Nghiên Cứu và Xây Dựng Hệ Thống Proxy Server cho Khoa CNTT - Viện Đại Học Mở Hà Nội

• Tác giả: Nguyễn Đình Võ Hiệp
• Người hướng dẫn: Ths. Nguyễn Thành Huy
• Trường học: Viện Đại Học Mở Hà Nội
• Chuyên ngành: Công Nghệ Thông Tin
• Đề tài: Nghiên Cứu Và Xây Dựng Hệ Thống Proxy Server Cho Khoa Công Nghệ Thông Tin
• Loại tài liệu: Đồ Án Tốt Nghiệp
• Năm xuất bản: 2015
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI MỞ ĐẦU
• 1. Chƣơng 1: KHẢO SÁT VÀ PHÂN TÍCH HỆ THỐNG MẠNG CỦA KHOA
• 1.1. Phân tích đặc điểm của hệ thống này
• 1.2. Nhược điểm của hệ thống này
• 1.3. Những yêu cầu đổi mới hệ thống mạng
• 2. Chƣơng 2: CƠ SỞ LÝ THUYẾT
• 2.1. Khái niệm Proxy và Proxy server
• 2.2. Khả năng và lợi ích của Proxy server
• 2.3. Cơ chế hoạt động của Proxy server
• 2.4. Phân loại Proxy server
• 2.4.1. Theo chức năng
• 2.4.2. Theo khả năng hỗ trợ:
• 2.5. Tổng quan về Squid proxy
• 2.6. Tại sao chúng ta cần dùng Squid?
• 2.7. Cơ chế hoạt động
• 2.8. Yêu cầu về phần cứng
• 2.9. Cách cài đặt
• 2.10. Cấu hình cơ bản
• 2.11. Access Control List
• 2.12. Access List Rules
• 2.13. Điều khiển cache
• 2.14. Giới hạn dung lượng của các trả lời
• 2.15. Chặn việc ghi log
• 2.16. CHỨNG THỰC TRUY CẬP
• 2.17. Chứng thực NCSA
• 2.18. Chứng thực thông qua LDAP
• 2.19. QUẢN LÝ HỆ THỐNG TRONG SQUID
• 2.20. Khái niệm về log trong Squid
• 2.21. Quản lý acccess log thông qua Sarg
• 2.22. Quản lý Cache trong Squid
• 2.23. Giới thiệu về Cache
• 2.24. Quản lý thông số Cache đĩa
• 2.25. Một số thống kê cần quan tâm
• 2.26. XÂY DỰNG TRANSPARENT SQUID PROXY
• 2.27. HIGH AVAILABILITY VÀ LOAD BALANCIN CHO CÁC SQUID PROXY SERVER
• 2.28. Xây dựng nhiều proxy server
• 2.29. Cấu hình High Availability (HA)
• 2.30. Cấu hình Load Balancing
• 3. Chƣơng 3: ĐỀ XUẤT VÀ TRIỂN KHAI MÔ HÌNH MẠNG TẠI KHOA
• 3.1. Đề xuất hệ thống mạng mới
• 3.2. Đề xuất hệ thống mạng
• 3.3. Đề xuất chính sách mạng của khoa
• 3.4. Đề xuất phần mềm cho phòng máy và giảng viên trong khoa
• 3.5. Triển khai cài đặt, cấu hình Squid proxy server
• 3.6. Triển khai cài đặt
• 3.7. Cấu hình Squid proxy server
• TÀI LIỆU THAM KHẢO
• TÓM TẮT ĐỒ ÁN

