Squid mendukung 4 skema autentikasi, yaitu:

1. Basic
2. Digest
3. NTLM
4. Negotiate (mulai dari versi 2.6)

Masing-masing skema autentikasi punya kelebihan dan kekurangan masing-masing. Mari kita bahas satu per satu.

Basic Authentication

Ini adalah skema autentikasi yang didukung oleh semua peramban (browser) utama. Dan lebih dari itu, bisa berfungsi dengan baik di semua platform OS. Jadi kalau ingin menggunakan skema autentikasi yang yakin berfungsi dengan baik di semua browser, pakailah skema autentikasi basic.

Sayangnya skema autentikasi basic ini memiliki satu kelemahan utama, yaitu proses pengiriman data user dan password dikirim dalam format plain text. Jadi sangat rentan terhadap proses snip atau penyadapan saat proses autentikasi berlangsung.

Skema ini tidak disarankan ketika layanan yang diberikan akan diakses melalui jaringan internet. Tapi masih bisa ditolerir jika layanan itu dibuat untuk kalangan terbatas, misalnya LAN kantor. Dan karena squid pada umumnya digunakan di jaringan terbatas, skema autentikasi ini masih bisa digunakan.

Helper atau program bantu untuk autentikasi ke backend

Squid menyediakan beberapa program bantu untuk skema autentikasi basic. Anda bisa memilih mana yang cocok dengan keperluan Anda.

1. LDAP: Autentikasi ke LDAP.
2. NCSA: Menggunakan format penulisan username dan password format NCSA.
3. MSNT: Autentikasi ke domain Windows NT.
4. PAM: Menggunakan skema autentikasi PAM yang umum digunakan di sistem operasi Unix/Linux.
5. SMB: Menggunakan server SMB seperti Windows NT atau Samba.
6. getpwam: Menggunakan cara kuno, berkas password di Unix/Linux.
7. SASL: Mengggunakan pustaka SASL.
8. mswin_sspi: Windows native authenticator.
9. YP: Menggunakan database NIS.

Digest Authentication

Skema autentikasi digest diperkenalkan untuk mengatasi kelemahan yang ada di skema autentikasi basic. Skema ini lebih aman, karena pada saat autentikasi, data username dan password tidak dikirim dalam format plain text.

Secara umum, kelebihan skema autentikasi digest dibandingkan skema autentikasi basic, yaitu lebih aman. Tapi sayangnya tidak didukung oleh semua browser. Internet Explorer 5 & 6 adalah salah satu browser yang tidak mendukung skema autentikasi digest.

NTLM Authentication

Ini adalah skema autentikasi yang diperkenalkan oleh Microsoft. Dengan menggunakan skema autentikasi NTLM, semua user yang sudah login ke domain, ketika mengakses squid tidak akan diminta lagi username dan password. Ini yang kita kenal sebagai proses Single Sign On. Jika sudah sukses autentikasi di satu layanan, ketika ingin menggunakan layanan lain tidak perlu memasukkan login dan password lagi, proses autentikasi berlangsung secara transparan.

Sayangnya, seperti yang mungkin Anda sudah bisa tebak, ini hanya berfungsi dengan baik di sistem operasi Windows. Dan tidak semua browser mendukung skema autentikasi NTLM. Internet Explorer dan Firefox adalah salah satu browser yang mendukung skema autentikasi NTLM. Chrome, Safari dan Opera adalah contoh browser yang belum mendukung skema autentikasi NTLM.

Biasanya, untuk browser atau OS yang tidak mendukung skema autentikasi NTLM, ada pilihan fallback ke skema autentikasi basic.

Helper atau program bantu untuk autentikasi ke backend

Paket samba menyertakan winbind ntlm helper untuk membantu squid bisa memberikan layanan skema autentikasi NTLM.

Sedikit catatan di Debian atau Ubuntu, yang Anda gunakan adalah /usr/bin/ntlm_auth, dan BUKAN ke /usr/lib/squid/ntlm_auth.

Negotiate Authentication

Protokol negotiate diperkenalkan lagi-lagi oleh Microsoft, sering dikenal juga sebagai SPNEGO. Skema autentikasi ini memperbarui skema Single Sign On yang sebelumnya menggunakan autentikasi NTLM.

Jadi apakah Negotiate itu? Skema ini bisa dianggap sebagai wrapper (atau alat bantu) untuk menggunakan salah satu dari autentikasi ke Kerberos atau NTLM. Kelebihan skema ini, jauh lebih aman bila dibandingkan dengan skema autentikasi NTLM.

Kelemahannya, lagi-lagi hanya berfungsi dengan baik di lingkungan OS Windows. Selain itu untuk saat ini mengkonfigurasi skema autentikasi negotiate agak ribet, karena helper baru tersedia untuk sistem operasi windows.

Rangkuman

Di tulisan ini memang tidak memberikan contoh siap pakai, tapi diharapkan Anda memahami beberapa aspek dasar tentang skema autentikasi di Squid. Dan untuk memahami lebih lanjut, saya berika beberapa tautan yang mungkin bisa memberikan penjelasan yang lebih detail.

• http://wiki.squid-cache.org/Features/Authentication
• http://wiki.squid-cache.org/Features/NegotiateAuthentication
• http://en.wikipedia.org/wiki/BasicAuthenticationScheme
• http://en.wikipedia.org/wiki/NTLM
• http://en.wikipedia.org/wiki/DigestAccessAuthentication

4 Langkah Membuat Self-Signed Certificate

Buat Private Key

Buat private key dengan perintah di bawah ini. Anda akan diminta memasukkan password untuk mengenkripsi private key yang baru saja dibuat.

openssl genrsa -des3 -out server.key 2048

Anda kemungkinan besar, nantinya akan membuat versi yang tidak dienkripsi. Karena ketika sertifikat ssl digunakan dalam konfigurasi apache misalnya, setiap service apache di restart, server akan menunggu Anda memasukkan password untuk private key.

