Приём HTTP контента по ICAP on Alertix NTA

Назначение и включение

Mon, 01 Jan 0001 00:00:00 +0000

Служба sensor-icap принимает от прокси запросы REQMOD и RESPMOD. Настройка разделена между двумя сторонами: Alertix NTA открывает endpoint и определяет политику клиентов, а прокси направляет туда выбранные HTTP-запросы и ответы. Администратору следует заранее определить, какие направления, пользователи и типы содержимого передаются на анализ.

Конфигурация находится в /opt/alertixnta/config/icap.json. Доступность TCP-порта подтверждает только соединение. Для проверки протокола отправьте OPTIONS, затем выполните через прокси контрольный HTTP-запрос и найдите результат анализа. Проверять ICAP обычным HTTP GET на порт 1344 некорректно.

Сетевые параметры

Mon, 01 Jan 0001 00:00:00 +0000

Таблица. Общие параметры icap.json

Параметр	Значения	Назначение и особенности
version	6.2	Версия формата; не изменяется вручную.
sensorId	icap-01 в поставке	Непустой идентификатор ICAP-сервера. Вместе с портом образует идентификатор источника; для нескольких экземпляров задавайте уникальные значения.
cache.path	./cache/icap/	Каталог временной копии ответа в синхронном режиме. Относительный путь отсчитывается от /opt/alertixnta/.
network.tcpThreadsCount	Целое ≥ 1; удвоенное число ядер при отсутствии	Потоки обработки TCP-соединений.
network.maxConnections	Целое ≥ 1; 4000 в поставке	Общий предел одновременных соединений. Без файла действует 5000. Сообщается клиенту в OPTIONS.

Параметр

Значения

Назначение и особенности

version

6.2

Версия формата; не изменяется вручную.

sensorId

icap-01 в поставке

Непустой идентификатор ICAP-сервера. Вместе с портом образует идентификатор источника; для нескольких экземпляров задавайте уникальные значения.

cache.path

./cache/icap/

Каталог временной копии ответа в синхронном режиме. Относительный путь отсчитывается от /opt/alertixnta/.

network.tcpThreadsCount

Целое ≥ 1; удвоенное число ядер при отсутствии

Потоки обработки TCP-соединений.

network.maxConnections

Целое ≥ 1; 4000 в поставке

Общий предел одновременных соединений. Без файла действует 5000. Сообщается клиенту в OPTIONS.

Таблица. Поля network.listenAddresses

Потоковый и синхронный ответ

Mon, 01 Jan 0001 00:00:00 +0000

Возврат неизменённого сообщения прокси в двух режимах представлен на рисунке ниже.

Если ответ 204 не разрешён клиентом или выключен в конфигурации, сервер возвращает неизменённую копию сообщения с кодом 200. При syncMode: false ответ передаётся по мере приёма. При syncMode: true сначала принимается всё сообщение и на диске накапливается временная копия, затем она отправляется прокси. После закрытия соединения временный файл удаляется.

Синхронный режим увеличивает потребность в диске и задержку возврата больших сообщений. Его выбирают исходя из требований прокси и схемы обмена. Изменение syncMode применяется перечитыванием конфигурации с перезапуском внутреннего ICAP-сервера; проверяйте активные соединения после такой операции.

Доступ клиентов и ограничения

Mon, 01 Jan 0001 00:00:00 +0000

Таблица. Поля clients.default и переопределения clients.rules

Параметр	Значения	Назначение и особенности
action	ALLOW / DENY; ALLOW в поставке	Политика допуска. При DENY клиент без разрешающего совпадения отключается.
denial_method	DROP / REFUSE; DROP	Поведение при превышении лимита соединений. DROP закрывает соединение; REFUSE отвечает 403 на первую команду.
limits.max_connections	Целое ≥ 1; 4000 в поставке	Предел соединений от одного IP. Не может превышать network.maxConnections.
limits.max_request_size	10G в поставке	Предел размера запроса. Суффиксы B, K, M, G, T, P двоичные; unlimited или infinite снимают предел.
description	Строка	Описание политики в журнале отказов.
rules[].address	IP или CIDR; обязательно	Адрес клиента. Первое совпавшее правило применяется; незаданные поля наследуются от default.

