3APA3A 3proxy tiny proxy server HowTo
 <br>В стадии разработки
 <ul>
	<li><A HREF="#COMPILE">Компиляция</A>
	<ul>
		<li><A HREF="#MSVC">Как скомпилировать 3proxy Visual C++</A>
		<li><A HREF="#INTL">Как скомпилировать 3proxy  Intel C Compiler под Windows</A>
		<li><A HREF="#GCCWIN">Как скомпилировать 3proxy GCC под Windows</A>
		<li><A HREF="#GCCUNIX">Как скомпилировать 3proxy  GCC под Unix/Linux</A>
		<li><A HREF="#CCCUNIX">Как скомпилировать 3proxy  Compaq C Compiler под Unix/Linux</A>
	</ul>
	<li><A HREF="#INSTALL">Инсталляция и удаление прокси-сервера</A>
	<ul>
		<li><A HREF="#INSTNT">Как установить/удалить 3proxy под Windows 95/98/ME/NT/2000/XP как службу</A>
		<li><A HREF="#INST95">Как установить/удалить 3proxy под Windows 95/98/ME</A>
		<li><A HREF="#INSTUNIX">Как установить/удалить 3proxy под Unix/Linux</A>
	</ul>
	<li><A HREF="#SERVER">Конфигурация сервера</A>
	<ul>
		<li><A HREF="#SAMPLE">Как посмотреть пример файла конфигурации</A>
		<li><A HREF="#LOGGING">Как настроить ведение журнала</A>
		<li><A HREF="#LOGFORMAT">Как настроить формат журнала</A>
		<li><A HREF="#LAUNCH">Как запустить конкретную службу (HTTP, SOCKS и т.д)</A>
		<li><A HREF="#AUTH">Как ограничить доступ к службе</A>
		<li><A HREF="#USERS">Как создать список пользователей</A>
		<li><A HREF="#ACL">Как ограничить доступ пользователей к ресурсам</A>
		<li><A HREF="#REDIR">Как управлять перенаправлениями</A>
		<li><A HREF="#CHAIN">Как составлять цепочки прокси</A>
		<li><A HREF="#BANDLIM">Как ограничивать скорости приема</A>
		<li><A HREF="#TRAFLIM">Как ограничивать объем принимаемого трафика</A>
		<li><A HREF="#NETLIST">Как строить списки сетей</A>
		<li><A HREF="#NSCACHING">Как управлять разрешением имен и кэшированием DNS</A>
		<li><A HREF="#DEMANDDIAL">Как устанавливать соединение по требованию</A>
	</ul>
	<li><A HREF="#CLIENT">Конфигурация и настройка клиентов</A>
	<ul>
		<li><A HREF="#IE">Как использовать 3proxy с Internet Explorer или другим браузером?</A>
		<li><A HREF="#FTP">Как настраивать FTP клиента?</A>
		<li><A HREF="#SMTP">Как использовать SMTP через 3proxy</A>
		<li><A HREF="#POP3">Как использовать POP3 proxy?</A>
		<li><A HREF="#CAP">Как использовать 3proxy с программой не поддерживающей работу с прокси-сервером?</A>
		<li><A HREF="#GAMES">Как использовать 3proxy с играми?</A>
	</ul>
	<li><A HREF="#ADMIN">Администрирование и анализ информации</A>
	<ul>
		<li><A HREF="#NEWVERSION">Где взять свежую версию</A>
		<li><A HREF="#NTSERVICE">Как управлять службой 3proxy в Windows NT/2000/XP</A>
		<li><A HREF="#ERRORS">Коды ошибок в журнале</A>
	</ul>
	<li><A HREF="#QUEST">Как задать вопрос, которого нет в How To?</A>
 </ul>
<br>
 <ul>
<hr>
	<li><A NAME="#COMPILE">Компиляция</A>
<p>
	<ul>
		<li><A NAME="#MSVC">Как скомпилировать 3proxy Visual C++</A>
<p>
Извлеките файлы из архива 3proxy.tgz (например с помощью WinZip).
Используйте команду nmake /f Makefile.msvc
</p>
		<li><A NAME="#GCCWIN">Как скомпилировать 3proxy GCC под Windows</A></li>
<p>
Извлеките файлы из архива 3proxy.tgz (например с помощью WinZip или, при наличии
CygWin tar -xzf 3proxy.tgz).
Используйте команду make -f Makefile.win. Если по каким-то причинам вы хотите использовать
библиотеку POSIX-эмуляции Cygwin - Используйте make -f Makefile.unix.
Прииспользовании CygWin функции специфичные для Windows (такие как запуск в
качестве службы) будут недоступны.
</p>
		<li><A NAME="#GCCUNIX">Как скомпилировать 3proxy GCC под Unix/Linux</A></li>
<p>
Используйте make -f Makefile.unix. Должен исопльзоваться GNU make, на
некоторых системах необходимо использовать gmake вместо make.
<br>Компиляция проверена в FreeBSD/i386, OpenBSD/i386, NetBSD/i386,
RH Linux/Alpha, Debian/i386, Gentoo/i386, Gentoo/PPC
но должно собираться в любых версиях *BSD/linux.
В других системах может потребоваться модификация файла и/или исходных текстов.
</p>
	</ul>
<hr>
		<li><A NAME="#CCCUNIX">Как скомпилировать 3proxy  Compaq C Compiler под Unix/Linux</A></li>
<p>
Используйте make -f Makefile.ccc
<br>Компиляция проверена в RH Linux 7.1/Alpha.
В других системах может потребоваться модификация файла и/или исходных текстов.
</p>
	</ul>
<hr>
	<li><A NAME="#INSTALL">Инсталляция прокси-сервера</A>
<p>
	<ul>
		<li><A NAME="#INSTNT">Как установить/удалить 3proxy под Windows 95/98/ME/NT/2000/XP/2003 как службу</A>
<p>
Извлеките файлы из архива 3proxy.zip в любой каталог 
(например c:\Program Files\3proxy). Если необходимо, создайте каталог для
хранения файлов журналов. Создайте файл конфигурации прокси 3proxy.cfg в
каталоге 3proxy (См. раздел <A HREF="#SERVER">Конфигурация сервера</A>).