Tóm tắt

I. Tổng Quan về Proxy Server Giải Pháp Mạng cho Khoa CNTT

Trong bối cảnh công nghệ thông tin thâm nhập vào mọi lĩnh vực, việc quản lý và bảo mật hệ thống mạng tại các cơ sở giáo dục, đặc biệt là Khoa Công nghệ Thông tin (CNTT), trở nên cấp thiết. Một hệ thống proxy server đóng vai trò như một trạm kiểm soát trung gian, đứng giữa mạng nội bộ và môi trường Internet rộng lớn. Nó không chỉ là một cổng kết nối mà còn là một lá chắn bảo vệ, một công cụ quản lý hiệu quả. Về cơ bản, Proxy Server nhận mọi yêu cầu truy cập Internet từ người dùng trong mạng, sau đó thay mặt họ gửi yêu cầu đó đến máy chủ đích. Toàn bộ dữ liệu trả về cũng đi qua proxy trước khi đến tay người dùng. Quá trình này cho phép hệ thống thực thi các chính sách an ninh, lọc nội dung và ghi lại nhật ký hoạt động. Trong môi trường học thuật như Khoa CNTT, việc xây dựng proxy server mang lại nhiều lợi ích chiến lược. Nó giúp quản lý truy cập của sinh viên và giảng viên, ngăn chặn việc truy cập các trang web không phù hợp với mục đích học tập trong giờ học. Hơn nữa, với cơ chế cache thông minh, proxy có thể lưu trữ các nội dung thường xuyên được truy cập. Điều này giúp tăng tốc độ truy cập web cho những lần sau và giảm đáng kể lượng băng thông sử dụng, một yếu tố quan trọng đối với các tổ chức có ngân sách hạn hẹp. Các giải pháp như Squid proxy trên nền tảng mã nguồn mở là lựa chọn phổ biến nhờ tính linh hoạt, chi phí thấp và cộng đồng hỗ trợ mạnh mẽ. Việc triển khai một hệ thống như vậy không chỉ giải quyết các vấn đề trước mắt mà còn đặt nền móng cho một hạ tầng mạng an toàn, ổn định và dễ dàng mở rộng trong tương lai.

1.1. Khái niệm và cơ chế hoạt động cốt lõi của Proxy Server

Proxy Server là một máy chủ ứng dụng hoạt động như một trung gian cho các yêu cầu từ máy khách tìm kiếm tài nguyên từ các máy chủ khác. Máy khách kết nối với proxy server, yêu cầu một số dịch vụ, chẳng hạn như một tệp, kết nối, trang web, hoặc tài nguyên khác có sẵn từ một máy chủ khác. Proxy server đánh giá yêu cầu theo các quy tắc lọc của nó. Ví dụ, nó có thể lọc lưu lượng truy cập theo địa chỉ IP hoặc giao thức. Nếu yêu cầu được xác thực, proxy sẽ cung cấp tài nguyên bằng cách kết nối với máy chủ liên quan và yêu cầu dịch vụ thay cho máy khách. Cơ chế này giúp che giấu địa chỉ IP thực của người dùng, tạo ra một lớp ẩn danh và bảo mật cơ bản. Có hai loại chính là Forward Proxy, phục vụ người dùng trong mạng nội bộ, và Reverse Proxy, đứng trước các máy chủ web để phân phối tải và bảo vệ chúng.

1.2. Lợi ích khi xây dựng hệ thống Proxy trong môi trường giáo dục

Việc triển khai hệ thống proxy server trong các khoa CNTT và trường đại học mang lại nhiều lợi ích thiết thực. Đầu tiên là khả năng quản lý truy cập và thực thi chính sách. Quản trị viên có thể thiết lập các quy tắc cấm sinh viên truy cập mạng xã hội, trang game trong giờ học, hoặc chặn tải về các định dạng file không an toàn. Thứ hai, cơ chế cache của proxy giúp tiết kiệm băng thông và tăng tốc độ truy cập đáng kể. Các tài liệu học tập, trang web giáo dục được truy cập nhiều lần sẽ được phục vụ trực tiếp từ bộ nhớ đệm của proxy. Cuối cùng, nó tăng cường bảo mật mạng bằng cách hoạt động như một Firewall tầng ứng dụng, lọc các yêu cầu độc hại và che giấu cấu trúc hệ thống mạng nội bộ khỏi các mối đe dọa từ bên ngoài. Đây là giải pháp toàn diện để tạo ra một môi trường mạng an toàn và hiệu quả cho việc dạy và học.