Параметр

Значения

Назначение и особенности

action

ALLOW / DENY; ALLOW в поставке

Политика допуска. При DENY клиент без разрешающего совпадения отключается.

denial_method

DROP / REFUSE; DROP

Поведение при превышении лимита соединений. DROP закрывает соединение; REFUSE отвечает 403 на первую команду.

limits.max_connections

Целое ≥ 1; 4000 в поставке

Предел соединений от одного IP. Не может превышать network.maxConnections.

limits.max_request_size

10G в поставке

Предел размера запроса. Суффиксы B, K, M, G, T, P двоичные; unlimited или infinite снимают предел.

description

Строка

Описание политики в журнале отказов.

rules[].address

IP или CIDR; обязательно

Адрес клиента. Первое совпавшее правило применяется; незаданные поля наследуются от default.

{
 "default": {
 "action": "DENY",
 "denial_method": "REFUSE",
 "limits": {
 "max_connections": 2000,
 "max_request_size": "1G"
 }
 },
 "rules": [
 {
 "address": "192.0.2.30/32",
 "action": "ALLOW",
 "description": "Основной прокси"
 }
 ]
}

Протокол и журналирование

Mon, 01 Jan 0001 00:00:00 +0000

Таблица. Параметры секции icap

Параметр	Значения	Назначение и особенности
alwaysOk.enabled	true / false; false в поставке	Заменяет часть протокольных ошибок ответом 204. При отсутствии объекта, ключа или логического значения режим включён — задавайте явно.
allow204.enabled	true / false; true	Разрешает 204 No Content, если клиент также отправил Allow: 204. Уменьшает объём обратной передачи.
preview.enabled	true / false; false	Разрешает предварительную передачу части тела.
preview.size	Байты; 4096	Размер preview-блока при включённом preview.
rawLog.enabled	true / false; false	Сохраняет сырые ICAP-заголовки и тела; существенно увеличивает дисковую нагрузку.
rawLog.path	./log/icap-dump/	Каталог сырых дампов.
requestLog.enabled	true / false; false	Журнал метаданных ICAP-запросов.
requestLog.httpEnabled	true в поставке; false без файла	Включение HTTP-метаданных в журнал.
requestLog.channel	icap-request в поставке	Канал должен быть согласован с ipc.json и watcher.json.
xHeaders[]	Массив поставки	Не управляет фактическим извлечением заголовков: состав фиксирован. Изменение enabled в массиве не отключает их обработку.

Параметр

Значения

Назначение и особенности

alwaysOk.enabled

true / false; false в поставке

Заменяет часть протокольных ошибок ответом 204. При отсутствии объекта, ключа или логического значения режим включён — задавайте явно.

allow204.enabled

true / false; true

Разрешает 204 No Content, если клиент также отправил Allow: 204. Уменьшает объём обратной передачи.

preview.enabled

true / false; false

Разрешает предварительную передачу части тела.

preview.size

Байты; 4096

Размер preview-блока при включённом preview.

rawLog.enabled

true / false; false

Сохраняет сырые ICAP-заголовки и тела; существенно увеличивает дисковую нагрузку.

rawLog.path

./log/icap-dump/

Каталог сырых дампов.

requestLog.enabled

true / false; false

Журнал метаданных ICAP-запросов.

requestLog.httpEnabled

true в поставке; false без файла

Включение HTTP-метаданных в журнал.

requestLog.channel

icap-request в поставке

Канал должен быть согласован с ipc.json и watcher.json.

xHeaders[]

Массив поставки

Не управляет фактическим извлечением заголовков: состав фиксирован. Изменение enabled в массиве не отключает их обработку.

Режим alwaysOk заменяет ошибки 400, отдельные случаи 413, 500, 501 и 505 ответом 204, но не отменяет все ограничения. Он не заменяет 403 при превышении числа соединений, 413 при превышении max_request_size и 507 при ошибке чтения временного ответа. Выбирайте его вместе с политикой отказов прокси, а ошибки контролируйте в журнале.