Cara lain, biar lebih hemat waktu, buat private key yang tidak dienkripsi. Gunakan perintah di bawah ini.

openssl genrsa -out server.key 2048

Buat Certificate Signing Request

Buat Certificate Signing Request, atau sertifikat yang akan disiapkan untuk di tanda tangani nanti.

openssl req -new -key server.key -out server.csr

Anda akan diminta memasukkan beberapa entri seperti di bawah ini:

Country Name (2 letter code) [AU]: ID
State or Province Name (full name) [Some-State]: DKI Jakarta
Locality Name (eg, city) []: Jakarta Selatan
Organization Name (eg, company) [Internet Widgits Pty Ltd]: PT. Ngadimin Sehat Selalu
Organizational Unit Name (eg, section) []: Dept. Teknologi Informasi    
Common Name (eg, YOUR name) []: www.ngadimin.com
Email Address []: cecep@ngadimin.com

Yang perlu Anda ingat, agar sertifikat Anda valid, dibagian Common Name isi dengan alamat dns yang akan diakses nanti oleh user. Jika user akan mengaksesnya dengan nama portal.perusahaan.com, maka isi dengan portal.perusahaan.com.

Sign Certificate Menggunakan Private Key

Tandatangani sertifikat menggunakan private key yang Anda buat sebelumnya (inilah makanya disebut self-sign certificate, karena dibuat dan ditandatangani menggunakan kunci yang sama).

Dalam contoh ini sertifikat akan valid selama 731 hari atau kira-kira 2 tahun. Silakan ganti dengan jumlah hari yang diinginkan. Saran jangan terlalu lama, dan jangan terlalu singkat.

openssl x509 -req -days 731 -in server.csr -signkey server.key -out server.crt

Buat versi Private Key yang tidak dienkripsi

Jika dilangkah sebelumnya Anda membuat private key yang dienkripsi (atau dilindungi dengan password), Anda bisa membuat versi yang tidak dilindungi dengan password menggunakan perintah di bawah ini.

openssl rsa -in server.key -out server.key.tidak-dienkripsi
mv server.key server.key.dienkripsi
mv server.key.tidak-dienkripsi server.key 

Selanjutnya Anda akan menggunakan versi private key yang tidak dienkripsi, untuk mempermudah menjalankan secara otomatis service yang menggunakan ssl.

Perintah yang Lebih Ringkas

Langkah-langkah di atas, bisa diringkas menjadi satu perintah seperti di bawah ini. Bedanya Anda tidak membuat certificate signing request dulu, tapi langsung bikin private key dan certificate nya.

openssl req -days 731 -newkey rsa:2048 -keyout server.key -out server.crt

Tapi sepertinya Anda tetap harus menjalankan perintah di bawah ini, untuk membuat versi private key yang tidak dienkripsi.

openssl rsa -in server.key -out server.key.tidak-dienkripsi
mv server.key server.key.dienkripsi
mv server.key.tidak-dienkripsi server.key 

Daftar Berkas Yang Dihasilkan

Baik menggunakan langkah-langkah yang lebih panjang, atau pakai perintah yang lebih ringkas, Anda kira-kira akan mendapatkan 4 berkas di bawah ini.

server.crt
server.csr --> kalau pakai cara ringkas, berkas ini tidak akan ada
server.key
server.key.dienkripsi

Dari berkas di atas, yang akan digunakan oleh service, seperti apache, nginx atau service lainnya, hanya dua berkas. Yaitu server.crt dan server.key.

Untuk konfigurasi ssl untuk apache atau nginx akan dijelaskan ditulisan terpisah.

Saya coba tampilkan tabel harga sertifikat SSL, dari salah satu situs reseller sertifikat ssl. Anda bisa dengan mudah menemukan tabel serupa dengan mencari tabel perbandingan harga sertifikat ssl di google.

Sertifikat SSL standar, rata-rata ada di harga lebih dari $100 dollar per tahun. Bahkan bisa mencapai ribuan dollar ketika menggunakan Sertifikat SSL Extended Validation (EV). Okelah misalnya Anda termasuk cukup menggunakan sertifikat ssl dengan level verifikasi terendah, seperti Geotrust RapidSSL atau Comodo PositiveSSL. Dibeberapa situs kedua sertifikat itu bisa Anda peroleh dengan harga $9 per tahun.

INGAT per tahun! Artinya tahun berikutnya Anda harus siap mengeluarkan budget yang sama.

Dengan self-signed certificate, Anda tidak perlu mengeluarkan biaya sepeserpun. Bikin sendiri, tanda tangani sendiri. Beres!

Mudah, tidak ada proses verifikasi

Verifikasi terendah dalam pembuatan Sertifikate SSL adalah dengan verifikasi domain. Jadi otoritas yang akan memverifikasi sertifikat Anda akan memastikan kalau Anda memang punya kontrol atas domain yang akan dibuatkan sertifikat sslnya.

Jika Anda membeli sertifikat SSL yang lebih tinggi lagi, dan tentunya lebih mahal pula, Anda harus siap dengan proses verifikasi yang lebih rumit lagi. Beberapa dokumen resmi akan diminta sebagai alat untuk memverifikasi identitas si pemilik domain.

Menggunakan self-signed certificate tidak perlu verifikasi. Tinggal bikin, gak ada verifikasi.

Amankah menggunakan Self-Signed Certificate?