Добавьте строку
<pre>
service
</pre>
в файл 3proxy.cfg. Откройте коммандную строку (cmd.exe).
Перейдите в каталог с 3proxy и дайте команду 3proxy.exe --install:
<pre>
D:\>C:
C:\>cd C:\Program Files\3proxy
C:\Program Files\3proxy>3proxy.exe --install
</pre>
Сервис должен быть установлен и запущен. Если сервис не запускается,
проверьте содержимое файла журнала,
попробуйте удалить строку service из 3proxy.cfg, запустить 3proxy.exe вручную
и проанализировать сообщения об ошибках.
</p><p>
Для удаления 3proxy необходимо остановить сервис и дать
команду 3proxy --remove:
<pre>
D:\>C:
C:\>cd C:\Program Files\3proxy
C:\Program Files\3proxy>net stop 3proxy
C:\Program Files\3proxy>3proxy.exe --remove
</pre>
после чего каталог 3proxy можно удалить.
<p>
Установка в качестве системной службы под Windows 9x поддерживается с версии 0.5
</p>
		<li><A NAME="#INST95">Как установить/удалить 3proxy под Windows 95/98/ME</A>
<p>
Извлеките файлы из архива 3proxy.zip в любой каталог 
(например c:\Program Files\3proxy). Если необходимо, создайте каталог для
хранения файлов журналов. Создайте файл конфигурации прокси 3proxy.cfg в
каталоге 3proxy (См. раздел <A HREF="#SERVER">Конфигурация сервера</A>).
В файле конфигурации удалите строку
<pre>
service
</pre>
и добавьте строку
<pre>
daemon
</pre>
Создайте ярлык для 3proxy.exe и поместите его в атозагрузку, либо с помощью
редактора реестра regedit.exe добавьте в разделе
<br>HKLM\Software\Microsoft\Windows\CurrentVersion\Run</br>
Строковый параметр 
<br>3proxy = "c:\Program Files\3proxy.exe" "C:\Program Files\3proxy.cfg"<br>
Использование апострофов при наличии в пути пробела обязательно.
Перезагрузитесь.
Если сервер не запускается,
проверьте содержимое файла журнала,
попробуйте удалить строку daemon из 3proxy.cfg, запустить 3proxy.exe вручную
и проанализировать сообщения об ошибках.

</p>
		<li><A NAME="#INSTUNIX">Как установить/удалить 3proxy под Unix/Linux</A>
<p>
Скомпилируйте 3proxy (см. раздел <A HREF="#COMPILE">Компиляция</A>). Скопируйте
исполняемые файлы в подходящий каталог (например /usr/local/3proxy/sbin для
серверных приложений и /usr/local/3proxy/bin для клиентских утилит).
Создайте файл /usr/local/etc/3proxy.cfg. 
(См. раздел <A HREF="#SERVER">Конфигурация сервера</A>).
Изменить расположение файла конфигурации можно задав параметр при вызове
3proxy или изменив путь в файле 3proxy.c до компиляции.
Добавьте вызов 3proxy в скрипты начальной инициализации.
</p>
	</ul>
<hr>
	<li><A NAME="#SERVER">Конфигурация сервера</A>
<p>
	<ul>
		<li><A NAME="#SAMPLE">Как посмотреть пример файла конфигурации</A>
<p>
Пример файла конфигурации 3proxy.cfg.sample поставляет с любым дистрибутивом
программы.
</p>
		<li><A NAME="#LOGGING">Как настроить ведение журнала</A>
<p>
3proxy поддерживает ведение журнала на экран (stdout), в файл, через ODBC и через службу
syslog (только для Unix/Linux/Cygwin). Можно управлять либо общим файлом
журнала, задаваемым в файле конфигурации 3proxy.cfg и единым для всех служб
либо индивидуальными файлами для отдельных служб (например команда 
socks -l/var/log/socks.log запускает SOCKS прокси
и задает для него индивидуальный журнал). Для общего файла журнала
поддерживается ротация (т.е. периодическое создание новых файлов журнала
с предопределенными именами и удаление файлов старше определенного срока)
и архивация файлов журнала.
Тип журнала определяется параметром log в файле конфигурации либо ключем
-l при вызове конкретной службы (например socks сервера). log или -l без
параметров соответствуют ведению журнала на экран (stdout).
<pre>
	log filename
</pre>
и
<pre>
	-lfilename
</pre>
соответствуют записи журнала в файл filename.
<pre>
	log @ident
</pre>
и
<pre>
	-l@ident
</pre>
соответствуют ведению журнала через syslog с идентификатором ident.
<pre>
	log &connstring
</pre>

соответствует ведению журнала через ODBC, connstring задается в формате
datasource,username,password (последние два параметра опциональны, если
datasource не требует или уже содержит сведения для авторизации). При этом
команда logformat должна задавать SQL запрос, который необходимо выполнить
для добавления записи в журнал, см <A HREF="#LOGFORMAT">Как настроить формат журнала</A>
</p><p>
Управление ротацией общего файла журнала происходит с помощью команд файла
конфигурации log, rotate и archiver.
<pre>
	log filename LOGTYPE
</pre>
задает тип ротации. LOGTYPE может принимать значения:
<ul>
	<li>M, ежемесячная ротация
	<li>W, еженедельная ротация
	<li>D, ежедневная ротация
	<li>H, ежечасная ротация
	<li>С, ежеминутная ротация
</ul>
<pre>
	rotate NUMBER
</pre>
	указывает на число файлов участвующих в ротации (т.е. сколько последних
	журналов хранить).
<pre>
	archiver EXT COMMAND PARAMETERS
</pre>
	задает параметры архивации журнала. EXT указывает на расширение
	архиватора (например zip, gz, Z, rar и т.д.) COMMAND указывает на
	программу и PARAMETERS - на параметры коммандной строки. Архиватор
	должен сам удалить исходный файл. Архиватору можно передать имя файла
	с помощью макроса %F и ожидаемое имя архива с помощью макроса %A.
	В качестве архиватора вполне можно задать пакетный файл, который,
	например, будет загружать данные из журнала в базу данных.
