Proxyserver mit Linux

Die Idee eines eigenen Proxyservers als zusätzlicher Zwischenspeicher für abgerufene Webinhalte kann Inhaber eines schnellen Internetzugangs ohne Volumenbegrenzung zunächst kalt lassen. Für jene Anwender, die eine langsame Internetverbindung haben, aus der mehrere Teilnehmer mit Webbrowsern beständig Daten zapfen, ist ein lokaler Proxy weiterhin interessant und verspricht bessere Geschwindigkeiten beim Surfen. Wo immer mehrere PCs und Geräte über den Browser Seiten aufrufen, gibt es Überschneidungen bei den abgerufenen Inhalten. Ein zwischenspeichernder Proxy liefert bereits per HTTP abgefragte Inhalte im Cache deutlich schneller aus als der entfernte Webserver. Reizvoll, gerade für Smartphones und Tablets, ist außerdem ein filternder Proxyserver, der bekannte Hosts von großen Werbefirmen blockiert und deren Werbebanner nicht weitergibt. Nicht zuletzt ist ein Proxyserver dann von Nutzen, wenn man im Browser seine eigene IP verschleiern möchte, um damit etwa Ländersperren zu umgehen.

Privoxy: Ein Proxy mit Filter

Ein zentraler Proxyserver im LAN kann als Client für Smartphones und Tablets als vorgeschalteter Werbefilter arbeiten. Der Proxy kann damit an einer zentralen Stelle dubiose Advertisingnetzwerke auf Webseiten blockieren, störende Banner filtern und Besuchertracker aussieben. Privoxy ist kein zwischenspeichernder Cache, sondern ein Filter. Der Proxy ist deshalb auch bei HTTPS-Verbindungen nützlich: Erkennt der Proxy einen Werbeanbieter in einer abgefragten URL, dann wird auch eine HTTPS-Anfrage blockiert. Andere HTTPS-Daten reicht der Proxy hingegen unverändert an den Browser weiter.

Privoxy läuft auf jedem Linux-System, kommt auch mit bescheidener Hardware zurecht oder läuft auf einem anderweitig genutzten Linux-PC brav im Hintergrund. Trotzdem haben sich die älteren beziehungsweise kleineren Modelle des Raspberry Pi als unzulänglich erwiesen: Die ARM-CPU mit einem Kern liefert für die Filterregeln von Privoxy nicht genügend Leistung, wenn mehrere Clients im Netzwerk auf den Proxy zugreifen. Erst ab einem Raspberry Pi 2 steht genügend Leistung bereit. Die Platine kann als Proxyserver nach empirischen Erfahrungswerten bis zu fünf Netzwerkteilnehmer bedienen. In allen verbreiteten Linux-Distributionen steht Privoxy fertig als Paket zur unkomplizierten Installation über den jeweiligen Paketmanager bereit. Unter Debian, Ubuntu, aber auch in Raspbian, ist der Proxyserver über den Befehl

in der Kommandozeile flott installiert. Privoxy erwartet aber noch die Konfiguration, damit der Proxyserver im Netzwerk bereitsteht. Die mitgelieferte Konfigurationsdatei „/etc/privoxy/config“ verlangt dazu nur in einem Detail eine manuelle Anpassung: Um Privoxy erst mal mit Standardeinstellungen in Betrieb zu nehmen, ist im Abschnitt 4.1 die Zeile

nach

zu ändern, wobei der Platzhalter „[IP-Adresse]“ für die die tatsächliche lokale IP-Adresse des Servers im LAN steht. Die Zeile lautet also beispielsweise „listen-address192.168.1.31:8118“. Wie bei jedem Serverdienst sollten Sie auch hier dafür sorgen, dass der zuständige Rechner vom Router eine feste IP erhält, damit die in die Proxykonfiguration eingetragene Adresse dauerhaft Gültigkeit hat.

Danach starten Sie den Privoxy-Dienst mit dem Befehl

neu. Auf älteren Versionen von Debian und Ubuntu (ohne Systemd) lautet der Befehl folgendermaßen:

Bei den Distributionen, die von Debian abstammen, hat sich Privoxy schon bei der Installation selbständig über das Init-System als Dienst eingerichtet, aber bei Fedora und Open Suse muss dieser Schritt noch mit dem Kommando

nachgeholt werden.

Ob der Proxyserver läuft und auf dem Port 8118 auf eingehende Verbindungen wartet, zeigt das Kommando

an. Gibt der Befehl etwa Folgendes aus, war die Einrichtung erfolgreich:

Jetzt können Sie in Browsern anderer PCs im lokalen Netzwerk sowie auf Mobilgeräten die IP-Adresse des Servers samt Port 8118 als Proxyserver angeben. Um die Konfiguration zu testen, rufen Sie im Browser zunächst die Diagnoseseite https://config.privoxy.org auf. Wenn sich Privoxy dort mit „This is Privoxy“ meldet, dann ist die Proxyverbindung aktiv.

Bereits ohne weitere Einstellungen filtert Privoxy mit sehr hoher Trefferquote ab sofort unerwünschte Werbung und Tracker beim Surfen aus und reduziert Banner in Apps.

