Un archivo de configuración automática de proxy ( PAC ) define cómo los navegadores web y otros agentes de usuario pueden elegir automáticamente el servidor proxy (método de acceso) apropiado para recuperar una URL determinada .
Un archivo PAC contiene una función JavaScript . Esta función devuelve una cadena con una o más especificaciones de método de acceso. Estas especificaciones hacen que el agente de usuario utilice un servidor proxy particular o se conecte directamente. [1] FindProxyForURL(url, host)
Varias especificaciones proporcionan un respaldo cuando un proxy no responde. El navegador busca este archivo PAC antes de solicitar otras URL. La URL del archivo PAC se configura manualmente o se determina automáticamente mediante el protocolo de descubrimiento automático de proxy web.
Los navegadores web modernos implementan varios niveles de automatización; Los usuarios pueden elegir el nivel que sea adecuado a sus necesidades. Los siguientes métodos se implementan comúnmente:
localhost) que omitirán este proxy.El formato de archivo de configuración automática de Proxy fue diseñado originalmente por Netscape en 1996 para Netscape Navigator 2.0 [2] y es un archivo de texto que define al menos una función de JavaScript.
Por convención, el archivo PAC normalmente se denomina proxy.pac. El estándar WPAD utiliza wpad.dat. Se espera que el .pacarchivo contenga al menos una función:
FindProxyForURL(url, host), con dos argumentos y valor de retorno en formato específico:urles la URL del objetohostes el nombre de host derivado de esa URL. Sintácticamente es la misma cadena entre ://y la primera :o /después. [3]return "..."es una cadena de firmas en el siguiente formato (ver ejemplos a continuación): [nota 1] returnValue = tipo host , ":" , puerto ,[{ ";" , valor de retorno }]; tipo = "DIRECTO" | "PROXY" | "CALCETINES" | "HTTP" | "HTTPS" | "CALCETINES4" | Host "SOCKS5" = UTF16String (* cadena UTF16 compatible con ECMA262 *) puerto = UTF16String (* Dígitos *)
Para usarlo, se publica un archivo PAC en un servidor HTTP y se indica a los agentes de usuario del cliente que lo usen, ya sea ingresando la URL en la configuración de conexión de proxy del navegador o mediante el uso del protocolo WPAD. La URL también puede hacer referencia a un archivo local como por ejemplo: file:///etc/proxy.pac.
Aunque la mayoría de los clientes procesarán el script independientemente del tipo MIME devuelto en la respuesta HTTP, en aras de la integridad y para maximizar la compatibilidad, el servidor HTTP debe configurarse para declarar el tipo MIME de este archivo como application/x-ns-proxy-autoconfigo application/x-javascript-config.
Hay poca evidencia que favorezca el uso de un tipo MIME sobre el otro. Sin embargo, sería razonable suponer que application/x-ns-proxy-autoconfigserá compatible con más clientes de application/x-javascript-configlos que se definió en la especificación original de Netscape, siendo este último tipo el que se utiliza más recientemente.
Un ejemplo muy simple de un archivo PAC es:
función FindProxyForURL ( url , host ) { return 'PROXY proxy.example.com:8080; DIRECTO' ; } Esta función indica al navegador que recupere todas las páginas a través del proxy en el puerto 8080 del servidor proxy.example.com. Si este proxy no responde, el navegador contacta directamente con el sitio web, sin utilizar un proxy. Este último puede fallar si los firewalls u otros dispositivos de red intermediarios rechazan solicitudes de fuentes distintas al proxy, una configuración común en las redes corporativas.