	Примеры команды archiver для популярных архиваторов можно найти в
	3proxy.cfg.sample
</p>
		<li><A NAME="#LOGFORMAT">Как настроить формат журнала</A>
<p>
	Начиная с версии 0.3 формат журнала может бытьнастроен с момощью
	команды logformat со строкой формата. Первый символ строки должен
	быть L или G, что указывает на формат, в котором будет указываться
	время и даты, L - текущее локальной время, G - абсолютное время по
	Гринвичу. Строка формата может содержать следующие модификаторы:
	<ul>
<li>	 %y - Год (последние две цифры)
<li>	 %Y - Год (четырехзначный)
<li>	 %m - Номер месяца (01-12)
<li>	 %d - День (01-31)
<li>	 %H - Час (00-23)
<li>	 %M - Минута (00-59)
<li>	 %S - Секунда (00-59)
<li>	 %t - Временная метка (число секунд с 00:00:00 по Гринвичу 1 января 1970г)
<li>	 %. - Миллисекунды
<li>	 %z - Временная зона в почтовом формате (от Гринвича, '+' восток, '-' запад ЧЧММ), например Московское зимнее время +0300.
<li>	 %U - Имя пользователя ('-' если отсутствует).
<li>	 %N - Название прокси сервиса (PROXY, SOCKS, POP3P, etc)
<li>	 %p - Порт прокси сервиса
<li>	 %E - Код ошибки (см. <A HREF="#ERRORS">Коды ошибок в журнале</A>)
<li>	 %C - IP клиента
<li>	 %c - Порт клиента
<li>	 %R - IP сервера (исходящего соединения по запросу клиента)
<li>	 %r - Порт сервера (исходящего соединения по запросу клиента)
<li>	 %I - Принято байт от сервера
<li>	 %O - Послано байт на сервер
<li>	 %n - Имя хоста из запроса
<li>	 %h - Число звеньев до конечного сервера (при использовании перенаправлений или чейнинга,
	 см. <A HREF="#CHAIN">Как составлять цепочки прокси</A>)
<li>	 %T - Текст специфичный для Proxy-Сервиса (например запрошенный URL).
	</ul>
	Пример:
<pre>
logformat "L%t.%. %N.%p %E %U %C:%c %R:%r %O %I %h %T"
</pre>
	будет генерировать в журнале записи типа
<p><font face="courier">
1042454727.0296 SOCK4.1080 000 3APA3A 127.0.0.1:4739 195.122.226.28:4739 505 18735 1 GET http://www.security.nnov.ru/ HTTP/1.1
</font>
<br>(без переноса строк)
</p>
<p>
	При исопльзовании ODBC logformat должен задавать формат SQL команды,
	которую необходимо дать для внесения записи в журнал, например
<p><font face="courier">
logformat "GINSERT INTO proxystat  VALUES (%t, '%c', '%U', %I)"
</font>
</p>
		<li><A NAME="#LAUNCH">Как запустить конкретную службу (HTTP, SOCKS и т.д)</A>
<p>
3proxy поставляется в двух вариантах: как набор отдельных модулей (proxy,
socks, pop3p, tcppm, udppm) и как универсальный прокси-сервер (3proxy).
Универсальный прокси сервер это законченная программа, которой не требуются
отдельные модули.
<br>Отдельный модуль управляется только из коммандной строки. Поэтому для
отдельного модуля не поддерживаются многие функции, такие как управление
доступом и ротация журнала. Запуск модуля осуществляется из коммандной строки.
Например:
<pre>
$/sbin/socks -l/var/log/socks.log -i127.0.0.1
</pre>
запускает SOCKS на порту 127.0.0.1:1080 с ведением журнала /var/log/socks.log
Справку по опциям коммандной строки можно получить запустив модуль с ключем -?.
</p><p>
Если используется 3proxy то запускаемые службы указываются в файле 3proxy.cfg.
Файл 3proxy.cfg просматривается 3proxy построчно, каждая строка рассматривается
как управляющая комманда. Синтаксис комманд описан в 3proxy.cfg.sample. Например
<pre>
log /var/log/3proxy.log D
rotate 30
internal 127.0.0.1
external 192.168.1.1
proxy
socks
pop3p -l/var/log/pop3proxy
</pre>
Запускает 3 службы - PROXY, SOCKS и POP3 Proxy. Каждая слушает на интерфейсе
127.0.0.1 на порту по-умолчанию (3128 для proxy, 1080 для socks и 110 для
pop3p). Журналы всех служб кроме pop3p ведутся в файле /var/log/3proxy.log
который ежедневно меняется. Хранится 30 последних файлов. Для pop3p ведется
отдельный журнал /var/log/pop3proxy (см. <A HREF="#LOGGING">Как настроить ведение журнала</A>).
</p>
		<li><A NAME="#AUTH">Как ограничить доступ к службе</A>
<p>
Во-первых, для ограничения доступа необходимо указать внутренний интерфейс,
на котором прокси-сервер будет принимать соединения. Внутренний интерфейс
указывается с помощью команды internal файла конфигурации или с помощью
ключа -i конкретного модуля.
(см. <A HREF="#LAUNCH">Как запустить конкретную службу (HTTP, SOCKS и т.д)</A>).
Отсутствие указания внутренего унтерфейса может привести к тому, что ваш
прокси будет открытым.
<p> Указание внешнего интерфейса (т.е. IP С которого сервер будет устанавливать
внешние соединения) так же является полезным. Для этого служит команда external
и ключ -e соответственно.
Для универсального прокси возможна дополнительная авторизация доступа с помощью
имени/пароля, NetBIOS имени пользователя и по спискам доступа (по IP клиента,
IP и порту назначения, см. <A HREF="#ACL">Как ограничить доступ пользователей к ресурсам</A>).
Тип авторизации устанавливается командой auth в файле конфигурации.
<pre>
auth none
</pre>
указывает на отсутствие какой-либо авторизации. Списки доступа не проверяются.
<pre>
auth iponly
</pre>
Будет идти проверка по списку доступа с исопльзованием IP клиента, IP и номера
порта назначения.
