====== Установка и использование 3proxy на Ubuntu ======


===== Настройка брандмауэра =====

По умолчанию, в Ubuntu брандмауэр разрешает все подключения. Однако, если у нас настроен фаервол для запрета лишних соединений, необходимо открыть порт для прокси.

**а) если используем Iptables.**
<code bash>
iptables -I INPUT 1 -p tcp --dport 3128 -j ACCEPT

netfilter-persistent save
</code>

* если система вернет ошибку при вводе команды для сохранения правил, устанавливаем пакет командой **apt-get install iptables-persistent**.

**б) если у нас firewalld.**

<code bash>
firewall-cmd --permanent --add-port=3128/tcp

firewall-cmd --reload
</code>

* **3128** — порт по умолчанию, по которому работает 3proxy в режиме прокси;

===== Установка и запуск 3proxy =====

3proxy отсутствует в репозиториях Ubuntu, поэтому для установки сначала необходимо скачать его исходник.

Для начала устанавливаем пакет программ для компиляции пакетов:
<code bash>
apt-get install build-essential
</code>
Переходим на [[https://3proxy.org/download/stable/|официальную страницу загрузки 3proxy]] и копируем ссылку на версию пакета для Linux:

... используя ссылку, скачиваем пакет:
<code bash>
wget https://github.com/z3APA3A/3proxy/archive/0.9.3.tar.gz
</code>

* в моем случае будет скачена версия 0.9.3.

Распакуем скачанный архив:
<code bash>
tar xzf 0.9.3.tar.gz
</code>

Переходим в распакованный каталог:
<code bash>
cd 3proxy-*
</code>

Запускаем компиляцию 3proxy:
<code bash>
make -f Makefile.Linux
</code>

Создаем системную учетную запись:
<code bash>
adduser --system --disabled-login --no-create-home --group proxy3
</code>

Создаем каталоги и копируем файл 3proxy в /usr/bin:
<code bash>
mkdir -p /var/log/3proxy

mkdir /etc/3proxy

cp bin/3proxy /usr/bin/
</code>
Задаем права на созданные каталоги:

<code bash>
chown proxy3:proxy3 -R /etc/3proxy

chown proxy3:proxy3 /usr/bin/3proxy

chown proxy3:proxy3 /var/log/3proxy
</code>

Смотрим uid и gid созданной учетной записи:
<code bash>
id proxy3
</code>
Получим, примерно, такой результат:

uid=109(proxy3) gid=113(proxy3) groups=113(proxy3)

* где **109** — идентификатор пользователя; **113** — идентификатор для группы.

Создаем конфигурационный файл:
<code bash>
vi /etc/3proxy/3proxy.cfg
</code>

<code>
setgid 113
setuid 109

nserver 77.88.8.8
nserver 8.8.8.8

nscache 65536
timeouts 1 5 30 60 180 1800 15 60

external 111.111.111.111
internal 111.111.111.111

daemon

log /var/log/3proxy/3proxy.log D
logformat "- +_L%t.%. %N.%p %E %U %C:%c %R:%r %O %I %h %T"
rotate 30

auth none

allow * * * 80-88,8080-8088 HTTP
allow * * * 443,8443 HTTPS

proxy -n
</code>

* //необходимо обратить внимание на настройки **setuid** и **setgid** — это должны быть значения для созданной нами учетной записи; **external** и **internal** — внешний и внутренний интерфейсы (если наш прокси работает на одном адресе, то IP-адреса должны совпадать). //

Запускаем 3proxy:
<code bash>
/usr/bin/3proxy /etc/3proxy/3proxy.cfg
</code>

===== Настройка браузера =====

Проверяем работоспособность нашего 3proxy. Для этого настраиваем браузер для работы через прокси-сервер, например, Mozilla Firefox:

{{ :linux:proxy-server:3proxy-ubuntu-02.jpg |}}

... пробуем открыть сайты.