Dari segi teknis, sama-sama aman. Jika sertifikat berbayar bisa digunakan untuk komunikasi ssl 256 bit, maka sertifikat yang dibuat dan ditandatangani sendiri juga bisa digunakan untuk keperluan itu. Yang membedakan hanya tingkat kepercayaan. Karena pada prinsipnya, sertifikat ssl hanyalah berperan sebagai kartu identitas.

Kapan harus menggunakan Sertifikat SSL komersial

Internet adalah sebuah ruang publik dimana tingkat anonimitasnya sangat tinggi. Banyak identitas tidak jelas bahkan identitas palsu di internet. Dan ini menjadi masalah ketika berhubungan dengan transaksi yang melibatkan uang di dunia online. Pengguna layanan transaksi online, tentunya ingin mendapatkan keyakinan kalau situs yang dia kunjungi memang memberikan identitas yang benar.

Dengan sertifikat SSL, pengguna bisa yakin kalau identitas yang ada di situs yang dia kunjungi memang benar atau valid. Pihak yang memberikan sertifikat (yang menandatangani sertifikat), menjamin data-data yang ada di sertifikat itu benar, berdasarkan proses verifikasi saat pembuatan sertifikat ssl tersebut.

Misal, ketika Anda mengakses situs https://ibank.klikbca.com, berdasarkan informasi yang Anda lihat di sertifikat ssl, Anda bisa yakin kalau yang menjalankan situs tersebut adalah PT. Bank Central Asia Tbk. Browser yang Anda gunakan juga tidak memunculkan peringatan, yang artinya sertifikat tersebut dikenali berdasarkan Root CA yang sebelumnya sudah disertakan di browser Anda.

Sebagai Catatan: Otoritas penyedia layanan sertifikat SSL, harus memenuhi sejumlah persyaratan agar sertifikat mereka bisa dimasukkan ke browser paling umum digunakan seperti Mozilla, Internet Explorer, Opera dll. Termasuk didalamnya membayar sejumlah biaya ke pengembang browser.

Bagaimana dengan self-signed certificate? Browser akan memperlakukan berbeda. Saat pertama kali Anda mengakses halaman https yang menggunakan self-signed certificate, browser akan menampilkan sejumlah peringatan. Peringatan karena yang menandatangani sertifikat tersebut, atau dalam kata lain yang menjamin data tersebut tidak dikenal.

Jadi kapan harus menggunakan Sertifikat SSL berbayar?

Ketika Anda berniat menjalankan situs yang melayani transaksi online untuk publik internet. Bentuk transaksi online ini bisa berupa toko online atau lainnya. Dengan memberikan Sertifikat SSL yang valid dikenali oleh browser, Anda bisa lebih meyakinkan calon pembeli untuk berbelanja di toko online Anda.

Kapan Self-Signed Certificate bisa ditolerir?

Kalau layanan yang diberikan hanya untuk kalangan terbatas saja. Misal untuk kalangan internal sebuah perusahaan saja, atau sebuah organisasi tertentu saja.

Terjemahan TAG: acl di squid.conf

Mari kita mulai dengan membaca tipe-tipe acl yang didefinisikan di squid.conf. Jika Anda kesulitan memahami karena kendala bahasa, saya coba terjemahkan blok acl tadi di bawah ini.