<pre>
auth nbname
</pre>
Перед проверкой по списком доступа будет произведена попытка получить NetBIOS
имя клиента. Для этого используется NetBIOS код службы messanger (0x03). Если
имя определить не удалось (служба messanger для Windows NT/2000/XP или WinPopUP
для 95/98/ME не запущена), то имя будет считаться пустым. Далее следует
проверка по спискам доступа. Данный тип авторизации не зависит от платформы
сервера (т.е. прокси сервер запущенный под Unix сможет определять NetBIOS
имена). Его рекомендуется использовать в однородных сетях, где на всех клиентах
установлена Windows NT/2000/XP и пользователи не имеют доступа к
привилегированным учетным записям. Этот вид авторизации не является надежным.
<pre>
auth strong
</pre>
Проверяется имя и пароль переданные пользователем при подключении к прокси.
Данный вид авторизации работает только с proxy и socks. Необходимо задание
списка пользователей (см <A HREF="#USERS">Как создать список пользователей</A>).
Соединения от неизвестных пользователей не принимаются. После проверки имени
пользвоателя и пароля происходит проверка списков доступа.
</p><p>
Для разных служб можно установить различные типы авторизации, например
<pre>
auth none
pop3p
auth iponly
proxy
auth strong
socks
</pre>
Не накладвает ограничений на использование POP3 Proxy, производит проверку
по спискам доступа для пользователей HTTP Proxy и требует авторизации с именем
и паролем для SOCKS.
</p>
		<li><A NAME="#USERS">Как создать список пользователей</A>
<p>
Список пользователей задается с помощью комманды users. 
<pre>
users USERDESC ...
</pre>
С помощью одной комманды можно задать несколько пользователей, можно
давать несколько комманд users. USERDESC - описание пользователя. Описание
пользователя состоит из трех полей разделенных : (двоеточием) - имени (login)
типа пароля и пароля. Например:
<pre>
users admin:CL:bigsecret test:CL:password test1:CL:password1
users "test2:CR:$1$lFDGlder$pLRb4cU2D7GAT58YQvY49."
users test3:NT:BD7DFBF29A93F93C63CB84790DA00E63
</pre>
Обратите внимание на двойные кавычки - они необходимы для второго пользователя,
т.к. в его пароле встречается знак $, который для файла 3proxy.cfg означает
включение другого файла. Поддеживается следующие типы паролей:
<ul>
	<li>тип не указан - использовать системную авторизацию для
	данного пользователя (пока не реализовано).
	<li>CL - пароль в открытом тексте
	<li>CR - пароль в формате crypt() (только MD5)
	<li>NT - пароль в формате NT в шестнадцатеричной кодировке
</ul>
NT и crypt пароли могут быть использованы для импорта учетных записей из
Windows/Samba и Unix соответственно (для Windows можно использовать утилиты
семейства pwdump).
Учетные записи удобно хранить в отдельном файле (в таком случае можно хранить
их построчноб в формате типичном для файлов паролей). Включить файл можно с
помощью макроса $:
<pre>
users $/etc/.3proxypasswd
</pre>
или
<pre>
users $"c:\Program Files\3proxy\passwords"
</pre>
Шифрованные NT и crypt пароли можно создавать с помощью утилиты mycrypt.
<br>Список пользователей един для всех служб. Разграничение доступа по службам
необходимо производить с помощью списков доступа.
</p>
		<li><A NAME="#ACL">Как ограничить доступ пользователей к ресурсам</A>
<p>
Для построения списков доступа используются команды allow, deny, redirect и
flush. Команды имеют следующую структуру:
<p><font face="courier">
allow &lt;userlist&gt; &lt;sourcelist&gt; &lt;targetlist&gt; &lt;targetportlist&gt; &lt;commandlist&gt;
		&lt;weekdays&gt; &lt;timeperiodslist&gt;
<br>deny &lt;userlist&gt; &lt;sourcelist&gt; &lt;targetlist&gt; &lt;targetportlist&gt; &lt;commandlist&gt;
		&lt;weekdays&gt; &lt;timeperiodslist&gt;
<br>redirect redirect_ip redirect_port &lt;userlist&gt; &lt;sourcelist&gt; &lt;targetlist&gt; &lt;targetportlist&gt; &lt;commandlist&gt;
		&lt;weekdays&gt; &lt;timeperiodslist&gt;
<br>flush
</font>
</p>
Уоманда flush используется для сброса существующего списка доступа (это
необходимо для того, чтоыб можно было задать различные списки доступа для
различных служб). Команда redirect используется для перенаправления соединения,
allow для разрешения соединения, deny - для запрета соединения 
(о перенаправлении см. <A NAME="#REDIR">Как управлять перенаправлениями</A>).
В момент установки исходящего соединения просматривается список доступа и
находится первая запись, соответствующая запрошенному клиентом соединению.
Если запись соттветствует allow - соединение разрешается, deny - запрещается,
redirect - перенаправляется на указанный redirect_ip:redirect_port. Если
список пуст, то соединение разрешается. Если список не пуст, но подходящей
записи нет, то соединение запрещается. При этом
<ul>
	<li>&lt;userlist&gt; - список логинов пользователей через запятую
	<li>&lt;sourcelist&gt; - список сетей клиентов через запятую. Сеть
		задается в формате xxx.yyy.zzz.mmm/l, где l - длина маски
		сети (количество ненулевых байт). Например 192.168.1.0/24
		соответствует сети с маской 255.255.255.0.
	<li>&lt;targetlist&gt; - список сетей назначения через запятую
	<li>&lt;targetportlist&gt; - список портов назначения через запятую.
		можно задать диапазон портов через -, например 80,1024-65535
	<li>&lt;commandlist&gt; - список комманд, через запятую, для которых применяется правило:
<br>		CONNECT	- установить исходящее TCP соединение (например SOCKSv4/5, POP3 proxy, etc)
<br>		BIND - разрешить входящее TCP соединение (SOCKSv5)
<br>		UDPASSOC - создать UDP-ассоциацию (SOCKSv5)
<br>		ICMPASSOC - создать ICMP-ассоциацию (не реализовано)
<br>		HTTP_GET - HTTP GET запрос (HTTP proxy)
<br>		HTTP_PUT - HTTP PUT запрос (HTTP proxy)
<br>		HTTP_POST - HTTP POST запрос (HTTP proxy)
<br>		HTTP_HEAD - HTTP HEAD запрос (HTTP proxy)
<br>		HTTP_CONNECT - HTTP CONNECT запрос (HTTP proxy)
<br>		HTTP_OTHER - другой HTTP запрос (HTTP proxy)
<br>		HTTP - соответствует любому HTTP запросу кроме HTTP_CONNECT (HTTP proxy)
<br>		HTTPS - тоже, что HTTP_CONNECT (HTTP proxy)
<br>		FTP_GET - FTP get запрос
<br>		FTP_PUT - FTP put запрос
<br>		FTP_LIST - FTP list запрос
<br>		FTP - соответствует любому FTP запросу
	<li>&lt;weekdays&gt; задает список дней недели, 1 соответствует
		понедельнику, 0 или 7 - воскресенье. 1-5 означает с понедельника
		по пятницу (включительно). 1,3,5 задает нечетные дни недели.