Un ejemplo más complicado demuestra algunas funciones de JavaScript disponibles para usar en la FindProxyForURLfunción:
function FindProxyForURL ( url , host ) { // nuestras URL locales de los dominios debajo de example.com no necesitan un proxy: if ( shExpMatch ( host , '*.example.com' )) { return 'DIRECT' ; } // Se accede a las URL dentro de esta red a través // del puerto 8080 en fastproxy.example.com: if ( isInNet ( host , '10.0.0.0' , '255.255.248.0' )) { return 'PROXY fastproxy.example.com:8080 ' ; } // Todas las demás solicitudes pasan por el puerto 8080 de proxy.example.com. // si esto no responde, vaya directamente a WWW: return 'PROXY proxy.example.com:8080; DIRECTO' ; } De forma predeterminada, la palabra clave PROXY significa que se utiliza un proxy correspondiente al protocolo de la solicitud original, ya sea http, https o ftp. Otros tipos de palabras clave y proxy admitidos incluyen:
La codificación de los scripts PAC generalmente no se especifica, y diferentes navegadores y pilas de red tienen diferentes reglas sobre cómo se pueden codificar los scripts PAC. En general, los scripts PAC totalmente ASCII funcionarán con cualquier navegador o pila de red. Mozilla Firefox 66 y versiones posteriores también admiten scripts PAC codificados como UTF-8 . [4]
DnsResolveLa función dnsResolve(y otras funciones similares) realiza una búsqueda de DNS que puede bloquear el navegador durante mucho tiempo si el servidor DNS no responde.
myIpAddressmyIpAddressA menudo se ha informado que la función proporciona resultados incorrectos o inutilizables, por ejemplo 127.0.0.1, la dirección IP del host local. [5]
Puede ser útil eliminar en el archivo host del sistema (por ejemplo, /etc/hostsen Linux) cualquier línea que haga referencia al nombre del host de la máquina, mientras que la línea 127.0.0.1 localhostpuede y debe permanecer. [ cita necesaria ]
En 2013, los investigadores comenzaron a advertir sobre los riesgos de seguridad de la configuración automática del proxy. [6] La amenaza implica el uso de un PAC, descubierto automáticamente por el sistema, para redirigir el tráfico del navegador de la víctima a un servidor controlado por el atacante.
Otro problema con pac-file es que la implementación típica implica la recuperación http de texto sin cifrar, que no incluye ninguna característica de seguridad como firma de código o certificados web. Los atacantes pueden realizar ataques de intermediario fácilmente.
El almacenamiento en caché de los resultados de la configuración automática del proxy por nombre de dominio en Internet Explorer 5.5 o posterior de Microsoft limita la flexibilidad del estándar PAC. De hecho, puede elegir el proxy según el nombre de dominio, pero no según la ruta de la URL. Alternativamente, debe deshabilitar el almacenamiento en caché de los resultados de la configuración automática del proxy editando el registro . [7]
Se recomienda utilizar siempre direcciones IP en lugar de nombres de dominio de host en la isInNetfunción para lograr compatibilidad con otros componentes de Windows que utilizan la configuración PAC de Internet Explorer, como .NET 2.0 Framework . Por ejemplo,
if ( isInNet ( host , dnsResolve ( dominio de muestra ), '255.255.248.0' )) {} // .NET 2.0 resolverá el proxy correctamente if ( isInNet ( host , sampledomain , '255.255.248.0' )) {} // .NET 2.0 no resolverá el proxy correctamente La convención actual es realizar una conmutación por error a una conexión directa cuando un archivo PAC no está disponible.
Poco después de cambiar entre configuraciones de red (por ejemplo, al ingresar o salir de una VPN), dnsResolvees posible que se obtengan resultados obsoletos debido al almacenamiento en caché de DNS.
Por ejemplo, Firefox suele mantener en caché 20 entradas de dominio durante 60 segundos. Esto se puede configurar mediante las variables de configuración network.dnsCacheEntriesy network.dnsCacheExpiration. También puede ser útil vaciar la caché DNS del sistema , lo que se puede lograr, por ejemplo, en Linux con sudo service dns-clean starto en Windows con ipconfig /flushdns.
En Internet Explorer 9, isInNet('localHostName', 'second.ip', '255.255.255.255')vuelve truey se puede utilizar como solución alternativa.
La myIpAddressfunción asume que el dispositivo tiene una única dirección IPv4. Los resultados no están definidos si el dispositivo tiene más de una dirección IPv4 o tiene direcciones IPv6.
Otras limitaciones están relacionadas con el motor JavaScript en la máquina local.
Los archivos PAC más avanzados pueden reducir la carga en los servidores proxy, realizar equilibrio de carga, conmutación por error o incluso listas en blanco y negro antes de que la solicitud se envíe a través de la red. Se pueden devolver varios proxies:
devuelve 'PROXY proxy1.ejemplo.com:80; PROXY proxy2.ejemplo.com:8080' ; Lo anterior probará primero con proxy1 y, si no está disponible, intentará con proxy2.