#  TAG: acl
#   Mendefinisikan Access List
#
#   acl namaacl tipeacl string1 ...
#   acl namaacl tipeacl "berkas" ...
#
#   ketika menggunakan "berkas", di dalam berkas tersebut harus berisikan satu item
#   per baris
#
#   tipeacl adalah salah satu dari tipe-tipe yang dijelaskan di bawah
#
#   Secara default, regular expression diset CASE-SENSITIVE
#   untuk membuatnya case-insensitive, gunakan opsi -i 
#
#   acl namaacl src      alamat-ip/netmask ...       (alamat IP klien)
#   acl namaacl src      alamat1-alamat2/netmask ... (rentang dari alamat-alamat)
#   acl namaacl dst      alamat-ip/netmask ...       (alamat IP dari targer URL)
#   acl namaacl myip     alamat-ip/netmask ...       (alamat IP untuk local socket)
#
#   acl namaacl arp      alamat-mac ... (format penulisannya xx:xx:xx:xx:xx:xx )
#     # ACL arp memerlukan opsi khusus saat mengkonfigurasi --enable-arp-acl.
#     # Lebih jauh lagi, ACL arp tidak berlaku untuk semua sistem operasi.
#     # Berfungsi di Linux, Solaris, FreeBSD dan beberapa varian *BSD.
#     #
#     # CATATAN: Squid hanya bisa mendeteksi alamat MAC dari klien yang ada di
#     # subnet yang sama. Jika klien berada di subnet yang berbeda, maka Squid tidak
#     # bisa mengetahui alamat MAC nya.
#
#   acl namaacl srcdomain   .fulan.com ...  # reverse lookup, IP klien
#   acl namaacl dstdomain   .fulan.com ...  # server tujuan dari URL
#   acl namaacl srcdom_regex [-i] xxx ...   # regex yang cocok dengan nama klien
#   acl namaacl dstdom_regex [-i] xxx ...   # regex yang cocok dengan server
#     # Untuk dstdomain dan dstdom_regex reverse lookup dicoba jika URL berbasiskan
#     # IP yang digunakan tidak ada yang cocok. Nama "none" digunakan jika reverse
#     # lookup gagal.
#
#   acl namaacl time     [day-abbrevs]  [h1:m1-h2:m2]
#       day-abbrevs:
#       S - Sunday (Minggu)
#       M - Monday (Senin)
#       T - Tuesday (Selasa)
#       W - Wednesday (Rabu)
#       H - Thursday (Kamis)
#       F - Friday (Jumat)
#       A - Saturday (Sabtu)
#       h1:m1 harus kurang dari h2:m2
#   acl namaacl url_regex [-i] ^http:// ...    # regex yang cocok di URL secara 
#                                                keseluruhan
#   acl namaacl urlpath_regex [-i] \.gif$ ...  # regex yang cocok pada bagian 
#                                                path URL
#   acl namaacl urllogin [-i] [^a-zA-Z0-9] ... # regex yang cocok pada bagian 
#                                                login URL
#   acl namaacl port     80 70 21 ...
#   acl namaacl port     0-1024 ...            # rentang diperbolehkan
#   acl namaacl myport   3128 ...              # (local socket TCP port)
#   acl namaacl proto    HTTP FTP ...
#   acl namaacl method   GET POST ...
#   acl namaacl browser  [-i] regexp ...
#     # pola yang cocok pada header User-Agent (lihat juga req_header di bawah)
#   acl namaacl referer_regex  [-i] regexp ...
#     # pola yang cocok pada header Referer
#     # Referer sangatlah tidak reliable, jadi gunakan dengan hati-hati
#   acl namaacl ident    namauser ...
#   acl namaacl ident_regex [-i] pattern ...
#     # string yang cocok pada keluaran ident.
#     # gunakan REQUIRED untuk menerima semua ident yang tidak kosong.
#   acl namaacl src_as   angka ...
#   acl namaacl dst_as   angka ...
#     # Kecuali untuk access control, AS number bisa digunakan untuk 
#     # mengarahkan request ke cache tertentu. Sebagai contoh untuk mengarahkan
#     # semua request untuk AS#1241 dan hanya itu saja ke cachesaya.domainsaya.net:
#     # acl ascontoh dst_as 1241
#     # cache_peer_access cachesaya.domainsaya.net allow ascontoh
#     # cache_peer_access cachesaya.domainsaya.net deny all
#
#   acl namaacl proxy_auth [-i] namauser ...
#   acl namaacl proxy_auth_regex [-i] pattern ...
#     # daftar dari namauser yang valid
#     # gunakan REQUIRED untuk menerima semua username yang valid. 
#     #
#     # CATATAN: ketika header Proxy-Authentication dikirim tetapi dia tidak
#     # diperlukan pada saat pengecekan ACL, maka username TIDAK akan dicatat
#     # di access.log.
#     #
#     # CATATAN: proxy_auth memerlukan program autentikasi EXTERNAL
#     # untuk memeriksa kombinasi username/password (lihat direktif auth_param).
#     #
#     # CATATAN: proxy_auth tidak bisa digunakan di transparent proxy karena
#     # peramban perlu dikonfigurasi menggunakan proxy agar bisa merespon pada
#     # proses autentikasi proxy.
#
#   acl namaacl snmp_community string ...
#     # String community untuk membatasai akses ke agen SNMP Anda.
#     # Contoh:
#     #
#     # acl snmppublic snmp_community public
#
#   acl namaacl maxconn angka
#     # Ini akan cocok ketika alamat IP dari klien memiliki
#     # jumlah koneksi HTTP yang tersambung melebihi dari <angka>
#
#   acl namaacl max_user_ip [-s] angka
#     # Ini akan cocok ketika user mencoba login melebihi dari <angka> 
#     # alamat ip yang berbeda. Parameter authenticate_ip_ttl mengontrol
#     # nilai timeout pada entri-entri ip.
#     # Jika dituliskan -s maka pembatasannya ketat, browsing akan ditolak
#     # dari alamat IP lainnya sampai nilai ttl expire. Tanpa -s Squid hanya
#     # akan membuat user kesel dengan "secara acak" menolak akses.
#     # (pencatatan akan di reset setiap kali batasan tercapai dan request
#     # akan ditolak)
#     # CATATAN: pada mode akselerasi atau ketika disana ada banyak anak proxy,
#     # klien mungkin akan terlihat datang dari beberapa alamat saat mereka memasuki
#     # peternakan proxy, jadi pembatasan hanya 1 akan menyebabkan problem ke user.
#
#   acl namaacl req_mime_type mime-type1 ...
#     # regex yang cocok dengan mime type dari request yang digenerate oleh klien
#     # Dapat digunakan untuk mendeteksi berkas upload atau beberapa tipe request
#     # HTTP tunneling.
#     # CATATAN: Ini TIDAK akan cocok dengan reply. Anda tidak bisa menggunakan
#     # ini untuk mencocokkan dengan tipe berkas yang dikembalikan.
#
#   acl namaacl req_header header-name [-i] any\.regex\.here
#     # regex yang cocok dengan request header apa saja yang sudah dikenali.
#     # Mungkin bisa dianggap sebagai superset dari ACL-ACL "browser", "referer" dan
#     # "mime-type".
#
#   acl namaacl rep_mime_type mime-type1 ...
#     # regex yang cocok dengan mime type dari reply yang diterima oleh squid. Dapat
#     # digunakan untuk mendeteksi berkas yang didownload atau beberapa tipe dari
#     # request HTTP tunneling.
#     # CATATAN: Ini tidak akan berpengaruh pada aturan http_access. Ini hanya akan
#     # berpengaruh pada aturan yang mempengaruhi reply data stream seperti misalnya
#     # http_reply_access.
#
#   acl namaacl rep_header nama-header [-i] regex\.apa\.saja\.disini
#     # regex yang cocok dengan reply header apa saja yang sudah dikenali.
#     # Mungkin bisa dianggap sebagai superset dari ACL-ACL "browser", "referer" dan
#     # "mime-type".
#     #
#     # Contoh:
#     #
#     # acl banyak_spasi rep_header Content-Disposition -i [[:space:]]{3,}
#
#   acl nama_acl external nama_class [arguments...]
#     # ACL external yang melakukan pencarian melalui class bantu yang didefinisikan
#     # oleh direktif external_acl_type.
#
#   acl urlgroup group1 ...
#     # cocok dengan urlgroup seperti yang diindikasikan oleh redirector.
#
#   acl namaacl user_cert atribut nilai...
#     # cocok dengan atribut-atribut dari user sertifikat SSL
#     # atributnya adalah salah satu dari DN/C/O/CN/L/ST
#
#   acl namaacl ca_cert attribut nilai...
#     # cocok dengan atribut-atribut dari user-user yang menerbitkan sertifikat 
#     # CA SSL
#     # atributnya adalah salah satu dari DN/C/O/CN/L/ST
#
#   acl namaacl ext_user namauser ...
#   acl namaacl ext_user_regex [-i] pola ...
#     # string yang cocok dengan namauser yang diberikan oleh pembantu acl external
#     # gunakan REQUIRED untuk menerima namauser apa saja yang tidak-kosong.