	<li>&lt;timeperiodslist&gt; список интервалов дня в формате 
		ЧЧ:ММ:СС-ЧЧ:ММ:СС, например 00:00:00-08:00:00,17:00:00-24:00:00
		задает нерабочее время.
		
</ul>
Примеры использования листов доступа можно найти в файле 3proxy.cfg.sample.
Нулевой адрес или порт перенаправлени означает, что он не должен измениться.
Если и адрес и порт нулевые
<pre>
redirect 0.0.0.0 0
</pre>
то это имеет специальное значение прозрачного перенаправления в локальный
HTTP прокси (обычно из SOCKS), при этом не устанавливается никаких
дополнительных соединений.
</p>
		<li><A NAME="#REDIR">Как управлять перенаправлениями</A>
<p>
Перенаправления имеет смысл использовать, например, чтобы перенаправить
обращения определенных клиентов или на определнные сервера на другой сервер
(например при попытке доступа на Web сервер с недозволенным материалом
перенаправить на собственный Web сервер, или для того, чтобы в зависимости
от IP клиента перенаправлять его соединения на разные сервера (особенно при
отображении портов через tcppm). Кроме того, перенаправление может быть
использовано, например, для перенаправления все исходящих HTTP запросов
посланных через SOCKS на HTTP прокси. Поскольку формат запроса к Web серверу
и Proxy различается, не любой Proxy сервер способен корректно обработать
перенаправленный запрос (HTTP proxy в комплекте 3proxy нормально обрабатывает
перенаправленные запросы, что делает возможным его использования в качестве
"прозрачного" прокси. Кроме того, HTTP прокси обнаруживает перенаправления
на родительский прокси и генерирует нормальные заголовки. 
</p>
		<li><A NAME="#CHAIN">Как составлять цепочки прокси</A>
<p>
Для составления цепочек прокси можно использовать команду parent. parent
является расширением команды allow (т.е. команде parent должна предшествовать
команда allow). С помощью этой команды можно строить цепочки из HTTPS
(HTTP CONNECT), SOCKS4 и SOCKS5 прокси (т.е. последовательно подключаться
через несколько прокси), при этом возможна авторизация на родительском прокси,
звено цепочки может выбираться случайным образом из несольких значений
с вероятностью согласно их весу. Вес (от 1 до 1000) задается для каждого
прокси. Сумма весов по всем перенаправлениям должна быть кратна 1000.
Прокси с весами до 1000 группируются, и при построении цепочки один из них
выбирается случайно согласно весу. Длина цепочки определяется из суммарного
веса. Например, если суммарный вес цепочки 3000, в цепочке будет 3 звена.
Синтаксис команды:
<pre>
parent &lt;weight&gt; &lt;type&gt; &lt;ip&gt; &lt;port&gt; &lt;username&gt; &lt;password&gt;
</pre>
weight - вес прокси, type - тип прокси (tcp - перенаправление соединения,
может быть только последним в цепочке, http - синоним tcp, connect - HTTP
CONNECT/HTTPS прокси, socks4 - SOCKSv4 прокси, socks5 - SOCKSv5 прокси),
ip - IP адрес прокси, port - порт прокси, username - имя для авторизации
на прокси (опционально), password - пароль для авторизации на прокси
(опционально).
<br>Пример:
<pre>
allow *
parent 500 socks5 192.168.10.1 1080
parent 500 connect 192.168.10.1 3128
</pre>
Создает цепочку из одного звена (суммарный вес 1000), в котором один из двух
прокси выбирается случайно с равной вероятностью (веса равны). В цепочку
перенаправляются все исходящие соединения (определяется коммандой allow).
<pre>
allow * * * 80
parent 1000 socks5 192.168.10.1 1080
parent 1000 connect 192.168.20.1 3128
parent 300 socks4 192.168.30.1 1080
parent 700 socks5 192.168.40.1 1080
</pre>
Создает цепочку из трех звеньев (суммарный вес 3000). Первое звено -
192.168.10.1, второе - 192.168.20.1, а третье - либо 192.168.30.1 с
вероятностью 0.3 либо 192.168.40.1 с вероятностью 0.7
<br>Пара комманд
<pre>
allow &lt;arg&gt;
parent 1000 tcp &lt;ip&gt; &lt;port&gt;
</pre>
является полным аналогом команды
<pre>
redirect &lt;ip&gt; &lt;port&gt; &lt;arg&gt;
</pre>

</p>
		<li><A NAME="#BANDLIM">Как ограничивать скорости приема</A>
<p>
3proxy позволяет устанавливать фильтры ширины потребляемого канала. Для этого
служат команды bandlimin и nobandlimin (in в команде означает, что правило
применяется к входящему трафику).
<p><font face="courier">
bandlimin &lt;bitrate&gt; &lt;userlist&gt; &lt;sourcelist&gt; &lt;targetlist&gt; &lt;targetportlist&gt; &lt;commandlist&gt;
<br>nobandlimin &lt;userlist&gt; &lt;sourcelist&gt; &lt;targetlist&gt; &lt;targetportlist&gt; &lt;commandlist&gt;
</font>
</p>
<p>
bitrate указывает ширину потока в битах в секунду (именно в битах). В остальном
команды аналогичны командам allow/deny, с тем отличием, что команды bandlim
не имеют привязки к конкретному сервису, такому как HTTP прокси или SOCKS
и действуют на все сервисы, трафик по всем соединениям, попавшим под действие
правила суммируется, независимо от того, через какой сервис это соединение
установлено.
