转自：http://hi.baidu.com/owee/blog/item/53e74889355c53b20f24445d.html
文章写的很好！值得推荐！
LINUX网络工程师教程
2007-04-19 12:57
|
SQUID代理服务器
教学内容： ■ 代理服务器概述 ■ Squid安装和配置 ■ Squid配置案例 教学目标： ■ 了解代理服务器工作原理 ■ 理解Squid服务器配置选项 ■ 掌握Squid服务器的安装和配置 教学重点： ■ Squid的安装和配置 ■ Squid配置选项 教学难点： ■ 透明代理 一． 代理服器概述 1． 什么是代理服务器 代理服务器（Proxy Server）是指代理服务的双宿主主机，是个人网络和Internet服务商之间的中间代理机构，它负责转发合法的网络信息，对转发进行控制和登记。代理服务器作为连接Internet(广域网)与Intranet（局域网）的桥梁 2． 代理服务器的功能 充当局域网与外部网络的连接出口 作为防火墙 网址过滤和访问权限限制 提高访问速度 3． 代理服务器的工作过程 （1） 客户机发送访问请求给代理服务器 （2） 代理服务器联系客户机请求的服务器，缓存客户访问内容 （3） 客户机访问代理服务器的缓存 4． 代理服务器的优缺点 （1） 优点 保护内部主机免受外部主机的*** 提供高速的缓存功能 在应用网关上可以强制执行用户的身份认证 内容过滤和简化包过滤 具有完整的日志 （1） 缺点 支持的协议有限 不能防止数据驱动侵袭 建立了一个网络的服务瓶颈 5． Squid简介 Squid是一个高性能的代理缓存服务器，它支持FTP、GOPHER和HTTP协议 Squid支持SSL，支持访问控制 Squid用一个单独的、非模块化的、I/O驱动的进程来处理所有的客户请求 Squid代理服务器可以分为：普通代理服务器、透明代理服务器、反向代理服务器 二． Squid的安装和配置 1． 安装Squid （1）RPM包方式 #rpm -ivh squid-2.5.STABLE1-2.i386.rpm（1#CD） （2）编译方式 #tar -xzvf squid-2.5.STABLE.tar.gz #cd squid-2.5.STABLE #./configure --prefix=/var/squid --sysconfdir=/etc --enable-arp-acl --enable-linux-netfilter --enable-pthreads --enable-err-language="Simplify_Chinese" --enable-storeio=ufs,null --enable-default-err-language="Simplify_Chinese" --enable-auth="basic" --enable-baisc-auth-helpers="NCSA" --enable-underscore #make #make install 相关文件： /etc/squid/squid.conf squid的主配置文件 /etc/squid/errors 报告错误使用的语言 /etc/squid/ mib.txt Squid-MIB定义文件 /etc/squid/mime.conf 定义MIME-TYPE /etc/squid/msntauth.conf MSNT认证的配置文件 /usr/sbin/squid Squid主程序 /usr/sbin/squidclient 统计显示摘要表的客户程序 /usr/lib/squid/*_auth Squid的各种认证库文件 2． Squid的配置 （1） Network Options（网络设置选项） http_port 端口号 监听客户请求的端口，默认3128 icp_port 端口号 和其它squid发送和接收ICP查询时监听的端口，0表示禁止 mcast_groups IP地址 指定一个多播组，可以接收多播形式的ICP查询,例:mcast_groups 239.128.16 224.0.1.20 htcp_prot 端口号 同其它相邻的缓存服务器之间发送和接收HTCP查询时监听的端口，0：禁用 tcp_outgoing_address IP地址 用于采用HTCP和CARP方式同其它服务器通信，默认255.255.255.255 udp_incoming_address IP地址 接收其它缓存服务器的ICP数据报时使用的地址，默认0.0.0.0 udp_outgoing_address IP地址 发送ICP数据报到其它缓存服务器时用的地址，默认255.255.255.0 （2） 多缓存服务器设置选项 cache_peer hostname type http_port icp_port options 指定网络中其它的缓存服务器，默认为none。 