Bagaimana? cukup banyak kan aclnya. Pusing? ya wajar lah hehe

ACL yang paling umum digunakan

Dari sekian banyak tipe acl yang bisa digunakan, menurut pengalaman saya hanya beberapa saja yang umum digunakan. Tentunya memang semua itu tergantung kebutuhannya. Walau tidak umum digunakan, tapi kalau memerlkukannya, mungkin saja digunakan dan sebaliknya.

Biasanya yang paling umum diguanakan adalah, src, dst, dstdomain, port. ACL lainnya yang mungkin sering ditemui adalah url_regex, proxy_auth, maxconn, max_user_ip, time.

Untuk lebih memahami cara penggunaan acl ini, saya akan coba berikan beberapa contoh penggunaan acl.

Contoh 1: Membatasi akses internet dari IP tertentu

Misal, dalam satu jaringan kantor, semua diperbolehkan mengakses internet via proxy. Kecuali beberapa komputer di meja penerima tamu atau front office.

acl jaringan_kantor src 192.168.1.0/24
acl front_office src 192.168.1.21    # komputer1 di front office
acl front_office src 192.168.1.22    # komputer2 di front office
acl front_office src 192.168.1.23    # komputer3 di front office
 
http_access deny front_office
http_access allow jaringan_kantor

Sekalian untuk format penulisan acl di atas, Anda bisa juga menuliskannya seperti di bawah ini.

Format inline, jadi IP dituliskan ke samping, tanpa menekan enter atau penanda baris baru.

acl jaringan_kantor src 192.168.1.0/24
acl front_office src 192.168.1.21 192.168.1.22 192.168.1.23
 
http_access deny front_office
http_access allow jaringan_kantor

Format rentang, karena kebetulan IP si komputer front office berurutan.

acl jaringan_kantor src 192.168.1.0/24
acl front_office src 192.168.1.21-192.168.1.23/32
 
http_access deny front_office
http_access allow jaringan_kantor

Silakan dilihat lagi di blok ACL yang sudah saya terjemahkan di atas.

Contoh 2: Membatasi akses ke situs tertentu

Anda ingin memblock beberapa situs porno yang paling sering dikunjungi oleh user Anda. Tentu saja ini cara paling sederhana, dan mungkin tidak cocok untuk memblock situs porno secara keseluruhan. Tapi ini hanya sekedar contoh saja.

Pertama, pastikan rules untuk membatasi akses ke situs porno itu muncul lebih dahulu, dibandingkan rules lain yang membolehkan akses internet. Lihat contoh dibawah ini. Kita akan menggunakan tipeacl dstdomain, yang bisa digunakan untuk menandai domain tujuan yang akan diakses.

acl situs_porno dstdomain .playboy.com
acl situs_porno dstdomain .porno.com
http_access deny situs_porno
 
acl jaringan_kantor 192.168.1.0/24
http_access allow jaringan_kantor

Contoh penempatan yang salah ada di bawah ini

# Contoh penempatan yang salah
 
acl jaringan_kantor 192.168.1.0/24
http_access allow jaringan_kantor
 
# rules di bawah ini tidak akan pernah dijalankan, karena akses sudah diperbolehkan
# di baris sebelumnya
acl situs_porno dstdomain .playboy.com
acl situs_porno dstdomain .porno.com
http_access deny situs_porno

Jadi perlu Anda ingat, posisi menentukan prestasi. Atau posisi rules yang Anda buat di squid.conf sangat menentukan apakah rules tersebut akan digunakan atau tidak.

Contoh 3: Membatasi akses internet di jam kerja

Kali ini kita akan menggunakan tipe acl time. Langsung saja ke contoh.

acl jam_kerja time MTWH 08:00-12:00  # Senin s.d Kamis jam 08:00 s.d Jam 12:00
acl jam_kerja time F 08:00-11:30  # Jumat 08:00-11:30 WIB
acl jam_kerja time MTWHF 13:00-16:00 # Senin s.d Jumat jam 13:00 s.d 16:00
 
acl jaringan_kantor src 192.168.1.0/24
 
# Buka akses internet, diluar jam kerja
http_access allow jaringan_kantor !jam_kerja

Lihat tanda seru (!) di depan acl. Yang berarti tanda negasi, atau NOT (bukan). Jadi artinya kita hanya membuka akses internet untuk jaringan_kantor dan waktunya bukan di jam kerja.

