Proxy Squid: guida alla configurazione e alternative

Un proxy Squid è uno dei server proxy open-source più diffusi su Linux, e per una buona ragione: è veloce, stabile ed eccellente per il caching e il controllo degli accessi in una rete di tua proprietà. Questa guida spiega cosa fa Squid, come installarlo e configurarlo, come aggiungere l’autenticazione e quali sono i suoi limiti.

Affronta anche una domanda onesta che molti team si pongono in seguito: quando un proxy Squid in self-hosting è lo strumento giusto e quando invece serve davvero un pool di IP residential a rotazione.

DataImpulse è un provider di proxy etico che offre più di 90 milioni di indirizzi IP residential, mobile e datacenter in 195 Paesi. Usa un modello pay-as-you-go a partire da 1 dollaro per GB con traffico senza scadenza ed è usato per web scraping, ad verification, monitoraggio dei prezzi, ricerche di mercato e gestione di più account.

Che cos’è un proxy Squid?

Un proxy Squid è un server forward proxy open-source con caching che si colloca tra le macchine client e Internet, inoltrando le loro richieste HTTP e HTTPS. È software gratuito rilasciato con licenza GNU GPL e funziona principalmente su Linux e altri sistemi simili a Unix.

Come forward proxy, Squid riceve le richieste dai client nella tua rete, recupera il contenuto dal server di origine e lo restituisce al client. Durante il processo può memorizzare nella cache le risposte, applicare regole di accesso e registrare il traffico. Squid supporta HTTP, HTTPS e FTP, ed è comunemente usato come livello proxy in scuole, uffici e provider di servizi Internet. Poiché lo ospiti tu, ogni richiesta esce comunque attraverso l’indirizzo IP pubblico del server su cui gira Squid.

A cosa serve un proxy Squid?

Squid viene usato soprattutto per caching, risparmio di larghezza di banda, controllo degli accessi, filtraggio dei contenuti e registrazione del traffico all’interno di una rete locale o aziendale. È uno strumento di amministrazione di rete, non un servizio di anonimato.

• Caching e risparmio di larghezza di banda: Squid memorizza copie degli oggetti richiesti frequentemente, quindi le richieste ripetute vengono servite dal disco locale o dalla memoria invece di essere recuperate di nuovo via Internet. Nelle reti con molti utenti che accedono alle stesse risorse, questo riduce l’uso della larghezza di banda e accelera i tempi di risposta.
• Controllo degli accessi e filtraggio: usando le liste di controllo degli accessi (ACL), gli amministratori possono consentire o negare il traffico in base a IP client, dominio di destinazione, porta, ora del giorno o identità dell’utente. È così che le organizzazioni bloccano siti specifici o limitano la navigazione alle destinazioni approvate.
• Logging e monitoraggio: Squid scrive log di accesso dettagliati, utili per verificare l’utilizzo, risolvere problemi e creare report.

Come si configura un proxy Squid?

Configuri un proxy Squid installando il pacchetto su un server Linux, modificando /etc/squid/squid.conf per definire la porta di ascolto e le regole di accesso, quindi riavviando il servizio. La porta di ascolto predefinita è 3128.

Su Debian o Ubuntu, installalo con sudo apt update && sudo apt install squid. Su RHEL, Rocky o AlmaLinux, usa sudo dnf install squid. Il file di configurazione principale si trova in /etc/squid/squid.conf. Una configurazione minima che definisce una rete locale, la consente e ascolta sulla porta predefinita è questa:

# /etc/squid/squid.conf (minimal)
http_port 3128

# Define which clients may use the proxy
acl localnet src 192.168.1.0/24

# Allow the local network, deny everything else
http_access allow localnet
http_access deny all

# Where to store logs
access_log /var/log/squid/access.log

Dopo aver modificato il file, convalida la sintassi con squid -k parse, quindi applicala riavviando il servizio: sudo systemctl restart squid. Configura un browser client o uno strumento a riga di comando affinché punti all’IP del server sulla porta 3128 per instradare il traffico attraverso il proxy. Mantieni la riga http_access deny all per ultima, perché Squid valuta le regole in ordine e nega tutto ciò che non è esplicitamente consentito sopra.

Come si aggiunge l’autenticazione a Squid?

Aggiungi l’autenticazione configurando un helper auth in squid.conf, più comunemente l’autenticazione HTTP Basic supportata da un file di password. Questo obbliga gli utenti a fornire nome utente e password prima che il proxy inoltri le loro richieste.

