Свой прокси-сервер на VPS: 3proxy и Squid с нуля

Публичные прокси медленные, залоганные и делят IP на всех. Собственный прокси на VPS — это выделенный чистый IP, полный контроль и никаких чужих глаз. Поднимем два варианта: лёгкий 3proxy (HTTP + SOCKS5) и мощный Squid с кэшем и ACL.

3proxy: лёгкий HTTP + SOCKS5

3proxy — компактный демон, дающий сразу HTTP-прокси и SOCKS5 с авторизацией. Ставим из репозитория или собираем:

apt update && apt install -y 3proxy   # если есть в репозитории
# либо сборка из исходников:
# git clone https://github.com/3proxy/3proxy && cd 3proxy && make -f Makefile.Linux

Конфиг /etc/3proxy/3proxy.cfg:

daemon
nserver 1.1.1.1
nscache 65536
users proxyuser:CL:СильныйПароль
auth strong
log /var/log/3proxy.log D
rotate 30

proxy -n -a -p3128
socks -p1080

proxy — HTTP на порту 3128, socks — SOCKS5 на 1080, auth strong требует логин/пароль. Запускаем:

systemctl enable --now 3proxy
ufw allow 3128/tcp && ufw allow 1080/tcp

Разберём конфиг построчно. daemon переводит процесс в фоновый режим. nserver задаёт DNS-резолвер, nscache 65536 кэширует ответы и ускоряет обращения. Строка users описывает учётки: формат логин:CL:пароль, где CL означает пароль в открытом виде — для боевого сервера лучше хеш через MD5 или NT. auth strong включает обязательную авторизацию. log с флагом D пишет лог с ежедневной ротацией, rotate 30 хранит логи 30 дней. Такой конфиг даёт сразу два независимых прокси на одном процессе — это удобно и экономит память.

Проверяем прокси

С клиента гоняем запрос через оба протокола — должен вернуться IP вашего VPS:

curl -x http://proxyuser:пароль@server_ip:3128 https://ifconfig.co
curl -x socks5://proxyuser:пароль@server_ip:1080 https://ifconfig.co

Если IP совпал с сервером — прокси работает. Если запрос висит — проверьте фаервол и что демон слушает порт: ss -tlnp | grep -E '3128|1080'.

Squid: кэш, ACL и тонкий контроль

Squid тяжелее, но даёт кэширование, детальные ACL и белые списки. Ставим:

apt update && apt install -y squid apache2-utils

Авторизация по паролю через htpasswd:

htpasswd -c /etc/squid/passwd proxyuser

Ключевые строки /etc/squid/squid.conf:

auth_param basic program /usr/lib/squid/basic_ncsa_auth /etc/squid/passwd
acl authenticated proxy_auth REQUIRED
http_access allow authenticated
http_access deny all
http_port 3128

# скрываем, что это прокси
forwarded_for delete
via off
request_header_access X-Forwarded-For deny all

systemctl restart squid

Строки forwarded_for/via убирают заголовки, выдающие прокси — трафик выглядит как обычный клиентский.

Squid хорош там, где через один выход ходят много клиентов и повторяются одни и те же ресурсы: кэш отдаёт статику локально, экономя канал и ускоряя загрузку. ACL позволяют строить сложные политики — разрешить одним подсетям одни домены, запретить другим тяжёлые файлы, ограничить время работы. Для простого личного прокси это избыточно, зато для небольшой команды или офиса Squid закрывает и контроль доступа, и учёт трафика через встроенную статистику.

Безопасность прокси: не станьте open proxy

Самая частая ошибка — открытый прокс без авторизации. Его за часы находят сканеры и начинают гнать через вас спам и атаки, после чего IP и сервер блокируют.

• Всегда включайте auth strong (3proxy) или proxy_auth (Squid)
• Ограничьте доступ по IP в фаерволе, если клиентов немного
• Смените стандартный порт 3128 на нетиповой
• Смотрите логи на подозрительные объёмы

ufw delete allow 3128/tcp
ufw allow from ВАШ_IP to any port 3128 proto tcp

Выделенный IP решает всё

Ценность своего прокси — в чистом выделенном IP, который принадлежит только вам, и в скорости. На VPS MAATRIX это AMD EPYC + NVMe от $8/мес, локации UK, США и РФ — важно, если нужен именно зарубежный выход. root-доступ ставит 3proxy или Squid за 20 минут, а оплата картой РФ, СБП, криптой или токеном MAAT снимает проблему зарубежных платежей. Один сервер — и HTTP-прокси, и SOCKS5, и VPN при желании.

Частые вопросы