II. Thách Thức Mạng Hiện Tại Nhu Cầu Xây Dựng Proxy Server

Khảo sát thực tế tại Khoa Công nghệ Thông tin - Viện Đại học Mở Hà Nội (FITHOU) cho thấy hệ thống mạng hiện tại tồn tại nhiều bất cập nghiêm trọng. Mô hình mạng phẳng, nơi modem kết nối trực tiếp với Hub và chia sẻ cho toàn khoa, tuy dễ triển khai nhưng lại thiếu đi các lớp bảo mật và cơ chế quản lý cần thiết. Nhược điểm lớn nhất là không có tính bảo mật, khiến toàn bộ hệ thống mạng nội bộ dễ dàng trở thành mục tiêu của các cuộc tấn công từ bên ngoài. Thông tin của giảng viên có thể bị đánh cắp, và mật khẩu Wi-Fi dễ dàng bị bẻ khóa. Vấn đề thứ hai là không thể quản lý truy cập của người dùng. Tài liệu nghiên cứu chỉ ra rằng "không thể kiểm soát được có bao nhiêu người đang truy cập internet, và không kiểm soát được lưu lượng băng thông của từng người dùng". Điều này dẫn đến tình trạng sinh viên sử dụng mạng cho mục đích giải trí như xem phim, chơi game trong giờ học, gây lãng phí tài nguyên và ảnh hưởng đến chất lượng học tập. Hơn nữa, hệ thống hiện tại chưa đáp ứng được nhu cầu học tập và thực hành chuyên sâu. Việc cập nhật phần mềm cho các phòng máy là một quy trình thủ công, tốn thời gian và thiếu đồng bộ. Giáo viên cũng gặp khó khăn trong việc quản lý sinh viên trong giờ thực hành. Những thách thức này đặt ra yêu cầu cấp thiết phải đổi mới hệ thống. Giải pháp được đề xuất là xây dựng proxy server để giải quyết triệt để các vấn đề về bảo mật mạng, quản lý băng thông và tối ưu hóa tài nguyên, tạo ra một môi trường mạng phục vụ hiệu quả cho cả giảng dạy và nghiên cứu.

2.1. Phân tích các nhược điểm của hệ thống mạng nội bộ hiện hữu

Hệ thống mạng hiện tại của khoa được phân tích có các nhược điểm cốt lõi. Thứ nhất, về mặt bảo mật, cấu trúc mạng phẳng không có Firewall hay trạm kiểm soát khiến mạng nội bộ hoàn toàn phơi bày trước các mối đe dọa. Bất kỳ ai có quyền truy cập đều có thể gây hại hoặc bị tấn công. Thứ hai, về quản lý, không có công cụ nào để giám sát và kiểm soát hành vi người dùng. Lưu lượng băng thông không được phân bổ hợp lý, dẫn đến tình trạng mạng chậm, chập chờn khi có nhiều người dùng đồng thời cho các mục đích không phải học tập. Thứ ba, cơ sở hạ tầng vật chất như Wi-Fi còn yếu, chưa phủ sóng toàn bộ các tầng, gây bất tiện cho việc truy cập. Cuối cùng, phòng máy chưa được tối ưu, việc quản lý và cập nhật phần mềm cho từng máy riêng lẻ rất kém hiệu quả.

2.2. Yêu cầu cấp thiết về bảo mật mạng và quản lý truy cập

Từ những nhược điểm trên, các yêu cầu đổi mới hệ thống trở nên rõ ràng. Cần có một hệ thống trung tâm có khả năng quản lý truy cập mạng một cách chi tiết, cho phép áp đặt chính sách riêng cho từng nhóm người dùng (giảng viên, sinh viên). Hệ thống này phải thực thi được việc cấm truy cập các trang web cụ thể, giới hạn băng thông, và kiểm soát loại tệp được phép tải xuống. Về bảo mật mạng, cần một giải pháp hoạt động như một rào cản giữa mạng trong và ngoài, ngăn chặn các truy cập trái phép và ghi lại nhật ký để phục vụ việc truy vết khi có sự cố. Việc chứng thực người dùng trước khi cấp quyền truy cập Internet là một yêu cầu bắt buộc để đảm bảo chỉ những người dùng hợp lệ mới có thể sử dụng tài nguyên mạng của khoa.