Hostname:另一台缓存服务器的主机名 Type: parent/sibling /multicast（父/同级/多播） http_port:目的服务器的http端口 icp_port:目的服务器的ICP端口 options: – proxy-only:仅去获取数据，但不在本地缓存 – no-query: 不发送ICP查询给此主机 – default:默认的父服务器 – login username:passwd:连接对方通过服务器用户名和密码 – no-netdb-exchange 代理服务器之间彼此不交换信息 – round-robin 当有多个代理服务器可用时，本地代理服务器采用轮转算法 cache_peer_domain 服务器主机名 域名 用来限定查询相邻的缓存服务器的域 dead_peer_timeout N seconds 设置Squid在确定父（同）级缓存服务器不可用之前的等待时间 （3） 缓存大小设置选项 cache_mem N（KB/MB/bytes,默认为bytes） 缓存内存大小 cache_swap_low(percent,0-100) 缓存对象交换的最低点 cache_swap_high(percent,0-100) 缓存对象交换的最高点 maximum_object_size 缓存对象的最大大小 minimum_object_size 缓存对象的最小大小 maximum_object_size_in_memory 在内存中缓存的最大的对象大小 ipcache_size 4096: ip对应cache的大小为4096fqdncache_size 4096: fqdncache_size 4096 域名全称cache的大小为4096 （4） 日志文件路径及CACHE的目录设置选项 memory_replacement_policy heap GDSF/heap LRU/LRU/heap LFUDA 内存替换策略 heap GDSF:双重大小贪婪法 LRU:默认，最近最少使用算法 heap LFUDA:最近最不常用被老化法 heap LRU:堆LRU cache_replacement_policy heap GDSF/heap LRU/LRU/heap LFUDA 缓存替换策略 cache_dir 类型 路径 大小(M) 一级子目录 二级子目录 系统使用的存储类型 类型: UFS|AUFS,默认使用UFS，AUFS用于非同步的I/O设备 实例：cache_dir ufs /usr/local/squid/cache 25000 16 256 cache_access_log /var/log/squid/access.log access.log日志文件路径 cache_log /var/log/squid/cache.log 缓存日志文件的目录和文件 emulate_httpd_log on/off 激活仿真HTTP格式的日志 mime_table /etc/squid/mime.conf mime文件路径 pid_filename /var/ran/squid.pid 指定pid文件和路径 ftp_user 用户名@域名 指定匿名FTP密码 ftp_list_width 数字 指定FTP列表的文件名长度 ftp_passive on/off 以被动模式(on)/主动模式(off) cache_dns_program /usr/lib/squid/ 指定DNS查询程序路径 编译时指定：--disable-internal-dns option dns_children 数字 指定本地默认启动DNS查询进程数 dns_nameservers IP地址 DNS服务器地址 diskd_program /usr/lib/squid/diskd 磁盘管理程序 unlinkd_program usr/lib/squid/unlinkd 删除文件程序 pinger_program /usr/lib/squid/ ping程序 编译时指定:--enable-icmp option redirect_program none URL重点向程序 redirect_children 数字 重点向进程数 redirect_rewrites_host_heade on/off 重点向时重写包头（用加速器时勿用） authenticate_program 路径 认证程序 例：authenticate_program /usr/bin/ncsa_auth /usr/etc/passwd authenticate_children 数字 认证程序的进程数 authenticate_ttl 数字 hour/minutes/seconds 认证有效时间 authenticate_ip_ttl 对一个IP一次认证后多长时间有效 此时在同一个IP有第二个用户认证会失败 （5） 调整Cache的选项 request_header_max_size 数字(KB) 最大http请求头 request_body_max_size 数字（KB） 最大http请求数据内容 reply_body_max_size 数字（KB） 最大返回数据，可限制用户下载的数据大小 reference_age 数字 LRU算法中指定LRU时间 quick_abort_min 数字(KB) 断点续传最小值 quick_abort_max 数字(KB) 断点续传最大值 quick_abort_pct 数字(percent) 超过值认为续传成功 negative_ttl 数字 minutes/hours/seconds 否定回答TTL positive_dns_ttl 数字 minutes/hours/seconds DNS肯定回答TTL range_offset_limit 数字 KB/MB/Bytes 请求SQUID预取数据的大小 （6） 定义超时的选项 connect_timeout:SQUID等待客户请求的服务器回应的时间长度 