===== Настройка автозапуска =====

Для автозагрузки 3proxy настроим его как сервис. Создаем файл в systemd:

<code bash>
vi /etc/systemd/system/3proxy.service
</code>

<code>
[Unit]
Description=3proxy Proxy Server

[Service]
Type=simple
ExecStart=/usr/bin/3proxy /etc/3proxy/3proxy.cfg
ExecStop=/bin/kill `/usr/bin/pgrep -u proxy3`
RemainAfterExit=yes
Restart=on-failure

[Install]
WantedBy=multi-user.target
</code>

Обновляем конфигурацию systemd:
<code bash>
systemctl daemon-reload
</code>
Разрешаем запуск сервиса и стартуем его:

<code bash>
systemctl enable 3proxy

systemctl start 3proxy
</code>
===== Настройка аутентификации =====

Для редактирования настроек открываем конфигурационный файл:
<code bash>
vi /etc/3proxy/3proxy.cfg
</code>

Добавляем опции **users** и добавляем пользователей:

<code>
users 3APA3A:CL:3apa3a "test:CR:$1$qwer$CHFTUFGqkjue9HyhcMHEe1"
users dmosk1:CL:password
users "dmosk2:CR:$1$UsbY5l$ufEATFfFVL3xZieuMtmqC0"
</code>

* в данном примере мы добавили 3-х пользователей: **3APA3A** с паролем **3apa3a**, **dmosk1** с открытым паролем **password** и **dmosk2** с паролем **dmosk2** в виде md5 и солью **UsbY5l** (Для получения хэша пароля можно воспользоваться командой **openssl passwd -1 -salt UsbY5l**, где в качестве соли можно использовать любую комбинацию).\\ * обратите внимание, при использовании знака **$**, строчка пишется в кавычках.

* возможные типы паролей:

  * CL — текстовый пароль
  * CR — зашифрованный пароль (md5)
  * NT — пароль в формате NT.

Чтобы включить запрос логина, необходимо поменять значение для опции **auth** на **strong**:

<code>
...
auth strong
...
</code>

* возможные варианты для **auth**:

  * none — без авторизации.
  * iponly — авторизация по IP-адресу клиента.
  * nbname — по Netbios имени.
  * strong — по логину и паролю.

Также можно использовать двойную авторизацию, например:
<code>
auth nbname strong
</code>
После внесения изменений, перезапускаем службу:
<code bash>
systemctl restart 3proxy
</code>
===== SOCKS =====

Для прозрачного прохождения пакетов через прокси можно настроить SOCKS5. В конфигурационном файле добавляем:
<code bash>
vi /etc/3proxy/3proxy.cfg
<code>
<code>
socks
</code>
* запускаем **socks** на порту **1080**.

Или:
<code>
socks -p8083 -i192.168.1.23 -e111.111.111.111
</code>

* запускаем **socks** на порту **8083;** внутренний интерфейс — **192.168.1.23**, внешний — **111.111.111.111**.

После перезапускаем сервис:
<code bash>
systemctl restart 3proxy
</code>

===== Настройка анонимности =====

Для обеспечения полной анонимности при использовании прокси-сервера, делаем дополнительные настройки.

1. Меняем порты, которые используются по умолчанию — 3128, 1080. Данные порты известны, как порты для прокси. Открываем конфигурационный файл 3proxy:
<code bash>
vi /etc/3proxy/3proxy.cfg
</code>

Меняем порты:

<code>
socks -p1088
proxy -n -p3111
</code>

* //в данном примере мы укажем серверу работать на портах **3111** и **1088**.//

После перезапускаем сервис:
<code bash>
systemctl restart 3proxy
</code>

2. Необходимо, чтобы время на сервере совпадало с временем на компьютере.

На стороне сервера необходимо задать часовой пояс, например, если наш прокси находится в Германии, вводим:
<code bash>
timedatectl set-timezone Europe/Berlin
</code>
На стороне клиента либо меняем часовой пояс в системе, либо устанавливаем плагин для браузера, например, для [[https://addons.mozilla.org/en-US/firefox/addon/change-timezone-time-shift/|Mozilla Firefox]] и меняем часовой пояс уже в нем.

3. Отключение icmp. По времени ответа на ping можно определить отдаленноесть клиента от прокси. Чтобы проверку нельзя было выполнить, отключаем на сервере icmp. Для этого создаем правило в брандмауэре:
<code bash>
iptables -I INPUT -p icmp --icmp-type 8 -j REJECT
</code>

И применяем настройку:
<code bash>
netfilter-persistent save
</code>

4. Проверяем настройки.