L’approccio tipico usa l’helper basic_ncsa_auth con un file in stile htpasswd. Crei il file con uno strumento come htpasswd, quindi fai riferimento all’helper in squid.conf con un blocco auth_param basic e una ACL come acl authenticated proxy_auth REQUIRED, seguita da http_access allow authenticated. L’autenticazione Basic invia le credenziali con ogni richiesta, quindi dovrebbe essere usata solo su reti fidate o insieme a HTTPS per evitare di esporre le password. Squid supporta anche schemi più robusti come digest, NTLM e Kerberos per l’integrazione con directory aziendali.

Quali sono i limiti di eseguire il tuo proxy Squid?

Il limite principale è che un proxy Squid instrada tutto il traffico attraverso il singolo IP pubblico del server su cui lo ospiti. Non ci sono rotazione degli IP, affidabilità residential né un pool di punti di uscita geografici, e devi occuparti tu di tutta la manutenzione.

Per il caching interno e il controllo degli accessi va bene, ma diventa un problema nel momento in cui provi a usare Squid con siti esterni protetti:

• Un IP statico: ogni richiesta parte dallo stesso indirizzo. I siti ad alto traffico rilevano il volume, lo segnalano e limitano la velocità o bloccano rapidamente quell’IP.
• Origine datacenter: se Squid gira su un server cloud o di hosting, il suo IP è un IP datacenter. I sistemi anti-bot trattano gli intervalli datacenter con maggiore sospetto rispetto alle connessioni degli utenti domestici. Scopri in cosa differiscono i proxy datacenter da quelli residential.
• Nessun pool geografico: Squid non può presentarsi come un utente in un altro Paese o città. Sei vincolato al luogo in cui il server si trova fisicamente.
• La manutenzione è a tuo carico: applicazione delle patch, ottimizzazione della cache, rotazione dei log, gestione TLS e uptime sono tutte tue responsabilità.

In breve, Squid è un proxy che gestisci, non una rete di identità che prendi in prestito. Questa distinzione conta per qualsiasi attività che dipenda dal sembrare molti utenti distinti e affidabili.

Quando dovresti usare proxy residential invece di Squid?

Usa proxy residential invece di Squid quando hai bisogno di apparire come molti utenti reali da molte località, ad esempio per web scraping, accesso con restrizioni geografiche o gestione di più account. Queste attività richiedono un pool di indirizzi IP a rotazione, non l’unico IP datacenter fornito da un server Squid in self-hosting.

I proxy residential instradano le richieste attraverso dispositivi reali di utenti, così i siti di destinazione vedono normali connessioni domestiche anziché un unico indirizzo ripetuto. È questo che evita che richieste su larga scala vengano bloccate banalmente. Se il tuo obiettivo è raccogliere dati pubblici su larga scala, un pool residential a rotazione unito a buone pratiche per le richieste è l’approccio standard, come spiegato in questa guida allo scraping senza essere bloccati.

È qui che si inserisce DataImpulse. DataImpulse fornisce più di 90 milioni di IP residential, mobile e datacenter ottenuti in modo etico in 195 Paesi, con sessioni a rotazione e sticky session, supporto per HTTP, HTTPS e SOCKS5 e prezzi pay-as-you-go da 1 dollaro per GB con traffico senza scadenza. È una rete proxy per raggiungere siti esterni su larga scala, un compito diverso dal caching interno e dal filtraggio che Squid gestisce bene. Molti team usano entrambi: Squid sulla LAN e un pool residential per la raccolta di dati in uscita.

Come iniziare con la configurazione proxy giusta?

Inizia associando lo strumento al compito: usa Squid per il caching interno e il controllo degli accessi e una rete di proxy residential o mobile per tutto ciò che deve raggiungere siti esterni protetti su larga scala.

Se il tuo lavoro si svolge interamente nella tua rete, per mantenere la navigazione veloce e controllata, un proxy Squid ben configurato è una scelta solida e senza costi. Se raccogli dati pubblici, verifichi annunci o prezzi in diverse regioni oppure gestisci più account, un pool a rotazione è la soluzione pratica. DataImpulse offre di serie il targeting per Paese, con stato, città, ZIP e ASN disponibili come componenti aggiuntivi a pagamento, così puoi iniziare in modo ampio e restringere il targeting solo se un progetto lo richiede.

Domande frequenti

Inizia con il proxy giusto per il lavoro

Se la tua attività comporta il raggiungimento di siti esterni su larga scala anziché il caching nella tua rete, un pool residential è la soluzione migliore. Puoi creare un account DataImpulse e iniziare con traffico pay-as-you-go da 1 dollaro per GB, con targeting per Paese incluso e senza abbonamento.