人にとっていまなお残る問題の1つだ。しかし、プロキシキャッシュサーバSquidをネットワークにインストールし、設定パラメータを用いてバイトヒット率を上げれば、利用可能な帯域幅を3～6割近くも拡大できる。 Squidは、きめ細かいチューニングによってさまざまなニーズに対応できる。現行の安定版には少なくとも249個のパラメータがあり、丁寧なコメントがついた設定ファイル（通常は「/etc/squid.conf」）は4600行以上もある。このボリュームには、経験豊かな管理者でも圧倒されるだろう。設定の変更はすべてこのファイル上で行う。 1週間で
Typical web applications require dozens of SQL queries to generate a single page. When your application is serving over 1,000,000 pages per day, you quickly realize that the performance bottleneck is your database. The typical answer to slow database queries is “just use memcached!” Memcached and other data caches can only take you so far. This is where reverse proxies come in. There are a ha
仕事で画像キャッシュサーバーを構築した時のメモ。大規模事例の設定例が検索してもあまり見つからなかったので同じような境遇の誰かの参考になれば。 ピーク時のトラフィックは数Gbps 画像総容量は数十TB バックエンドのstorageが複数種類 規模とアクセス量とアクセスされる画像の種類が多いので、squidでdisk cacheを使用するとCOSS等を使用してもdiskIOで詰まる為、全てon memory cache。cache容量を確保する為に必然的にcacheサーバーの台数も数十台。 1. squidをsibling構成で並列に並べる cache_peer 10.0.1.1 sibling 80 3130 no-query no-digest proxy-only cache_peer 10.0.1.2 sibling 80 3130 no-query no-digest proxy-o
Finally! We pushed the Traffic Server code to Apache SVN today! This is definitely a momentous occasion, this has been in the works for ages, and it took a lot of work and patience to happen. You wonder, why did we bother? Well, you are right, there's plenty of proxy server alternatives out there, Squid, Varnish, NginX and so on. But, we think we have a platform we can build something on that will
#squidの動作させるユーザ・グループ cache_effective_user squid cache_effective_group nogroup #squidはcache_memの約3倍のメモリを使います cache_mem 64 MB #diskdはsquidと別スレッドでディスクに書込みします。複数cpuに最適値。最初の100は使用ディスク容量(MB単位) cache_dir diskd /var/cache/squid 100 16 256 #半接続で落ちたクライアントをすぐに切る half_closed_clients off #再起動/終了時の待ち時間 shutdown_lifetime 3 seconds #メモリに読み込むキャッシュオブジェクトの最大容量 maximum_object_size_in_memory 5 MB #ステータスページのパスワードを
HomeServer Administration Squid. The definitive guide PrefaceAbout This BookRecommended ReadingConventions Used in This BookComments and QuestionsAcknowledgmentsChapter 1. Introduction1.1 Web Caching1.2 A Brief History of Squid1.3 Hardware and Operating System Requirements1.4 Squid Is Open Source1.5 Squid's Home on the Web1.6 Getting Help1.7 Getting Started with Squid1.8 ExercisesChapter 2. Gettin
2008年10月22日 SquidのCarp検証続き カテゴリ：日記 さてはて、前回どこまではなしたかな。。。 限界値のことは書いたと思うけど、ちょっとうそ情報だったみたいなので、ちゃんとした結果を書きます。 - Squid1インスタンスの限界 ■ 測定値 4500 Transactions/Sec 150 Mbps ■ ボトルネック CPU (1インスタンスで1プロセスの為、CPU 1コア 100%になりそれ以上受けられなくなる。) ※Trafficは、コンテンツサイズを大きくすればまだまだ可能 - Squid7インスタンスの限界 (2byteコンテンツ) ■ 測定値1 (2byteコンテンツ) 22000 Transaction/Sec 50 Mbps ■ ボトルネック1 親サーバ (Apache_mod_mem_cache構成にしたが、Loadが10を越えてそれ以上受けられなくなった
Hi, I’m Mark Nottingham. I write about the Web, protocol design, HTTP, Internet governance, and more. This is a personal blog, it does not represent anyone else. Find out more. Comments? Let's talk on Mastodon. @mnot@techpolicy.social other HTTP Caching posts The State of Browser Caching, Revisited Thursday, 16 March 2017 RFC5861: HTTP Stale Controls Thursday, 6 May 2010 Expires vs. max-age Tuesda
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