III. Hướng Dẫn Chọn Squid Proxy Giải Pháp Mã Nguồn Mở Tối Ưu

Squid proxy là một giải pháp proxy-cache server hiệu suất cao, thuộc danh mục phần mềm mã nguồn mở. Đây là lựa chọn hàng đầu cho các tổ chức giáo dục và doanh nghiệp khi cần xây dựng proxy server nhờ vào các tính năng mạnh mẽ và hoàn toàn miễn phí. Không giống như các giải pháp thương mại, Squid không yêu cầu chi phí bản quyền, giúp tiết kiệm ngân sách đáng kể. Một trong những ưu điểm nổi bật của Squid là khả năng cache nội dung vượt trội. Nó lưu trữ các đối tượng Internet (như trang web, hình ảnh) được yêu cầu thường xuyên vào bộ nhớ đệm. Khi một người dùng khác yêu cầu cùng một nội dung, Squid sẽ trả về từ cache thay vì tải lại từ Internet, giúp tăng tốc độ truy cập và giảm tải băng thông. Hơn nữa, Squid hỗ trợ nhiều giao thức phổ biến như HTTP, HTTPS, FTP, mang lại sự linh hoạt trong quản lý. Hệ thống quản lý truy cập của Squid cực kỳ mạnh mẽ thông qua việc sử dụng Access Control List (ACL). ACL cho phép quản trị viên định nghĩa các bộ quy tắc chi tiết để kiểm soát truy cập dựa trên nhiều tiêu chí: địa chỉ IP người dùng, thời gian trong ngày, tên miền đích, loại tệp, và nhiều hơn nữa. Khả năng tích hợp với các hệ thống chứng thực người dùng bên ngoài như LDAP, NCSA càng làm tăng cường lớp bảo mật mạng. Với cộng đồng phát triển và hỗ trợ rộng lớn, Squid liên tục được cập nhật, đảm bảo tính ổn định và an toàn trước các mối đe dọa mới.

3.1. Tại sao Squid proxy là lựa chọn hàng đầu cho Khoa CNTT

Squid proxy được xem là lựa chọn tối ưu cho môi trường Khoa CNTT vì nhiều lý do. Thứ nhất, đây là phần mềm mã nguồn mở, không tốn chi phí bản quyền, phù hợp với ngân sách của các đơn vị giáo dục. Thứ hai, nó cung cấp khả năng tùy biến và kiểm soát cực kỳ cao. Quản trị viên có thể tinh chỉnh mọi khía cạnh của hệ thống, từ quản lý truy cập bằng ACL đến tối ưu hóa hiệu suất cache. Thứ ba, Squid có hiệu suất đã được chứng minh, được sử dụng rộng rãi trong các doanh nghiệp và tổ chức lớn trên toàn thế giới. Cuối cùng, nó có thể chạy trên hầu hết các hệ điều hành nền tảng Unix/Linux (như CentOS được đề cập trong tài liệu), vốn là những hệ điều hành quen thuộc và được giảng dạy rộng rãi trong các khoa CNTT.

3.2. Cơ chế hoạt động và yêu cầu phần cứng khi triển khai Squid

Squid hoạt động như một trạm trung chuyển. Khi nhận yêu cầu từ client, nó sẽ kiểm tra các quy tắc trong Access Control List. Nếu yêu cầu hợp lệ, Squid sẽ kiểm tra trong bộ nhớ cache của mình. Nếu nội dung đã có và còn hiệu lực, nó sẽ trả về ngay lập tức. Nếu không, nó sẽ thay mặt client kết nối đến server đích, tải nội dung về, lưu một bản sao vào cache và gửi cho client. Về yêu cầu phần cứng, RAM và tốc độ ổ cứng là hai yếu tố quan trọng nhất. RAM được sử dụng để lưu trữ các đối tượng cache được truy cập nhiều nhất để có tốc độ phản hồi nhanh. Ổ cứng, đặc biệt là loại có tốc độ truy xuất cao như SCSI hoặc SSD, rất cần thiết cho việc đọc và ghi dữ liệu cache trên đĩa. Dung lượng ổ cứng cần đủ lớn để chứa lượng cache mong muốn, tùy thuộc vào số lượng người dùng và nhu cầu sử dụng.