<pre>
  bandlimin 57600 * 192.168.10.16
  bandlimin 57600 * 192.168.10.17
  bandlimin 57600 * 192.168.10.18
  bandlimin 57600 * 192.168.10.19
</pre>
устанавалиет канал 57600 для каждого из четырех клиентов,
<pre>
  bandlimin 57600 * 192.168.10.16/30
</pre>
устанавалиает суммарный канал 57600 на 4х клиентов. Если необходимо, чтобы на
какой-то сервис не было ограничения ширины канала, следует указать nobandlim
для этого сервиса, например:
<pre>
  nobandlimin * * * 110
  bandlimin 57600 * 192.168.10.16/32
</pre>
разрешает клиентам неограниченный по скорости доступ по протоколу POP3.


</p>
		<li><A NAME="#TRAFLIM">Как ограничивать объем принимаемого трафика</A>
<p>
<p><font face="courier">
counter &lt;filename&gt;
<br>countin &lt;number&gt; &lt;type&gt; &lt;amount&gt; &lt;userlist&gt; &lt;sourcelist&gt; &lt;targetlist&gt; &lt;targetportlist&gt; &lt;commandlist&gt;
<br>nocountin &lt;userlist&gt; &lt;sourcelist&gt; &lt;targetlist&gt; &lt;targetportlist&gt; &lt;commandlist&gt;
</font>
</p>
<p>
	Команды позволяют установить лимит трафика на день, неделю или месяц.
	Сведения о трафике постоянно сохраняются в файле, указываемом командой
	counter, что делает подсчет трафика независимым от перезагрузки прокси.
	Действие команд countin/nocountin аналогично действию bandlimin/nobandlimin,
	number - задает последовательный номер счетчика, номер должен быть
	уникальным положительным числом. Значение 0 указывает, что сведения
	для данного счетчика не надо сохранять в файле.
	<br>
	type - тип ограничения. D (На день), W (на неделю) или M (на месяц).
	<br>
	amount - объем трафика на указанный период в мегабайтах.
</p>

		<li><A NAME="#NETLIST">Как строить списки сетей и пользователей</A>
<p>
Очень часто списки сетей и пользователей бывают достаточно громоздкими.
3proxy не поддерживает создание групп, но позволяет включение файлов. Это
означает, что для удобства администрирования выгодно хранить списки
пользователей и списки сетей в отдельных файлах и, при необходимости дать
пользователю доступ к тому или иному ресурсу, править файл со списком
пользователей или сетей вместо того, чтобы править сам файл 3proxy.cfg. В файле
3proxy.cfg файл со списком можно включить с помощью макроса $.
Поскольку в 3proxy есть ограничения на максимальный размер элемента
конфигурации, большие списки следует разбивать на несколько файлов и
использовать несколько записей списка контроля доступом.
В комплекте с 3proxy поставляется утилита dighosts, которая позволяет построить
список сетей по странице Web. Утилита позволяет поиск адресов на Web-странице
в формате АДРЕС МАСКА или АДРЕС/ДЛИНА. Утилиту dighosts можно вызвать во время
старта 3proxy используя команду system. Например:
<pre>
system "dighosts http://provider/network.html local.nets"
allow * * $local.networks
redirect proxy.provider 3128 *
proxy
flush
</pre>
В данном случае в файле local.networks генерируется список локальных сетей по
странице networklist.html. Далее используется список контроля доступа для того,
чтобы разрешить локальному прокси-серверу доступ к локальным сетям на прямую,
а все остальные запросы перенаправить на прокси-сервер провайдера.
</p>
		<li><A NAME="NSCACHING">Как управлять разрешением имен и кэшированием DNS</A>
<p>
	Для разрешения имен и кэширования применяются команды nserver,
	nscache и nsrecord.
<pre>
	nserver 192.168.1.2
	nserver 192.168.1.3
</pre>
	указывает 3proxy какие машины следует использвоать в качестве сервера
	DNS.  Сервер 192.168.1.3 будет использоваться толкьо при недостижимости
	192.168.1.2. Можно указать до 5 серверов. Если nserver не указан, будут
	использованы системные функции разрешения имен.
<pre>
	nscache 65535
</pre>
	указывает размер кэша для разрешения имен (обычно достаточно большой).
	Кэш исопльзуется только при явном указании nserver.
<pre>
	nsrecord server.mycompany.com 192.168.1.1
	nsrecord www.porno.com 0.0.0.0
</pre>
	добавляет статическую запись в кэш. Если исползован адрес 0.0.0.0 имя
	не будет разрешаться.
</p>
		<li><A NAME="DEMANDDIAL">Как устанавливать соединение по требованию</A>
<p>
	команда dialer устанавливает программу, которая будет запускаться при
	невозможности разрешить имя компьютера, например:
<pre>
	dialer "rasdial PROVIDER"
</pre>
	(описание rasdial можно найти на сервере поддержки Microsoft).
	Есть два аспекта: невозможность разрешения имени еще не свидетельствует
	об отсутствии соединения (это должна учитывать вызываемая программа),
	при использовании nscache имя может разрешиться при отсутствии
	соединения. В таких случаях полезно запрашивать заведомо несуществующий
	ресурс, например http://dial.right.now/.
</p>	

	</ul>

<hr>
	<li><A NAME="#CLIENT">Конфигурация клиентов</A>
<p>
	<ul>
		<li><A NAME="#IE">Как использовать 3proxy с Internet Explorer или другим браузером?</A>
<p>Мы будем рассматривать Interenet Explorer, т.к. у него больше особенностей
настройки, с другими браузерами должно возникать меньше вопросов.
<p>Есть два основных способа работы с 3proxy - использовать HTTP прокси (сервис
proxy) или SOCKS прокси (сервис socks). Обычно используется HTTP прокси. Для
SOCKS прокси можно использовать встроенную поддержку браузера или
программу-соксификатор (см.
<A HREF="#CAP">Как использовать 3proxy с программой не поддерживающей работу с прокси-сервером?</A>)
если встроенная поддержка SOCKS чем-то не устраивает или так удобнее. Не все
соксификаторы поддерживают входящие соединения, чтобы не было проблем с
протоколом FTP лучше использовать пассивный режим (в Internet Explorer 5.5SP2
и выше "Использовать пассивный FTP-протокол").