peer_connect_timeout:一个对等的缓存服务器的TCP连接超时时间 client_lifetime:客户端同代理服务器TCP连接的最大时间长度 read_timeout:读入数据超时 request_timeout：客户端请求最大时间 shutdown_lifetime：关闭squid缓存时间 （7） 定义超时的选项 acl:定义一个访问列表 格式：acl aclname acltype string 类型：(acltype) • src:源地址 • dst:目标地址 • srcdomain:原(客户)名称 • dstdomain:目标名称 • time:时间 • url_regex[-i]:URL中的正则表达式匹配 • urlpath_regex[-i]:略去协议和主机名的正则表达式 • proxy_auth:通过外部程序进行用户验证 • maxconn:单IP最大连接数 • port:端口 • myip:本地IP • srcdom_regex [-i]:匹配客户名 • dstdom_regex [-i]:匹配目标名 • aclname myport:我的端口 • aclname proto:协议，http,ftp.. • aclname method:方法， GET POST • aclname browser：匹配User-Agent header • aclname ident：用户方用户名 • aclname ident_regex [-i]:匹配用户方用户名 • aclname proxy_auth username：指定合法用户 • 用REQUIRED表示所有合法用户 http_access:代理访问控制 格式：http_access allow|deny [!] acl_name icp_access:icp访问控制 格式：icp_access allow|deny [!]acl_name cache_peer_access:其它缓存服务器访问控制 格式：cache_peer_access cache_host allow|deny [!]acl_name （8） 管理员参数选项 cache_mgr mail地址:管理员电子邮件 cache_effective_user 用户名：运行身份 cache_effective_group 组名：运行组身份 （9） CACHE注册服务选项 announce_period 数字：发布缓存通告频率 announce_host 主机名：通告的主机 announce_file 文件名：通告的信息 announce_port 端口号：通告的对方端口 （10） HTTPD加速选项 httpd_accel_host 主机名/vitual：加速某服务器访问 httpd_accel_port 端口号:加速服务器的对方端口 httpd_accel_single_host on/off:多台服务器时设置off httpd_accel_with_proxy on/off:即作为加速器，又作为WEB缓存服务器，设置为on httpd_accel_uses_host_header on/off：为on，能支持不同的http协议 （11） 杂项 logfile_rotate 0-9：日志轮换版本数 append_domain 域名：默认域名 tcp_recv_bufsize 数字（KB）：TCP缓存区大小 err_html_text 字符串：包含在错误消息中的文本 deny_info:禁用时显示消息 格式：deny_info err_page_name acl visible_hostname 主机名 错误消息中显示的服务器名称 error_directory 路径:指定错误消息文件目录 netfilter/iptables常用术语 •表 •链 •规则 ⑴ 表 含义：提供独立的功能，每张表中由若干链组成 种类：FILTER(默认) ：包过滤 NAT ：地址转换 MANGLE ：QOS ⑵ 链 含义：是表的组成部分，细分表的具体功能，每条链由若干条规则构成 种类：INPUT OUTPUT FORWARD POSTROUTING (对出去的数据包进行路由选择) PREROUTING （对进来的数据包进行路由选择） 用户自定义链 注：FILTER : INPUT OUTPUT FORWARD NAT : OUTPUT POSTROUTING PREROUTING MANGLE : PREROUTING OUTPUT INPUT POSTROUTING FORWARD ⑶ 规则 含义：是一种包含条件的判断语句，用于确定如何处理数据包 种类： ACCEPT Drop FORWARD REJECT SNAT DNAT LOG TOS REDIRECT MASQUERRADE a) 各表之间的关系 （12） iptables的使用 a) 安装iptables # rpm –ivh iptables-1.2.7a-3.i386.rpm 相关文件： /etc/rc.d/init.d/iptables (启动脚本) /usr/sbin/iptables (配置工具) /usr/sbin/iptables-save （保存规则到/etc/sysconfig/iptables文件中） /usr/sbin/iptables-restore （恢复/etc/sysconfig/iptables文件中的规则） b) iptables的语法 命令格式： # iptables [-t 表名] 命令 [链] [规则号] [条件] [规则] 说明：⑴ -t 表名 指定规则所在的表。