IV. Phương Pháp Cấu Hình Proxy Server với Access Control List

Trái tim của việc quản lý truy cập trong Squid proxy chính là Access Control List (ACL). ACL là một tập hợp các quy tắc được định nghĩa trong file cấu hình squid.conf để xác định và phân loại các yêu cầu truy cập. Đây là công cụ cơ bản cho phép quản trị viên thực thi các chính sách mạng một cách linh hoạt và chi tiết. Mỗi ACL bao gồm ba thành phần: tên ACL, loại ACL và giá trị. Ví dụ, để định nghĩa một ACL cho dải địa chỉ IP của phòng máy sinh viên, ta có thể viết: acl SINHVIEN_IP src 192.168.1.0/24. Ở đây, SINHVIEN_IP là tên, src (source) là loại, và 192.168.1.0/24 là giá trị. Sau khi định nghĩa các ACL, chúng phải được áp dụng thông qua các quy tắc truy cập như http_access. Quy tắc http_access sẽ cho phép (allow) hoặc từ chối (deny) các yêu cầu khớp với một hoặc nhiều ACL đã định nghĩa. Ví dụ, để chặn sinh viên truy cập mạng trong giờ học, ta có thể kết hợp ACL SINHVIEN_IP với một ACL về thời gian (time). Việc xây dựng proxy server hiệu quả phụ thuộc rất nhiều vào việc thiết kế một bộ ACL logic và chặt chẽ. Ngoài ra, Squid còn hỗ trợ chứng thực người dùng, yêu cầu người dùng nhập tên đăng nhập và mật khẩu trước khi được phép truy cập. Tính năng này kết hợp với ACL tạo ra một hệ thống phân quyền mạnh mẽ, đảm bảo chỉ những người dùng hợp lệ mới có thể sử dụng tài nguyên mạng theo đúng chính sách đã đề ra, góp phần nâng cao bảo mật mạng cho toàn bộ hệ thống mạng nội bộ.

4.1. Tổng quan về Access Control List ACL và các loại phổ biến

Access Control List (ACL) là cấu trúc nền tảng để kiểm soát truy cập trong Squid. Nó cho phép định nghĩa các điều kiện để lọc lưu lượng. Có rất nhiều loại ACL, mỗi loại dùng để khớp với một thuộc tính cụ thể của yêu cầu. Các loại phổ biến bao gồm: src (khớp địa chỉ IP nguồn của client), dstdomain (khớp tên miền của trang web đích), port (khớp cổng dịch vụ), time (khớp với ngày giờ trong tuần), url_regex (khớp với một phần của URL bằng biểu thức chính quy để chặn loại file như .mp3, .exe), và proxy_auth (khớp với người dùng đã được xác thực). Việc kết hợp các loại ACL này cho phép tạo ra các chính sách phức tạp và đa dạng.

4.2. Cách thiết lập quy tắc rules để quản lý truy cập hiệu quả

Để quản lý hiệu quả, các quy tắc http_access cần được sắp xếp theo một trật tự logic, vì Squid xử lý chúng tuần tự từ trên xuống dưới và dừng lại ở quy tắc đầu tiên khớp với yêu cầu. Một nguyên tắc chung là đặt các quy tắc từ chối (deny) cụ thể lên trên và quy tắc cho phép (allow) chung hơn ở dưới. Ví dụ, đầu tiên có thể là quy tắc từ chối các trang web bị cấm, sau đó là quy tắc cho phép truy cập cho những người dùng đã xác thực, và cuối cùng là quy tắc http_access deny all để chặn tất cả các yêu cầu không khớp với bất kỳ quy tắc nào ở trên. Cách tiếp cận này đảm bảo hệ thống hoạt động theo nguyên tắc "chỉ cho phép những gì được chỉ định rõ ràng".

4.3. Áp dụng chứng thực người dùng để tăng cường lớp bảo mật

Chứng thực người dùng là một tính năng quan trọng để tăng cường bảo mật. Squid có thể tích hợp với các chương trình trợ giúp (helper programs) để xác thực thông tin đăng nhập của người dùng dựa trên các cơ sở dữ liệu khác nhau như file NCSA, LDAP, hoặc MySQL. Khi được kích hoạt, trình duyệt của người dùng sẽ hiển thị một hộp thoại yêu cầu tên đăng nhập và mật khẩu. Sau khi xác thực thành công, tên người dùng đó có thể được sử dụng trong ACL proxy_auth. Điều này cho phép quản trị viên tạo ra các chính sách truy cập riêng biệt cho từng cá nhân hoặc từng nhóm người dùng, ví dụ như cấp quyền truy cập không giới hạn cho giảng viên nhưng giới hạn quyền của sinh viên.