<p>Для конфигурации HTTP прокси необходимо указать внутренний адрес и порт
установленый для службы proxy в конфигурации 3proxy (либо как "Один
прокси-сервер для всех протоколов" либо для HTTP, Secure, FTP). Поддержка
Gopher в 3proxy в настоящий момент не реализована, но этот устаревший протокол
в Internet практически не используется. Для нормальной работы FTP через HTTP
прокси необходимо отключить представление для папок FTP (FTP folder view),
он включен по-умолчанию, т.к. иначе FTP будет работать без использвания HTTP
прокси. HTTP прокси использует пассивный режим для протокола FTP. В настройках
3proxy рекомендует разрешть метод HTTP_CONNECT только для порта назначения 443.
Если метод HTTP_CONNECT не разрешен, то не будет работать протокол HTTPS, если
он разрешен для всех портов, то можно обойти журналирование запросов для
протокола HTTP).
Для работы с HTTP прокси может использоваться авторизация по паролю (strong). 
<p>Для использования SOCKS необходимо настроить только SOCKS прокси (иначе для
тех протоколов, для которых указан прокси сервер пркоси сервер будет
использоваться как HTTP прокси). Internet Explorer (включая IE 6.0SP1)
поддерживает только SOCKSv4. В качестве имени пользователя передается имя
пользователя использованное для входа в систему. Передача пароля в SOCKSv4 не
поддержвиается, поэтому авторизация по паролю (strong) не доступна. Можно
исопльзовать имя пользователя переданное браузером в ACL для iponly-авторизации,
но при этом необходимо иметь ввиду ненадежность такого способа. При работе через
SOCKS Internet Explorer (и большая часть других браузеров) используют пассивный
режим работы для FTP. При использовании SOCKS можно получит в журнале (логах)
URL запрашиваемых страниц, для этого необходимо создать внутреннее
перенаправление в HTTP прокси для порта 80 (и других портов используемых для
HTTP) в локальный HTTP прокси (proxy), порт 21 (и другие порты используемые
FTP) в FTP прокси. При перенаправлении соединений в FTP прокси, нужно иметь
ввиду, что FTP создает вторичные соединения для передачи данных. Для этого,
во-первых, необходимо разрешит доступ к внутреннему интерфейсу прокси сервера
через SOCKS (что не очень безопасно), во-вторых принять меры, чтобы в SOCKS
такие соединения на внутренний интерфейс не тарифицировались (т.к. иначе они
будут тарифицироваться дважды - SOCKS и FTP прокси).
<p>Internet Explorer и другие продвинутые браузеры поддерживают автоматическую
конфигурацию прокси-сервера в полностью автоматическом или полуавтоматическом
режимах. Автоматическая конфигурация позволяет задать достаточно сложные
правила, позволяющие клиентам использовать (ил ине использвоать) разные
прокси-серверы для доступа к разным ресурсам. Эта возможность разбирается в
статьях
<br>Microsoft: Q296591 A Description of the Automatic Discovery Feature
<br><A HREF="http://support.microsoft.com/default.aspx?scid=kb;EN-US;296591">http://support.microsoft.com/default.aspx?scid=kb;EN-US;296591</A>
<br>Netscape: Navigator Proxy Auto-Config File Format
<br><A HREF="http://wp.netscape.com/eng/mozilla/2.0/relnotes/demo/proxy-live.html">http://wp.netscape.com/eng/mozilla/2.0/relnotes/demo/proxy-live.html</A>

		<li><A NAME="#FTP">Как настраивать FTP клиента?</A>
<p>
Настройка FTP клиента для работы через SOCKS прокси не отличается от настройки
<A HREF="#IE">браузера</A>.
<p>
Для работы с FTP клиентом через FTP прокси (ftppr) есть несколько возможностей.
Допустим, нам необходимо подключиться ко внешнему FTP Серверу со следующими
параметрами:
<pre>
	Адрес:		ftp.security.nnov.ru
	Username:	ftpuser
	Password:	********
</pre>
<p>Работа с клиентом не поддерживающим FTP прокси. В качестве адреса FTP
сервера указывается адрес прокси (например proxy.security.nnov.ru).
В качестве имени пользователя
ftpuser@ftp.security.nnov.ru. Если для доступа к службе ftppr требуется
авторизация по имени и паролю с именем pruser и паролем prpass, то в качестве
имени пользователя необходимо указать pruser:prpass:ftpuser@ftp.security.nnov.ru.
Если FTP клиент требует указания полной URL для подключения к серверу, то она
должна выглядеть как
<p>
pruser:prpass:ftpuser@ftp.security.nnov.ru:********@proxy.security.nnov.ru
<p>
Не все клиенты обработают это корректно, но в большинстве случаев этого не
требуется.
<p>Работа с клиентом поддерживающим FTP прокси. А таком случае, если 3proxy
не требует авторизации по паролю, то настройки стандартны для клиента. Если
требуется доступ по паролю, то в качестве имени пользователя указывается
pruser:prpass:ftpuser.

		<li><A HREF="#SMTP">Как использовать SMTP через 3proxy</A>
В большинстве случаев достаточно установить отображение (tcppm) TCP порта 25 на
аналогичный порт SMTP-Сервера провайдера. В конфигурации клиента указать
внутренний адрес прокси в качестве адреса SMTP-сервера.

		<li><A NAME="#POP3">Как использовать POP3 proxy?</A>
<p>
Предположим, у вас есть следующие настройки для получения почты:
<pre>
	POP3 server:	pop3.security.nnov.ru
	Login:		user
	Password:	********
</pre>
В настройках почтовой программы следует указать:
<pre>
	POP3 server:	(адрес прокси-сервера)
	Login:		user@pop3.security.nnov.ru
	Password:	********
</pre>
Имя пользователя может само по себе содержать знак '@'. Если в примере выше
имя пользователя user@security.nnov.ru, имя пользвоателя для доступа к
прокси-серверу должно быть user@security.nnov.ru@pop3.security.nnov.ru. Если
pop3pr требует авторизации по имени/паролю (например pruser и prpass), то их
необходимо указать в начале имени пользователя отдели знаком ':', т.е, для
самого тяжелого случая pruser:prpass:user@security.nnov.ru@pop3.security.nnov.ru
		<li><A NAME="#CAP">Как использовать 3proxy с программой не поддерживающей работу с прокси-сервером?</A>
<p>
Можно использовать любую программу-редиректор, например
<A HREF="http://www.socks.permeo.com">SocksCAP</A> или
<A HREF="http://www.freecap.ru">FreeCAP</A>. 3proxy поддерживает исходящие
и обратные TCP и UDP соединения, но редиректоры могут иметь свои ограничения,
кроме того, некоторые плохо написаные приложения не поддаются "соксификации".