Contoh 4: Membatasi akses internet di jam kerja, kecuali manager dan bos

Contoh lain, kantor hanya ingin membuka akses internet untuk komputer-komputer manajer dan si Boss besar. Karyawan lainnya, bisa mengakses internet tapi hanya di luar waktu kerja.

acl jam_kerja time MTWH 08:00-12:00  # Senin s.d Kamis jam 08:00 s.d Jam 12:00
acl jam_kerja time F 08:00-11:30     # Jumat 08:00-11:30 WIB
acl jam_kerja time MTWHF 13:00-16:00 # Senin s.d Jumat jam 13:00 s.d 16:00
 
# jaringan kantor
acl jaringan_kantor src 192.168.1.0/24
 
# manager dan boss
acl manager src 192.168.1.51  # manager keuangan
acl manager src 192.168.1.52  # manager marketing
acl manager src 192.168.1.53  # general manager
acl boss src 192.168.1.68     # si boss besar
 
# Buka akses internet untuk manager dan boss, tanpa batasan waktu
http_access allow manager
http_access allow boss
 
# Untuk karyawan lainnya, buka akses internet diluar jam kerja
http_access allow jaringan_kantor !jam_kerja

Rangkuman

Di tulisan hari kedua ini, Anda sudah berkenalan dengan beberapa tipe acl. src untuk menandai alamat ip dari klien, dstdomain untuk menandai domain yang akan diakses, time untuk menandai hari dan jam.

Selain itu Anda juga sudah belajar bagaimana menggunakan acl tersebut untuk keperluan tertentu. Contoh yang dituliskan disini misalnya, untuk membatasi akses ke proxy (menggunakan direktif http_access).

Satu lagi yang perlu diingat dari pelajar hari ini adalah, posisi menentukan prestasi (ini biar Anda ingat saja ya hehe). Artinya posisi rules yang Anda buat, menentukan apakah rules tersebut akan berfungsi sesuai apa yang Anda inginkan atau tidak.

Mari kita mulai saja, kita akan menginstal squid proxy server di Ubuntu 8.04.

Instalasi

Menginstal squid sangatlah mudah, semudah menginstal aplikasi lain dari repositori Ubuntu.

sudo apt-get install squid

Untuk menjalankan squid, bisa menggunakan perintah,

sudo /etc/init.d/squid start

Untuk mematikan squid, bisa menggunakan perintah,

sudo /etc/init.d/squid stop

Mengkonfigurasi

Setelah squid terinstal, lokasi konfigurasi ada di /etc/squid/squid.conf. Mari kita backup terlebih dahulu, karena kita akan melakukan beberapa perubahan di berkas konfigurasi tersebut.

sudo cp /etc/squid/squid.conf /etc/squid/squid.conf.asli

Sebelum kita lanjutkan, saya ingin menunjukkan sesuatu. Coba jalankan perintah di bawah ini,

sudo cat /etc/squid/squid.conf |wc -l

4529

Hasilnya kira-kira seperti tertulis di atas, yaitu 4529. Artinya berkas squid.conf yang akan kita sunting memiliki 4529 baris. Wow! Pantas kalau banyak admin pemula yang bingung ketika akan mengkonfigurasi squid.

Berbeda dengan apache atau postfix, pemaket sudah menyiapkan konfigurasi yang siap pakai, yang artinya begitu postfix atau apache diinstal sudah ada contoh yang bisa dilihat dan bisa dijalankan langsung. Tapi untuk paket squid di Ubuntu ini, squid.conf yang disertakan bukanlah contoh siap pakai. Berkas ini lebih mirip berkas dokumentasi hehe.

Oke, cukup ceritanya sampai disitu, mari kita mulai mengkonfigurasi. Dari sekian ribu baris, sebetulnya untuk menjalankan squid sebagai web proxy, kita hanya perlu mengkonfigurasi beberapa baris saja. Mari kita lihat apa saja yang harus dikonfigurasi.

acl dan http_access

Sebetulnya ini adalah topik yang besar, dan sudah saya rencanakan untuk membahasnya secara terpisah. Tapi karena untuk tahap awal, kita harus mengijinkan akses dari LAN agar bisa menggunakan proxy, kita bahas sekilas saja.

Yang perlu Anda ketahui, konfigurasi squid dibaca dari atas ke bawah. Artinya, yang pertama kali cocok, itulah yang menang. Selalu ingat konsep dasar ini, karena akan sangat penting untuk memahami mengapa konfigurasi squid Anda tidak bekerja dengan seharusnya.

Ok, sekarang kita harus membuat acl baru untuk mengijinkan semua IP di LAN Anda bisa menggunakan squid proxy yang baru diinstal.

Misal, Anda memiliki dua LAN, 192.168.1.0/24 dan 192.168.2.0/24. Maka konfigurasinya,

acl jaringan_saya src 192.168.1.0/24 192.168.2.0/24
http_access allow jaringan_saya

Jika Anda menginginkan hanya IP tertentu saja, bukan satu network, Anda bisa juga menuliskannya seperti di bawah ini.

acl jaringan_saya src 192.168.1.0/24 192.168.2.0/24
http_access allow jaringan_saya
 
acl kantor_cabang src 192.168.5.5
http_access allow kantor_cabang

Sekarang IP 192.168.5.5 yang ada di kantor cabang, bisa juga menggunakan proxy yang baru Anda buat.

cache_dir

Yang lain yang bisa dikonfigurasi saat ini adalah cache_dir. Defaultnya,

cache_dir ufs /var/spool/squid 100 16 256

Saya jelaskan singkatnya, artinya lokasi direktori cache (tempat menyimpan objek yang dicache) ada di direktori /var/spool/squid dan dialokasikan sebesar 100 mega bytes. Angka 16 dan 256 adalah jumlah direktori cache yang dibuat. 16 artinya akan ada 16 direktori di /vaar/spool/squid, dan didalamnya masing-masing ada 256 direktori lagi.

