sergio/takana

1# squid 7.7 — el proxy de salida (forward proxy) con autenticación básica y ACLs por IP.
2#
3# ── POR QUÉ ENTRA AL CORPUS (SDD 28 §6.2 y §6.27) ──────────────────────────────────────────────
4# Es uno de los servicios que la mudanza de gioser tiene que PRODUCIR como receta, no sólo mover:
5# en la caja vieja corre sobre binarios de Artix y nadie sabría reconstruirlo. El 2026-09-15 se
6# levantó primero dentro de una jaula `qorpa` porque estaba en uso —`CONNECT api.anthropic.com` y
7# `claude.ai` en el minuto anterior— y eso lo destrabó en minutos; esta receta es la respuesta
8# definitiva, y cuando esté proyectada la instancia se tira. La diferencia con `php-fpm`, que se
9# queda enjaulado para siempre, es que squid es C++ y el lab lo construye.
10#
11# ── LA FUENTE VIENE DE GITHUB, Y NO ES CAPRICHO ────────────────────────────────────────────────
12# `https://www.squid-cache.org/Versions/v7/squid-7.7.tar.xz` **devuelve 200 con una página HTML de
13# 8985 bytes**, no el tarball. Un `sha256` sobre eso habría quedado pineado a una página de error,
14# que es la forma más tonta de anclar una fuente. El release de GitHub sí trae el tarball de
15# distribución (con `configure` ya generado: no hace falta autoreconf ni autotools del lab).
16# La URL es locator y no entra en `hash_inputs` (ADR 0013 §1) ⇒ espejarla después es gratis.
17#
18# ── LAS PERILLAS, Y POR QUÉ CADA GRUPO ─────────────────────────────────────────────────────────
19# · `--enable-auth-basic=NCSA` y nada más de auth: la config de producción usa exactamente
20#   `basic_ncsa_auth` contra un fichero `passwd`. Negotiate/NTLM/Digest arrastran krb5, SASL y LDAP.
21# · `--without-openssl`: el proxy no hace ssl-bump ni `https_port`; un `CONNECT` es un túnel ciego y
22#   no necesita TLS de este lado. Menos superficie y una dep menos.
23# · `--disable-arch-native`: el default ya es ese, y se escribe igual porque es la perilla que
24#   hornearía la ISA del builder — el SIGILL en otra CPU que ya costó una vez (ver la nota de
25#   `-mcpu=baseline` en el sandbox).
26# · `--disable-eui` / `--disable-snmp` / `--disable-wccp*` / `--disable-htcp` / `--disable-icap-client`:
27#   protocolos de red que este proxy no habla. `eui` además quiere las cabeceras de ARP del sistema.
28# · `--disable-translation`: las páginas de error localizadas se GENERAN con `po2html`, que el lab
29#   no trae. El inglés sale igual.
30# · ⚠ `--enable-log-daemon-helpers=file` **no es opcional aunque suene a extra**: el default de
31#   `access_log` es `daemon:/var/log/squid/access.log`, y sin ese helper squid arranca, avisa… y
32#   muere con `FATAL: logfile_daemon /usr/lib/squid/log_file_daemon: (2) No such file or directory`.
33#   La primera versión de esta receta lo apagaba junto al resto de los helpers y sólo se vio al
34#   levantar el servicio con la config real — nunca al construir. Los que sí sobran (DB, reescritura
35#   de URL, ACL externas) siguen apagados.
36name    = "squid"
37version = "7.7"
38license = "GPL-2.0-or-later"
39
40[source]
41tarball = "https://github.com/squid-cache/squid/releases/download/SQUID_7_7/squid-7.7.tar.xz"
42sha256  = "e3bd613b91b1c498ec2992276063342a85cd6edddd5521294e04f44bc055da9b"
43
44[build]
45compiler = "zig-cc"
46target   = "x86_64-linux-musl"
47link     = "static"
48# Split de la info de depuración (SDD 23): squid sin strip son decenas de megas de DWARF.
49strip_debug = true
50
51[build.phases]
52configure = '''
53./configure --build=$CBUILD --host=$CHOST --prefix=/usr \
54	--sysconfdir=/etc/squid --libexecdir=/usr/lib/squid --datadir=/usr/share/squid \
55	--localstatedir=/var --with-logdir=/var/log/squid --with-swapdir=/var/cache/squid \
56	--with-pidfile=/run/squid.pid --with-default-user=proxy \
57	--disable-arch-native --disable-strict-error-checking --disable-translation \
58	--enable-auth-basic=NCSA --disable-auth-digest --disable-auth-negotiate --disable-auth-ntlm \
59	--disable-external-acl-helpers --disable-url-rewrite-helpers --disable-storeid-rewrite-helpers \
60	--enable-log-daemon-helpers=file --disable-security-cert-validators --disable-security-cert-genrators \
61	--disable-icap-client --disable-snmp --disable-wccp --disable-wccpv2 --disable-eui --disable-htcp \
62	--without-openssl --without-gnutls --without-nettle --without-cap --without-systemd \
63	--without-ldap --without-sasl --without-gss --without-mit-krb5 --without-heimdal-krb5 \
64	--without-tdb --without-cppunit
65# ⚠ EL `libtool` GENERADO AÑADE `--export-dynamic` SOLO, y eso desactiva el enlace estático.