Открываем браузер, который работает через прокси и переходим на страницу [[https://2ip.ru/privacy/|2ip.ru/privacy]] — кликаем по **Проверить**:

{{ :linux:proxy-server:3proxy-ubuntu-03.jpg |}}

Будет выполнена проверка анонимности нашего сервера.

===== Дополнительные настройки =====

Настройки, которые могут не понадобиться. Но они позволят настроить дополнительные возможности прокси-сервера.

==== Настройка портов и прокси-интерфейсов ====

При необходимости, можно настроить 3proxy на использование разных интерфейсов на разных портах:
<code bash>
vi /etc/3proxy/3proxy.cfg
</code>
<code>
proxy -n -a -p3128 -i192.168.0.23 -e222.222.222.222
proxy -n -a -p8080 -i192.168.1.23 -e111.111.111.111
</code>

*  3proxy будет слушать на порту **3128** с внутреннего интерфейса **192.168.0.23** и направлять пакеты в сеть Интернет через внешний интерфейс **222.222.222.222**, а также, на порту **8080** для внутреннего и внешнего интерфейсов **192.168.1.23** и **111.111.111.111** соответственно.\\ * не забываем также настраивать брандмауэр (вначале инструкции мы открывали только 3128 порт).

systemctl restart 3proxy

==== Ограничение пропускной способности ====

При необходимости, можно ограничить скорость.
<code bash>
vi /etc/3proxy/3proxy.cfg
</code>
<code>
bandlimin 1000000 user1,user3
bandlimin 5000000 user2,user4
</code>

*  в данном примере пользователям **user1** и **user3** установлено ограничение в **1000000** бит/сек (1 мбит); для **user2** и **user4** — 5 мбит/сек.
<code bash>
systemctl restart 3proxy
</code>

==== Ограничения доступа ====

Можно ограничить доступ и разрешить только для определенных портов, сетей и пользователей.
<code bash>
vi /etc/3proxy/3proxy.cfg
</code>

Синтаксис:

<code>
allow <userlist> <sourcelist> <targetlist> <targetportlist> <commandlist> <weekdays> <timeperiodslist>
deny <userlist> <sourcelist> <targetlist> <targetportlist> <commandlist> <weekdays> <timeperiodslist>
</code>

* где:

  * **userlist** — список пользователей через запятую.
  * **sourcelist** — сети клиентов через запятую.
  * **targetlist** — сети назначения через запятую.
  * **targetportlist** — порты назначения через запятую.
  * **commandlist** — команды, к которым применяется правило.
  * **weekdays** — в какие дни недели работает правило. 0 - 6 — Пн - Вс, 7 — тоже Вс.
  * **timeperiodslist** — время, когда работает правило. Указываются диапазоны.

Примеры:
<code>
allow * * * 80 HTTP
allow * * * 443,8443 HTTPS
allow * * * 21 FTP
</code>

*  в данном примере пользователям **user1** и **user3** установлено ограничение в **1000000** бит/сек (1 мбит); для **user2** и **user4** — 5 мбит/сек.

Также, ограничить доступ можно по количеству одновременных соединений для каждой службы:

<code>
maxconn 700
proxy -n -a -p3128 -i192.168.0.23 -e222.222.222.222
proxy -n -a -p8080 -i192.168.1.23 -e111.111.111.111
</code>

* таким образом, мы установим **700** максимальных соединений для прокси на порту **3128** и **700** — для proxy на порту **8080**.
<code bash>
systemctl restart 3proxy
</code>

===== Возможные ошибки =====

Рассмотрим ошибки, с которыми можно столкнуться при настройке 3proxy.

==== Unable to set gid Command: 'setgid' failed with code 1 ====

Ошибка появляется при попытке запустить 3proxy.

**Причина:** до ввода команды setgid должна быть введена команда setuid. Ошибка возникает, если в конфигурационном файле наружен порядок.

**Решение:** откроем конфигурационный файл:
<code bash>
vi /etc/3proxy/3proxy.cfg
</code>

Убедимся, что сначала идет **setgid**, а за ним **setuid**:

<code>
setgid ...
setuid ...
</code>