Jadi kalau Anda ingin mengubah besar alokasi untuk cache, ganti angka 100 itu dengan angka baru. Misal untuk mengalokasikan sebesar 2 GB, ganti dengan 2000.

Menerapkan Konfigurasi

Untuk saat ini cukup dua konfigurasi itu saja (biar Anda tidak pusing). Setelah selesai menyunting berkas konfigurasi untuk menerapkan perubahan yang baru dibuat, Anda bisa merestart squid.

sudo /etc/init.d/squid restart

Tapi proses restart biasanya akan agak lama. Untuk mempermudah, tanpa perlu melakukan restart squid, jalankan saja perintah berikut.

sudo squid -k reconfigure

Berkas squid.conf sederhana

Dari 4529 baris, saya hapus baris yang tidak (atau belum) kita perlukan. Hasilnya kurang lebih ada seratusan baris, jadi Anda lebih mudah membacanya.

Silakan unduh berkas squid.conf untuk disimpan di /etc/squid/squid.conf.

Untuk hari pertama, cukup sampai di sini, sampai jumpa di seri tulisan squid selanjutnya.

Misal, domain yang di set di jabber server, ngadimin.com. Dan server yang memberikan layanan jabber adalah jabber.ngadimin.com, maka konfigurasinya adalah sebagai berikut:

_jabber._tcp.ngadimin.com.        SRV 5 0 5269 jabber.ngadimin.com.
_xmpp-server._tcp.ngadimin.com.   SRV 5 0 5269 jabber.ngadimin.com.
_xmpp-client._tcp.ngadimin.com.   SRV 5 0 5222 jabber.ngadimin.com.

• Pertama, tentu saja instalasi Ejabberd. Silakan ikuti caranya menginstall ejabberd di tulisan, Membuat Jabber Server menggunakan Ejabberd
• Kedua, instalasi zimbra. Silakan ikuti cara menginstal di zimbra di Ubuntu di tulisan, Membuat Server Email di Ubuntu menggunakan Zimbra.
• Ketiga, opsional. Konfigurasi virtual hosts di ejabberd. Ikuti caranya di tulisan, Mengkonfigurasi Virtual Hosts di Ejabberd.

Konfigurasi Autentikasi LDAP

Pertama kita sunting berkas /opt/ejabberd/conf/ejabberd.cfg, kita nonaktifkan konfigurasi auth_method internal.

%{auth_method, internal}.

Sebelum kita membuat konfigurasi autentikasi ke ldap zimbra, data-data berikut diperlukan.

IP address zimbra server. Misal, 192.168.61.38
Domain yang sudah di setup di zimbra. Misal, ngadimin.com
Password root/manager ldap di zimbra. Misal, Shoh2eiF

Catatan, untuk mengetahui password root/manager ldap di zimbra,

sudo su - zimbra
zmlocalconfig -s ldap_root_password

Maka konfigurasi yang harus ditambahkan ke /opt/ejabberd/conf/ejabberd.conf adalah seperti di bawah ini.

{auth_method, ldap}.
{ldap_servers, ["192.168.61.38"]}. 
{ldap_uidattr, "uid"}. 
{ldap_base, "ou=people,dc=ngadimin,dc=com"}. 
{ldap_rootdn, "cn=config"}.
{ldap_filter, "(&(objectClass=zimbraAccount)(zimbraAccountStatus=active)(!(zimbraHideInGal=TRUE)))"}.
{ldap_password, "Shoh2eiF"}.

Autentikasi ke LDAP, dipisah per Virtual Host

Misal, Anda melayani beberapa domain di zimbra. Dan Anda sudah membuat virtual hosts untuk domain tersebut di ejabberd. Agar virtual hosts di ejabber bisa autentikasi ke ldap zimbra, buat konfigurasi seperti di bawah ini.

{host_config, "ngadimin.com", [{auth_method, ldap},
       {ldap_servers, ["192.168.61.38"]},
       {ldap_uidattr, "uid"},
       {ldap_base, "ou=people,dc=ngadimin,dc=com"},
       {ldap_rootdn, "cn=config"},
       {ldap_filter, "(&(objectClass=zimbraAccount)(zimbraAccountStatus=active)(!(zimbraHideInGal=TRUE)))"},
       {ldap_password, "Shoh2eiF"}]}.
 
{host_config, "pakelinux.com", [{auth_method, ldap},
       {ldap_servers, ["192.168.61.38"]},
       {ldap_uidattr, "uid"},
       {ldap_base, "ou=people,dc=pakelinux,dc=com"},
       {ldap_rootdn, "cn=config"},
       {ldap_filter, "(&(objectClass=zimbraAccount)(zimbraAccountStatus=active)(!(zimbraHideInGal=TRUE)))"},
       {ldap_password, "Shoh2eiF"}]}.

Silakan sesuaikan data-data yang tertulis di atas, dengan konfigurasi yang Anda gunakan.

Non Aktifkan Auto Register

Secara default, instalasi Ejabberd membolehkan user untuk register sendiri dari jabber client (misalnya, pidgin atau adium). Agar user tidak bisa registrasi/membuat account sendiri, kita set konfigurasi berikut di /opt/ejabberd/ejabberd.cfg.

{access, register, [{deny, all}]}.

Konfigurasi Virtual Hosts

Sunting berkas /opt/ejabberd/conf/ejabberd.cfg, cari baris konfigurasi hosts, dan isi dengan domain yang ingin Anda buat di ejabberd.

{hosts, ["ngadimin.com", "pakelinux.com", "ngadimin.org"]}.

Dan untuk menerapkan konfigurasi, Anda harus merestart service ejabberd.

sudo /opt/ejabberd/bin/stop
sudo /opt/ejabberd/bin/start

Sekarang periksa melalu web admin interface, http://localhost:5280/admin seharusnya Anda bisa melihat domain-domain yang baru Anda tambahkan di menu Virtual Hosts.

