DockerコンテナでSquidを立てる

はじめに

フォワードプロキシのあるテスト環境を簡単に作りたかったので、コンテナイメージsameersbn/squidを利用して、DockerコンテナでSquidを立ててみた。 ただ、設定ファイルsquid.confの編集が必要になり、sameersbn/squidをベースに独自のコンテナイメージを作成することで対処したので、そのメモを残しておく。 方針としては、ホスト側への依存を排除したかったので、設定ファイルsquid.confをホスト側に持たせないようにした。

環境

$ cat /etc/os-release | grep PRETTY_NAME
PRETTY_NAME="Ubuntu 20.04 LTS"

$ docker --version
Docker version 19.03.11, build 42e35e61f3

結論から

コンテナイメージsameersbn/squidに入っているデフォルトのsquid.confは、ローカルホストからしかアクセスを受け付けない状態になっている。 そのため、以下のDockerfileを作成して、編集したsquid.confをコンテナイメージに配置することにした。

FROM sameersbn/squid:3.5.27-2

RUN perl -pi.bak -e 's/#(acl localnet|http_access allow localnet)/$1/' /etc/squid/squid.conf

squid.confの編集内容については、後ほど説明する。 このDockerfileをビルドして、redj/squid:3.5.27-2というタグをつける。 バージョン番号はsameersbn/squidに合わせた。

$ docker build --tag redj/squid:3.5.27-2 build

動作確認のために、docker runする。

$ docker run --name squid --publish 3128:3128 redj/squid:3.5.27-2

以下のようにcurlを実行して、コンテンツが表示されればOK。

$ export https_proxy=http://localhost:3128
$ curl https://www.example.com
(コンテンツが表示される)

コンテナイメージsameersbn/squidの挙動

DockerHubのsameersbn/squidのQuick Startを参考に、以下のようにコンテナを立ち上げたが、

$ docker run --name squid --publish 3128:3128 sameersbn/squid

以下のように、プロキシを利用したcurlの実行がエラーになった。

$ export https_proxy=http://localhost:3128
$ curl https://www.example.com
curl: (56) Received HTTP code 403 from proxy after CONNECT

Squidを経由してHTTPエラー403が出る場合は、Squidの設定ファイルに記載したACL (Access Controll List)に問題があるらしい。

squid.confの見直し

コンテナイメージsameersbn/squidに含まれている、オリジナルのsquid.confを以下に抜粋する。

(前略)

# Example rule allowing access from your local networks.
# Adapt to list your (internal) IP networks from where browsing
# should be allowed
#acl localnet src 10.0.0.0/8    # RFC1918 possible internal network
#acl localnet src 172.16.0.0/12 # RFC1918 possible internal network
#acl localnet src 192.168.0.0/16        # RFC1918 possible internal network
#acl localnet src fc00::/7       # RFC 4193 local private network range
#acl localnet src fe80::/10      # RFC 4291 link-local (directly plugged) machines

(中略)

# Example rule allowing access from your local networks.
# Adapt localnet in the ACL section to list your (internal) IP networks
# from where browsing should be allowed
#http_access allow localnet
http_access allow localhost

(後略)

上記だと、許可されている(http_access allow)のはlocalhostというデフォルトのACLだけ。 以下のようにローカルネットワークのACLについてのコメントアウトを外すことで、うまく許可することができた。

(前略)

# Example rule allowing access from your local networks.
# Adapt to list your (internal) IP networks from where browsing
# should be allowed
acl localnet src 10.0.0.0/8    # RFC1918 possible internal network
acl localnet src 172.16.0.0/12 # RFC1918 possible internal network
acl localnet src 192.168.0.0/16        # RFC1918 possible internal network
acl localnet src fc00::/7       # RFC 4193 local private network range
acl localnet src fe80::/10      # RFC 4291 link-local (directly plugged) machines

(中略)

# Example rule allowing access from your local networks.
# Adapt localnet in the ACL section to list your (internal) IP networks
# from where browsing should be allowed
http_access allow localnet
http_access allow localhost

(後略)

ただし、これだと許可し過ぎなので、本来はACLをもう少し絞るべきだと思われる。

ワンライナーsquid.confのコメントを外す

Dockerfile内でsquid.confのコメントを外すために、ワンライナーを組み立てておく。 sedでもよいが、個人的にはPerl正規表現ほうが可読性が高く、メンテが楽に感じる。

$ perl -pi.bak -e 's/#(acl localnet|http_access allow localnet)/$1/' /etc/squid/squid.conf

オプションi.bakで、squid.confを上書きしつつバックアップsquid.conf.bakもとっておく。 以下は、ワンライナーの動作確認として、コンテナの中に入ってdiffをとった結果。

# diff /etc/squid/squid.conf.bak /etc/squid/squid.conf
975,979c975,979
< #acl localnet src 10.0.0.0/8   # RFC1918 possible internal network
< #acl localnet src 172.16.0.0/12    # RFC1918 possible internal network
< #acl localnet src 192.168.0.0/16   # RFC1918 possible internal network
< #acl localnet src fc00::/7       # RFC 4193 local private network range
< #acl localnet src fe80::/10      # RFC 4291 link-local (directly plugged) machines
---
> acl localnet src 10.0.0.0/8    # RFC1918 possible internal network
> acl localnet src 172.16.0.0/12 # RFC1918 possible internal network
> acl localnet src 192.168.0.0/16    # RFC1918 possible internal network
> acl localnet src fc00::/7       # RFC 4193 local private network range
> acl localnet src fe80::/10      # RFC 4291 link-local (directly plugged) machines
1190c1190
< #http_access allow localnet
---
> http_access allow localnet

[別案] Dockerfileを利用しない方法

以下のように、コンテナの中の/etc/squid/squid.confを直接編集する同様のことができるが、長い目で見ればコンテナイメージを作成して管理したほうが楽だと思う。

$ docker create --name squid --publish 3128:3128 sameersbn/squid
$ docker cp squid:/etc/squid/squid.conf squid.conf
$ perl -pi.bak -e 's/#(acl localnet|http_access allow localnet)/$1/' squid.conf
$ docker cp squid.conf squid:/etc/squid/squid.conf
$ docker start squid

参考