Proxy Squid HA¶

Concepts : proxy forward et filtrage Layer 7¶

Un proxy forward (ou proxy direct) est un intermediaire entre les clients du reseau interne et Internet. Contrairement a un reverse proxy (qui protege les serveurs), le forward proxy protege les clients en controlant et filtrant leur acces sortant.

HTTP vs HTTPS a travers un proxy¶

• HTTP : le proxy recoit la requete en clair, peut inspecter l'URL complete, mettre en cache la reponse et filtrer le contenu.
• HTTPS : le client envoie une requete HTTP CONNECT domaine:443. Le proxy cree un tunnel TCP sans voir le contenu chiffre. Le filtrage se fait uniquement sur le nom de domaine (SNI), pas sur l'URL ou le contenu.

Mise en cache¶

Squid peut stocker localement les reponses HTTP pour les servir plus rapidement lors des requetes suivantes. Pour HTTPS (tunnel CONNECT), la mise en cache n'est pas possible car le contenu est chiffre de bout en bout.

graph LR
    subgraph "Requete HTTP"
        C1["Client"] -->|"GET http://..."| P1["Proxy<br/>(voit tout)"]
        P1 -->|"Forward"| S1["Serveur"]
    end

    subgraph "Requete HTTPS"
        C2["Client"] -->|"CONNECT domaine:443"| P2["Proxy<br/>(tunnel opaque)"]
        P2 -->|"Tunnel TCP"| S2["Serveur"]
    end

Pourquoi Squid et non le proxy Fortigate ?¶

Le Fortigate VM64 integre un proxy explicite natif sur le port 8080. En conditions normales, ce proxy gere HTTP et HTTPS. Cependant, notre Fortigate de lab n'a pas la licence FortiGuard enregistree :

Architecture du cluster Squid HA¶

graph TB
    subgraph CLIENTS["Toutes les VMs de l'infrastructure"]
        VM1["VM Services"]
        VM2["VM SOC"]
        VM3["VM Supervision"]
        VMN["..."]
    end

    subgraph DMZ["VLAN Proxy — 10.15.50.0/29"]
        SQUID1["Squid 1<br/>10.15.50.1<br/>MASTER (priority 100)"]
        SQUID2["Squid 2<br/>10.15.50.2<br/>BACKUP (priority 90)"]
        VIP["VIP Keepalived<br/>10.15.50.3:3128<br/>VRID 50"]
        SQUID1 --- VIP
        SQUID2 --- VIP
    end

    subgraph FW["Fortigate"]
        P47["Policy 47<br/>NAT + FQDN groups"]
    end

    VM1 -->|"port 3128"| VIP
    VM2 -->|"port 3128"| VIP
    VM3 -->|"port 3128"| VIP
    VMN -->|"port 3128"| VIP
    VIP --> P47
    P47 --> NET["Internet<br/>(domaines autorises)"]

    style VIP fill:#e67e22,color:#fff
    style SQUID1 fill:#27ae60,color:#fff
    style SQUID2 fill:#3498db,color:#fff

Keepalived et VRRP¶

Qu'est-ce que VRRP ?¶

Le protocole VRRP (Virtual Router Redundancy Protocol, RFC 5798) permet a plusieurs serveurs de partager une adresse IP virtuelle (VIP). Un seul serveur est MASTER a la fois et repond au trafic. Si le MASTER tombe, le BACKUP prend le relais automatiquement.

Le basculement se fait par gratuitous ARP : le nouveau MASTER envoie une trame ARP non sollicitee pour annoncer que la VIP est maintenant associee a sa propre adresse MAC. Les switches et routeurs mettent a jour leur table ARP immediatement.

Configuration keepalived¶

sequenceDiagram
    participant S1 as Squid 1 (MASTER)
    participant S2 as Squid 2 (BACKUP)
    participant VIP as VIP 10.15.50.3

    Note over S1,S2: Fonctionnement normal
    S1->>S2: VRRP Advertisement (chaque seconde)
    S1-->>VIP: Trafic gere par MASTER

    Note over S1: Squid crash !
    S1->>S1: Health check echoue (fall=2)
    S1->>S1: Priority 100-30 = 70 < 90
    S2->>VIP: Gratuitous ARP
    Note over S2: Devient MASTER (~4s)
    S2-->>VIP: Trafic gere par nouveau MASTER

Double filtrage : Squid + Fortigate¶

Le trafic sortant est filtre a deux niveaux independants :

graph LR
    VM["VM<br/>(http_proxy)"] -->|"TCP 3128"| SQUID["Squid<br/>ACL dstdomain<br/>(Layer 7)"]
    SQUID -->|"HTTP/HTTPS"| FGT["Fortigate<br/>FQDN groups<br/>(Layer 3/4)"]
    FGT -->|"NAT"| NET["Internet"]

    SQUID -.->|"403 Forbidden"| VM
    FGT -.->|"Drop + Log"| SQUID

    style SQUID fill:#e67e22,color:#fff
    style FGT fill:#e74c3c,color:#fff

Whitelist complete des domaines (ACL Squid)¶

Repos et packages (11 domaines)¶

Docker registries (7 domaines)¶

Threat Intelligence (6 domaines)¶

Cloud et identite (8 domaines)¶

Domaines internes¶

Configuration Squid expliquee¶

Les directives cles du fichier /etc/squid/squid.conf :

Integration Ansible¶

Toutes les VMs de l'infrastructure utilisent le proxy via les variables definies dans group_vars/all.yml :

# group_vars/all.yml
fortigate_proxy: "http://10.15.50.3:3128"
fortigate_no_proxy: "localhost,127.0.0.1,10.15.80.*,10.15.100.*,10.15.50.*,repo.infra.indio,gitlab.infra.indio,*.infra.indio"

Le role common injecte ces variables dans /etc/environment et dans la configuration de dnf/yum pour que tous les outils systeme utilisent le proxy automatiquement.

Procedure : ajouter un nouveau domaine¶

Etape 1 -- Modifier la whitelist Squid¶

Sur les deux serveurs Squid (ou via le playbook Ansible) :

1. Editer /etc/squid/squid.conf
2. Ajouter le domaine dans l'ACL dstdomain (ex: .nouveau-domaine.com)
3. Recharger la configuration : systemctl reload squid

Etape 2 -- Ajouter le FQDN au Fortigate¶

1. Creer un objet Address de type FQDN sur le Fortigate
2. Ajouter l'objet au Address Group correspondant (ex: GRP-Repos-Publiques)

Etape 3 -- Tester l'acces¶

# Depuis une VM concernee
curl -x http://10.15.50.3:3128 -v https://nouveau-domaine.com