Membuat Self-Signed Certificate

Buat self-signed certificate, dalam contoh di bawah ini di set valid kurang lebih untuk 10 tahun (3650 hari)

openssl req -new -x509 -newkey rsa:1024 -days 3650 -keyout privkey.pem -out server.pem

Jika saat membuat certificate Anda set password, maka setiap menjalankan ejabberd, Anda akan diminta memasukkan password untuk certificate tadi, dan tentu saja itu menjadi masalah ketika ejabberd dijalankan otomastis saat boot.

Untuk itu kita perlu buat versi privkey.pem yang tidak mengunakan password. Lalu hasilnya kita masukkan ke berkas server.pem. Lalu mengapa harus digabung? Karena konfigurasi di ejabberd mensyaratkannya begitu. Direktif certifle harus diarahkan ke berkas yang berisikan private key dan certificate.

openssl rsa -in privkey.pem -out privkey.pem.tanpa-password
cat privkey.pem.tanpa-password >> server.pem
rm privkey.pem

Kemudian salin berkas certificate server.pem ke lokasi instalasi ejabberd.

sudo mv /opt/ejabberd/conf/server.pem /opt/ejabberd/conf/server.pem.orig
sudo mv server.pem /opt/ejabberd/conf/server.pem

Dan untuk menerapkan konfigurasi, Anda harus merestart service ejabberd.

sudo /opt/ejabberd/bin/stop
sudo /opt/ejabberd/bin/start

Mengaktifkan koneksi SSL di port 5223

Sunting berkas konfigurasi /opt/ejabberd/conf/ejabberd.cfg, cari baris seperti dibawah ini dan sesuaikan seperti contoh di bawah ini.

  {5222, ejabberd_c2s, [
                        {certfile, "/opt/ejabberd/conf/server.pem"}, starttls,
                        {access, c2s},
                        {shaper, c2s_shaper},
                        {max_stanza_size, 65536}
                       ]},
 
  %%
  %% To enable the old SSL connection method in port 5223:
  %%
  {5223, ejabberd_c2s, [
                      {certfile, "/opt/ejabberd/conf/server.pem"}, tls,
                      {access, c2s},
                      {shaper, c2s_shaper},
                      {max_stanza_size, 65536}
                     ]},

Sama seperti di atas, untuk menerapkan konfigurasi yang baru, Anda harus merestart service ejabberd.

sudo /opt/ejabberd/bin/stop
sudo /opt/ejabberd/bin/start

Sekarang Anda bisa mengakses jabber server menggunakan TLS di port 5222 atau SSL di port 5223.

Selalu periksa versi terbaru di halaman download ejabberd.

wget -bc http://www.process-one.net/downloads/ejabberd/2.0.5/ejabberd-2.0.5-linux-x86-installer.bin.gz

Ekstrak dan install,

gzip -d ejabberd-2.0.5-linux-x86-installer.bin.gz
chmod 755 ejabberd-2.0.5-linux-x86-installer.bin
sudo ./ejabberd-2.0.5-linux-x86-installer.bin

Lalu ikuti tahapan-tahapan instalasi. Nanti Anda akan diminta melengkapi data instalasi, kira-kira seperti di bawah ini. Di tulisan ini, saya menginstal ejabberd di /opt/ejabberd/

Installation Directory [/opt/ejabberd-2.0.5]: /opt/ejabberd
ejabberd server domain [anggrek.localdomain]: ngadimin.com
Administrator user name [admin]: admin
Administrator password : password
Retype password : password

Menjalankan dan Mematikan Service Ejabberd

Untuk menjalankan service ejabberd

sudo /opt/ejabberd/bin/start

Untuk mematikan service ejabberd

sudo /opt/ejabberd/bin/stop

Ejabberd Web Admin Interface

Ketika ejabberd dijalankan, secara default web admin interfacenya diaktifkan dan bisa diakses lewat alamat

http://localhost:5280/admin

Catatan: localhost bisa diganti dengan alamat ip dari server

Dan nanti Anda akan diminta untuk memasukkan login dan password admin.

login: admin@ngadimin.com
password: password

Dalam contoh saya, login adminnya adalah admin@ngadimin.com, dan passwordnya adalah password. Silakan sesuaikan dengan settingan domain saat instalasi.

Membuat User di Ejabberd

Sebelum mencoba menggunakan jabber server yang baru kita setup, kita harus membuat terlebih dahulu user-user jabbernya.

Caranya, masuk ke halaman web adminnya

http://localhost:5280/admin/
 
-> Pilih menu Virtual Hosts
 
-> Pilih menu Domain, misal ngadimin.com
 
-> Pilih menu Users, lalu buat user menggunakan form yang tersedia

Konfigurasi Jabber Client

Untuk login ke jabber server, kita akan gunakan Pidgin. Pidgin tersedia gratis untuk Linux maupun Windows. Untuk client Mac OS X bisa menggunakan Adium.

Untuk proses pengetesan ini, sebaiknya Anda siapkan dua komputer untuk login masing-masing user yang berbeda. Lalu setelah berhasil login, Anda akan mendapatkan layar kosong karena belum ada teman yang dimasukkan ke daftar teman atau buddy Anda.

Setelah berhasil login, masing-masing user silakan untuk saling meng-Add Buddy. Dan Anda bisa memulai proses chat.

Rangkuman

Ini hanya bagian awal dari instalasi dan konfigurasi Ejabberd. Masih banyak hal yang bisa dieksplorasi, tapi sengaja saya tunda untuk bahan artikel selanjutnya.