66# Ver la nota larga de `compile`: el wrapper del lab quita `-static` de cualquier enlace que
67# mencione `--export-dynamic`, y libtool lo añade por su cuenta en cuanto hay un `-dlopen` —o sea
68# que no alcanza con sacarlo de `squid_LDFLAGS`. Se vacía la plantilla en el `libtool` generado,
69# que es local a este build y no toca la fuente. Con guarda: si el campo no aparece, ABORTA, porque
70# un `sed` que no acierta deja pasar el problema y el binario sale dinámico sin que nada falle.
71grep -q '^export_dynamic_flag_spec=' libtool || {
72	echo 'squid: el libtool generado no declara export_dynamic_flag_spec — revisar antes de sellar' >&2
73	exit 1
74}
75sed -i 's|^export_dynamic_flag_spec=.*|export_dynamic_flag_spec=|' libtool
76'''
77# ── DOS COSAS EN LA LÍNEA DE ENLACE, Y LA SEGUNDA SÓLO SE VE MIRANDO EL BINARIO ────────────────
78# `-all-static`: squid enlaza CON LIBTOOL, que lee el `-static` del lab como «preferí mis `.a`» y
79# NO como flag del enlazador ⇒ `link = "static"` se ignoraría en silencio y el binario saldría
80# dinámico. Es el patrón de curl/jq/parted, y la trampa está medida en
81# [[link-static-mentira-libtool]]. Va también en `install` porque libtool RELINKEA al instalar.
82#
83# ⚠ `squid_LDFLAGS=`: el `Makefile.am` de squid declara `squid_LDFLAGS = -export-dynamic -dlopen
84# force` (línea 562) para los módulos de eCAP, que acá están apagados. Y **el wrapper del lab quita
85# `-static` de cualquier enlace que mencione `--export-dynamic`** —a propósito, para que las
86# extensiones `.so` de Python y compañía se puedan enlazar—, así que ese flag de squid desactivaba
87# el estático del proyecto entero. MEDIDO: el primer sellado dio un `squid` **dinámico con
88# `NEEDED libc.so`** mientras sus helpers salían estáticos, lo que además lo hace inerte en
89# cualquier imagen sin cargador ([[needed-colgante-libstdcxx]]). Redefinir la variable por línea de
90# comandos es la vía de automake para anular flags por-objetivo sin parchear la fuente.
91#
92# ⚠⚠ Y se queda `-dlopen force`, que parecía sobrar: vaciar la variable ENTERA rompe el enlace con
93# `undefined symbol: lt__PROGRAM__LTX_preloaded_symbols`. Ese símbolo lo emite el propio libtool en
94# el `squidS.o` que genera **porque hay un `-dlopen`**, y `libltdlc.a` lo referencia siempre. O sea:
95# de los dos flags, el que estorba es `-export-dynamic` y el otro es estructural. Sale una sola
96# medición distinguirlos, y adivinar cuesta un build entero.
97compile = 'make -j"$(nproc)" LDFLAGS="-all-static -no-pie" squid_LDFLAGS="-dlopen force"'
98install = 'make DESTDIR=/out install LDFLAGS="-all-static -no-pie" squid_LDFLAGS="-dlopen force"'
99
100[deps]
101build = ["binutils"]
102
103# ── LA CUENTA (SDD 30) ──────────────────────────────────────────────────────────────────────────
104# Un proxy que atiende la red pública no corre como root: squid baja de privilegio al usuario que
105# le fijó `--with-default-user`. Si la cuenta no existe, el `setuid` falla y squid muere; por eso el
106# servicio de abajo lo comprueba y sale 78 nombrándolo, en vez de dejar un bucle de reinicios.
107[[user]]
108name = "proxy"
109uid  = 968
110home = "/var/cache/squid"
111
112# ── EL SERVICIO QUE ESTE PAQUETE TRAE (SDD 30) ──────────────────────────────────────────────────
113# Fuera de `hash_inputs`: declarar esto NO re-hashea squid.
114#
115# ⚠ La CONFIG no viene acá y es a propósito: `squid.conf`, el `passwd` de los usuarios y las ACL de
116# IPs son datos del SITIO —en gioser son 412 K con tres cuentas y 40 IPs autorizadas— y viajan con
117# la mudanza, no con el paquete. El servicio arranca sólo si están, y lo dice.
118#
119# ⚠ `-N` (sin daemonizar) porque el supervisor es arje: un servicio que se va a segundo plano deja
120# al init cuidando un proceso que ya murió. `-YC` es lo que corría en gioser y se conserva.
121[[service]]
122label      = "squid"
123id         = "01M2EKDA00SQ7D5X2KB9WHNT4P"
124exec       = "/bin/busybox"
125argv = ["sh", "-c", "test -f /etc/squid/squid.conf || { echo 'squid: falta /etc/squid/squid.conf — es config del SITIO (con su `passwd` y sus ACL), viene con la mudanza y no con el paquete' >&2; exit 78; }; /bin/grep -q '^proxy:' /etc/passwd || { echo 'squid: no existe el usuario `proxy` en /etc/passwd y squid NO se queda como root' >&2; exit 78; }; mkdir -p /var/log/squid /var/cache/squid; chown proxy:proxy /var/log/squid /var/cache/squid; exec /usr/sbin/squid -YC -f /etc/squid/squid.conf -N"]
126envp       = [["PATH", "/usr/bin:/bin"], ["HOME", "/var/cache/squid"], ["USER", "proxy"]]
127networking = "full"
128cgroup     = "arje.slice/squid"
129restart    = { initial_ms = 1000, max_ms = 30000 }