Если программе требуется обращаться к небольшому набору серверов 
(например игровых), то проблему можно решить с помощью портмаппинга.
		<li><A NAME="#GAMES">Как использовать 3proxy с играми?</A>
Оптимальный варинт - использовать соксификатор (<A HREF="#CAP">Как использовать
3proxy с программой не поддерживающей работу с прокси-сервером?</A>). 
<A HREF="http://www.freecap.ru/">FreeCap 3.13 </A> проверен с играми на движке
Unreal (включая Unreal Tournament), Half-Life (включая Counter Strike) и
другими. Если по каким-то причинам соксификатор не работает или недоступен,
то необходимо использовать отображения портов (обычно игры, 
кроме mood-подобных, работают по протоколу UDP, надо исопльзовать udppr).
Нужно иметь ввиду, что для udppr требуется отдельный маппинг для каждого
серверного порта и каждого клиента. Например, если есть один сервер с портами
2115 и 2116 и три клиента, то нужно создать 6 разных маппингов, например
<pre>
 12115 -> server:2115
 22115 -> server:2115
 32115 -> server:2115
 12116 -> server:2116
 22116 -> server:2116
 32116 -> server:2116
</pre>
В игровом клиент адрес и порт с маппингом следует указывать вместо адреса
и порта сервера.

	</ul>
<hr>
	<li><A NAME="#ADMIN">Администрирование и анализ информации</A>
<p>
	<ul>
		<li><A NAME="#NEWVERSION">Где взять свежую версию</A>
<p>
Свежую версию всегда можно взять
<A HREF="http://www.security.nnov.ru/soft/3proxy">здесь</A>, обратите внимание,
что в новой версии может измениться порядок лицензирования или комманды
конфигурации, поэтому, прежде чем устанавливать новую версии программы,
обязательно ознакомьтесь с документацией.
</p>
		<li><A NAME="#NTSERVICE">Как управлять службой 3proxy в Windows</A>
<p>
При установке 3proxy в качестве системной службы, сервером поддерживаются
команды запуска, остановки, временной приостановки и продолжения.
При временной приостановке сервер перестает принимать новые запросы от,
клиентов но обработка ранее поступивших запросов продолжается. Сервер не
подерживает динамическое изменение конфигурации, т.е. после изменения
конфигурации 3proxy необходимо перезапустить.
Управлять запуском, остановкой, приостановкой и продолжением можно либо
через служебную программу "Службы" (Services) либо через команду net:
<pre>
	net start 3proxy
	net stop 3proxy
	net pause 3proxy
	net continue 3proxy
</pre>
</p>
		<li><A NAME="#ERRORS">Коды ошибок в журнале</A>
<p>
	<ul>
		<li>0 - операция завершена успешно (в случае установленного
			соединения - соединение закрыто корректно одной из
			сторон).
		<li>1-9 - ошибки авторизации
		<li>1 - доступ закрыт ACL (deny)
		<li>2 - перенаправление (не должно быть в журнале)
		<li>3 - нет записи ACL для данного соединения
		<li>4 - не определено имя пользователя для auth strong
		<li>5 - не найдено имя пользователя для auth strong
		<li>6 - неверный пароль (открытый текст)
		<li>7 - неверный пароль (crypt)
		<li>8 - неверный пароль (NT)
		<li>9 - недостаточно данных для перенаправления (не должно быть в журнале)
		<li>10 - превышен лимит трафика
		<li>11-19 - ошибки соединения
		<li>11 - невозможно создать сокет socket()
		<li>12 - невозможно выбрать интерфейс bind()
		<li>13 - сбой подключения connect()
		<li>14 - сбой getpeername()
		<li>20-29 - общие ошибки
		<li>21 - ошибка выделения памяти
		<li>30-39 - ошибки перенаправления CONNECT
		<li>31 - невозможно послать запрос к CONNECT прокси
		<li>32 - превышено ожидание или некорректный ответ CONNECT прокси
		<li>33 - CONNECT прокси не может установить соединение
		<li>34 - превышено ожидание или обрыв соединения при согласовании CONNECT соединения
		<li>40-49 - ошибки перенаправления SOCKS4
		<li>50-69 - ошибки перенаправления SOCKS5
		<li>70-79 ошибки установки родительского соединения, аналогичны 1x
		<li>90-99 - ошибки разрыва соединения
		<li>90 - соединение прервано из-за превышения трафика
		<li>91 - соединение неожиданно прерванно сервером
		<li>92 - ошибка отправки данных
		<li>93 - соединение неожиданно прервано клиентом
		<li>94 - ошибка сокета
		<li>97 - истекло время ожидания
		<li>98 - исчерпан лимит данных сервера (не должно быть в журнале)
		<li>99 - исчерпан лимит данных клиента (не должно быть в журнале)
		<li>100 - не найден IP адрес по запросу клиента
		<li>200-299 - ошибки UDP portmapper
		<li>300-399 - ошибки TCP portmapper
		<li>400-499 - ошибки SOCKS proxy
		<li>500-599 - ошибки HTTP proxy
		<li>600-699 - ошибки POP3 proxy
		<li>999 - функция не реализована
	</ul>
</p>
	</ul>
<hr>
	<li><A NAME="#QUEST">Как задать вопрос, которого нет в How To?</A>
<p>
	Задайте его на <A HREF="http://www.security.nnov.ru/board/?boardnum=3">форуме</A>.
	Только не пытайтесь задавать какие-либо вопросы, если вы просто не поняли этот
	How To.
 </ul>                                       

<pre>$Id: howtor.html,v 1.8 2005/04/25 13:58:19 vlad Exp $</pre>