V. Kết Quả Nghiên Cứu Xây Dựng Proxy Server Thực Tế FITHOU

Dựa trên các phân tích và cơ sở lý thuyết, đồ án đã đề xuất một mô hình xây dựng proxy server cụ thể cho Khoa CNTT - Viện Đại học Mở Hà Nội. Giải pháp này tập trung vào việc sử dụng Squid proxy trên hệ điều hành mã nguồn mở CentOS để giải quyết các vấn đề tồn tại của hệ thống mạng nội bộ. Mô hình đề xuất chia mạng thành các phân vùng logic, áp dụng các chính sách riêng biệt cho nhóm giảng viên và sinh viên. Hệ thống proxy server được đặt làm cổng ra Internet duy nhất, buộc mọi lưu lượng phải đi qua nó để kiểm soát. Chính sách mạng được xây dựng chi tiết, ví dụ: cấm sinh viên truy cập các trang web giải trí và mạng xã hội trong khung giờ học (ví dụ từ 7:45 đến 11:15), cấm tải về các định dạng file có nguy cơ cao như .exe, .mp3, .mp4 để tiết kiệm băng thông và phòng chống virus. Hệ thống cũng triển khai chứng thực người dùng, yêu cầu sinh viên và giảng viên phải đăng nhập để sử dụng mạng. Kết quả mong đợi từ việc triển khai giải pháp này là rất tích cực. Trước hết, bảo mật mạng được cải thiện rõ rệt, hệ thống có khả năng chống lại các truy cập trái phép từ bên ngoài. Hiệu suất mạng được nâng cao nhờ cơ chế cache thông minh của Squid, giúp tăng tốc độ truy cập các trang web quen thuộc. Việc quản lý truy cập và kiểm soát băng thông trở nên dễ dàng, đảm bảo tài nguyên mạng được sử dụng đúng mục đích học tập và nghiên cứu. Đây là một minh chứng thực tiễn về hiệu quả của việc áp dụng proxy server trong môi trường giáo dục.

5.1. Mô hình đề xuất và chính sách mạng cho giảng viên sinh viên

Mô hình đề xuất đặt máy chủ Squid proxy giữa modem Internet và mạng LAN của khoa. Hai mô hình được đưa ra: một cho cả giảng viên và sinh viên, và một chỉ dành cho giảng viên. Chính sách mạng được thiết kế chi tiết: sinh viên bị giới hạn băng thông (ví dụ 50kB/s), bị cấm truy cập mạng trong giờ học chính thức, và bị chặn truy cập các trang web nằm trong danh sách đen (game, phim, mạng xã hội). Ngược lại, giảng viên có thể được cấp quyền truy cập rộng rãi hơn sau khi thực hiện chứng thực người dùng. Các chính sách này được thực thi thông qua một bộ Access Control List (ACL) được cấu hình cẩn thận trên máy chủ.

5.2. Minh họa kết quả Chặn truy cập và kiểm soát băng thông

Nghiên cứu đã đưa ra các minh họa cụ thể về kết quả sau khi cấu hình. Ví dụ, khi một sinh viên cố gắng tải một tệp có định dạng bị cấm (.mp4), trình duyệt sẽ hiển thị thông báo lỗi từ proxy. Tương tự, khi truy cập vào một trang web bị chặn trong giờ học, một trang thông báo truy cập bị từ chối sẽ xuất hiện. Việc chứng thực người dùng cũng được minh họa qua hộp thoại đăng nhập. Các file log của Squid (access.log) ghi lại chi tiết mọi hoạt động, giúp quản trị viên dễ dàng theo dõi và giám sát. Những kết quả này cho thấy hệ thống hoạt động đúng như thiết kế, đáp ứng đầy đủ các yêu cầu về quản lý truy cập và bảo mật mạng.