Lesetipp So surfen Sie absolut anonym im Internet

Browser: Verbindung zum Proxy

Die Browser, welche Privoxy nutzen sollen, richten Sie nun so ein, dass diese die IP-Adresse des Raspberry Pi als Proxy verwenden. In Firefox finden Sie diese Option in den Einstellungen unter „Erweitert –› Netzwerk –› Verbindung –› Einstellungen“. Aktivieren Sie hier die „manuelle Proxy-Konfiguration“ und tragen Sie im Feld „HTTP-Proxy“ die IP des Raspberry ein, in dieser Beispielanleitung als 192.168.1.33. Den „Port“ dahinter legen Sie auf „8118“ fest. Chrome/Chromium verwenden dagegen die Proxy-Standardeinstellung des Systems oder müssen mit der Proxyangabe als Startparameter nach dem Schema

beziehungsweise bei Chromium mit

aufgerufen werden.

Die kostenlose Erweiterung Proxy Helper vereinfacht die Proxykonfiguration in Chrome/Chromium, insofern sie ein Extrasymbol in der Symbolleiste der Browser unterbringt.

Socks-Proxy: Einfach per SSH

Um den Traffic im Browser im Stil eines Pseudo-VPNs verschlüsselt über einen Proxy umzuleiten, bedarf es nur wenig Vorbereitung und Konfigurationsarbeit. Denn der SSH-Server von Linux, der meist sowieso zur Grundausstattung gehört, kann auch als Proxyserver dienen und allen Browsern und Programmen über das Socks-Protokoll eine Schnittstelle bieten.

Nützlich ist ein eigener Socks-Proxy, um die IP des entfernten Systems für Besuche auf Webseiten zu nutzen oder um den eigenen Traffic im lokalen Netz durch Verschlüsselung wie in einem VPN zu schützen.

Der SSH-Serverdienst gehört auf einem Linux-System zur Grundausstattung, ist aber im Bedarfsfall auch schnell nachinstalliert. In Debian, Ubuntu und Raspbian erledigt der Befehl

nicht nur die Installation, sondern setzt den Dienst auch gleich in Gang.

Der einzig aufwendigere Schritt ist die allgemeine Vorbereitung des Servers, um über das Internet erreichbar zu werden. Hier ist wieder die typische Portweiterleitung im Router zum Rechner mit dem Socks-Proxy erforderlich. Der Standardport für SSH ist Port 22. Ebenfalls Standard in solchen Fällen ist die Einrichtung eines dynamischen Hostnamens etwa über No-IP ( https://www.noip.com ), Free DNS ( https://freedns.afraid.org ) oder ähnliche Dienste. Danach sind dann Anmeldungen über SSH aus dem Internet heraus möglich: Der Browser geht dann über den heimischen Anschluss ins Internet und der eigentliche Verkehr bleibt so in unsicheren Netzwerken und WLANs verborgen.

1. Zum Aufbau der Verbindung verbinden Sie sich in einem Terminalfenster mit dem folgenden Befehl

zum eigenen Server zu Hause. Das Terminalfenster bleibt anschließend für die Dauer der Verbindung geöffnet.

2. Steht die SSH-Verbindung, geht man in die Browsereinstellungen und trägt dort als „SOCKS Host“ beziehungsweise „SOCKS Proxy“ einfach „localhost“ ein und als Port 8080. Ab jetzt gehen die Browseranfragen per SSH zunächst zum Server, der die Webseiten als Proxy abruft und verschlüsselt zurück zum Browser schickt. Das Terminalfenster muss dazu geöffnet bleiben. Der Datendurchsatz zwischen SSH-Client und Server ist zwar nicht schnell, weil eine ungünstige Kapselung von TCP über TCP stattfindet, dabei aber verschlüsselt wie bei einem echten VPN.

Für Windows-Clients: Auch Windows profitiert vom Linux-Server zu Hause und kann die SSH-Verbindung nutzen. In dieser Konstellation braucht der Windows-Rechner den Terminalclient Putty ( PC-WELT Download ). In Putty geht man zum Aufbau eines Tunnels nach der Konfiguration der Serveradresse unter „Session“ auf „Connection –› SSH –› Tunnels“ und trägt unter „Source Port“ eine Portnummer für den Tunnel ein, etwa die 8080. Außerdem aktiviert man die Option „Dynamic“ und geht dann auf „Add“, um einen Eintrag unter „Forwarded Ports“ zu erzeugen. Im Webbrowser, am besten im Firefox, der seine eigene Proxykonfiguration mitbringt, ist jetzt ein Besuch der Proxyeinstellungen nötig: Unter „Einstellungen –› Netzwerk-Proxy –› Einstellungen“ aktivieren Sie die „Manuelle Proxy-Konfiguration“ und geben unter „SOCKS-Host“ den „localhost“ ein und als Port den zuvor in Putty eingerichteten Sourceport, in unserem Beispiel „8080“. Soll die Verbindung zum Internet im Browser wieder ohne Socks-Proxy erfolgen, schalten Sie im Firefox diese Netzwerkeinstellungen wieder zurück auf „Kein Proxy“.

Lesetipp Sichere Surfsysteme: Wir zeigen Ihnen wie Sie die Websicherheit noch optimieren