表名可以是 filter ,nat ,mangle (小写) ⑵ 命令 （iptables的子命令） -A 在指定链中添加规则 -D 在指定链中删除指定规则 -R 修改指定链中指定规则 -I 在指定规则前插入规则 -L 显示链中的规则 -N 建立用户链 -F 清空链中的规则 -X 删除用户自定义链 -P 设置链的默认规则 -C 用具体的规则链来检查在规则中的数据包 -h 显示帮助 ⑶ 条件 –i 接口名 指定接收数据包接口 -o 接口名 指定发送数据包接口 -p [!]协议名 指定匹配的协议 (tcp , udp , icmp , all ) -s [!]ip地址 [/mask] 指定匹配的源地址 --sport [!]端口号 [：端口号] 指定匹配的源端口或范围 -d [!]ip地址 [/mask] 指定匹配的目标地址 --dport [!]端口号 [：端口号] 指定匹配的目标端口或范围 --icmp –type [!]类型号/类型名 指定icmp包的类型 注：8 表示request 0 表示relay （应答） -m port --multiport 指定多个匹配端口 limit --limit 指定传输速度 mac --mac-source 指定匹配MAC地址 sate --state NEW,ESTABLISHED,RELATED,INVALID 指定包的状态 注：以上选项用于定义扩展规则 -j 规则 指定规则的处理方法 ⑷ 规则 ACCEPT ：接受匹配条件的数据包（应用于I NPUT ,OUTPUT ,FORWARD ） Drop ：丢弃匹配的数据包（应用于INPUT ,OUTPUT ,FORWARD ） REJECT ：丢弃匹配的数据包且返回确认的数据包 MASQUERADE ：伪装数据包的源地址（应用于POSTROUTING且外网地址 为动态地址，作用于NAT ） REDIRECT ：包重定向 （作用于NAT表中PREROUTING ,OUTPUT,使用要加上--to-port 端口号 ） TOS ： 设置数据包的TOS字段（应用于MANGLE,要加上--set-tos 值） SNAT ： 伪装数据包的源地址（应用于NAT表中POSTROUTING链，要加上--to-source ip地址 [ip地址] ） DNAT ： 伪装数据包的目标地址（应用于NAT表中PREROUTING链，要加上--to-destination ip地址 ） LOG ：使用syslog记录的日志 RETURN ：直接跳出当前规则链 c) iptables子命令的使用实例 ⑴ 添加规则 #iptables –A INPUT –p icmp –-icmp-type 8 –s 192.168.0.3 –j Drop (拒绝192.168.0.3主机发送icmp请求) # iptables –A INPUT –p icmp –-icmp-type 8 –s 192.168.0.0/24 –j Drop (拒绝192.168.0.0网段ping 防火墙主机，但允许防火墙主机ping 其他主机) # iptables –A OUTPUT –p icmp –-icmp-type 0 –d 192.168.0.0/24 –j Drop (拒绝防火墙主机向192.168.0.0网段发送icmp应答，等同于上一条指令) # iptables –A FORWARD –d www.sina.com -j Drop (拒绝转发数据包到www.sina.com,前提是www.sina.com必须被解析) # iptables –t nat –A POSTROUTING –s 192.168.0.0/24 –j SNAT –-to-source 211.162.11.1 (NAT，伪装内网192.168.0.0网段的的主机地址为外网211.162.11.1,这个公有地址，使内网通过NAT上网，前提是启用了路由转发) # iptables –t nat –A PREROUTING –p tcp --dport 80 –d 211.162.11.1 –j DNAT -–to-destination 192.168.0.5 (把internet上通过80端口访问211.168.11.1的请求伪装到内网192.168.0.5这台WEB服务器，即在iptables中发布WEB服务器，前提是启用路由转发) # iptables –A FORWARD –s 192.168.0.4 –m mac --mac-source 00:E0:4C:45:3A:38 –j ACCEPT (保留IP地址，绑定 IP地址与MAC地址) ⑵删除规则 # iptables –D INPUT 3 # iptables –t nat –D OUTPUT –d 192.168.0.3 –j ACCEPT ⑶插入规则 # iptables –I FORWARD 3 –s 192.168.0.3 –j Drop # iptables –t nat –I POSTROUTING 2 –s 192.168.0.0/24 –j Drop ⑷修改规则 # iptables –R INPUT 1 –s 192.168.0.2 –j Drop ⑸显示规则 # iptables –L (默认表中的所有规则) # iptables –t nat –L POSTROUTING ⑹清空规则 # iptables –F # iptables –t nat –F PREROUTING ⑺设置默认规则 # iptables –P INPUT ACCEPT # iptables –t nat –P OUTPUT Drop (注：默认规则可以设置为拒绝所有数据包通过，然后通过规则使允许的数据包通 过，这种防火墙称为堡垒防火墙，它安全级别高，但不容易实现；也可以把默认 规则设置为允许所有数据包通过，即鱼网防火墙，它的安全级别低，实用性较差。） ⑻建立自定义链 # iptables –N wangkai ⑼删除自定义链 # iptables –X wangkai ⑽应用自定义链 # iptables –A wangkai –s 192.168.0.8 –j Drop # iptables –A INPUT –j wangkai (注：要删除自定义链，必须要确保该链不被引用,而且该链必须为空，如要删除上例定义的自定义链方法为：# iptables –D INPUT –j wangkai # iptables -F wangkai # iptables -X wangkai （13） 启动iptables和保存iptables规则 a) 启动iptables # service iptables start 2. 保存规则 方法一：将规则写入iptables 的启动脚本 #v/etc/rc.d/init.d/iptables 在start()函数中写入要保存的规则 方法二：将规则写入一个自定义的脚本，再把该脚本放如rc.local中，要注意的是建立脚本是要输入iptables的绝对路径：/sbin/iptables 方法三：# service iptables save (将内存中的规则保存到/etc/sysconfig/iptables中，重启系统时，iptables的启动脚本会利用iptables-restore 来恢复该文件中的规则) 方法四：# iptables-save>/etc/sysconfig/iptables (该命令等同与上一条命令) （14） 配置案例 要求：•设置防火墙主机能够给局域网中的主机动态分配IP地址 •设置防火墙主机具有SNAT功能，代理内网中的主机接入Internet •设置防火墙主机拒绝icmp 数据包 •设置防火墙主机发布内网中的Web服务器和FTP服务器 •设置防火墙主机禁止内网主机访问www.QQ.com; 配置过程： 1． DHCP服务的配置 ⑴ # rpm –ivh dhcpd-3.11pl.i386.rpm ⑵ # vi /etc/dhcpd.conf ddns-update-style none; ignore client-updates; default-lease-time 3600; max-lease-time 7200; subnet 192.168.0.0 netmask 255.255.255.0 { option routers 192.168.0.1; options domain-name-servers 202.162.38.254; range 192.168.0.4 192.168.0.254; } ⑶ # vi /etc/sysconfig/dhcpd DHCPDARGS =eth0 ⑷ # service dhcpd start 2． 启用防火墙主机的路由转发功能 # vi /etc/rc.d/rc.local echo “1” >/proc/sys/net/ipv4/ip_forward 3． 配置iptables ⑴ # rpm –ivh iptables-1.2.7a-3.i386.rpm ⑵ # service iptables start ⑶ # iptables –F # iptables –t nat –F # iptables –t mangle –F # iptables –P INPUT Drop # iptables –P OUTPUT Drop # iptables –P FORWARD Drop # iptables –t nat –A POSTROUTING –s 192.168.0.0/24 –j SNAT -–to-source 202.162.39.1 # iptables –A FORWARD –s 192.168.0.0/24 –m state –state NEW –j ACCEPT # iptables –A FORWARD–m state –state ESTABLISHED,RELATED –j ACCEPT # iptables –t nat –A PREROUTING –d 202.162.39.1 –p tcp -–dport 80 –j DNAT --to-destination 192.168.0.2 # iptables –t nat –A PREROUTING –d 202.162.39.1 –p tcp -–dport 21 –j DNAT --to-destination 192.168.0.3 # iptables –I FORWARD –s 192.168.0.0/24 –d www.QQ.com -j Drop （4） # service iptables save |