如何通过ACL和cache manager指令控制客户端对Squid Web管理接口的访问？

一）在/usr/local/squid/etc/squid.conf（具体位置要看编译时的prefix参数），注意和cache manager相关的行：

 

 
    
     
     
  1. #Recommended minimum configuration: 
    2.  
     
  2. acl all src 0.0.0.0/0.0.0.0 
    3.  
     
  3. acl manager proto cache_object 
    4.  
     
  4. acl localhost src 127.0.0.1/255.255.255.255 
    5.  
     
  5. acl to_localhost dst 127.0.0.0/8 
    6.  
     
  6. acl SSL_ports port 443 
    7.  
     
  7. acl Safe_ports port 80 # http 
    8.  
     
  8. acl Safe_ports port 21 # ftp 
    9.  
     
  9. acl Safe_ports port 443 # https 
    10.  
     
  10. acl Safe_ports port 70 # gopher 
    11.  
     
  11. acl Safe_ports port 210 # wais 
    12.  
     
  12. acl Safe_ports port 1025-65535 # unregistered ports 
    13.  
     
  13. acl Safe_ports port 280 # http-mgmt 
    14.  
     
  14. acl Safe_ports port 488 # gss-http 
    15.  
     
  15. acl Safe_ports port 591 # filemaker 
    16.  
     
  16. acl Safe_ports port 777 # multiling http 
    17.  
     
  17. acl CONNECT method CONNECT 
    18.  
     
  18.  
    19.  
     
  19. # 
    20.  
     
  20. # Only allow cachemgr access from localhost 
    21.  
     
  21. http_access allow manager localhost 
    22.  
     
  22. http_access deny manager 
    23.  
     
  23. # Deny requests to unknown ports 
    24.  
     
  24. http_access deny !Safe_ports 
    25.  
     
  25. # Deny CONNECT to other than SSL ports 
    26.  
     
  26. http_access deny CONNECT !SSL_ports 
    27.  
     
  27.  
    28.  
     
  28. # And finally deny all other access to this proxy 
    29.  
     
  29. http_access deny all 
    30.  
     
  30.  
    31.  
     
  31.  
    32.  
     
  32. # TAG: cachemgr_passwd 
    33.  
     
  33. # Specify passwords for cachemgr operations. 
    34.  
     
  34. # 
    35.  
     
  35. # Usage: cachemgr_passwd password action action ... 
    36.  
     
  36. # 
    37.  
     
  37. # Some valid actions are (see cache manager menu for a full list): 
    38.  
     
  38. # 5min 
    39.  
     
  39. # 60min 
    40.  
     
  40. # asndb 
    41.  
     
  41. # authenticator 
    42.  
     
  42. # cbdata 
    43.  
     
  43. # client_list 
    44.  
     
  44. # comm_incoming 
    45.  
     
  45. # config * 
    46.  
     
  46. # counters 
    47.  
     
  47. # delay 
    48.  
     
  48. # digest_stats 
    49.  
     
  49. # dns 
    50.  
     
  50. # events 
    51.  
     
  51. # filedescriptors 
    52.  
     
  52. # fqdncache 
    53.  
     
  53. # histograms 
    54.  
     
  54. # http_headers 
    55.  
     
  55. # info 
    56.  
     
  56. # io 
    57.  
     
  57. # ipcache 
    58.  
     
  58. # mem 
    59.  
     
  59. # menu 
    60.  
     
  60. # netdb 
    61.  
     
  61. # non_peers 
    62.  
     
  62. # objects 
    63.  
     
  63. # offline_toggle * 
    64.  
     
  64. # pconn 
    65.  
     
  65. # peer_select 
    66.  
     
  66. # redirector 
    67.  
     
  67. # refresh 
    68.  
     
  68. # server_list 
    69.  
     
  69. # shutdown * 
    70.  
     
  70. # store_digest 
    71.  
     
  71. # storedir 
    72.  
     
  72. # utilization 
    73.  
     
  73. # via_headers 
    74.  
     
  74. # vm_objects 
    75.  
     
  75. # 
    76.  
     
  76. # * Indicates actions which will not be performed without a 
    77.  
     
  77. # valid password, others can be performed if not listed here. 
    78.  
     
  78. # 
    79.  
     
  79. # To disable an action, set the password to "disable". 
    80.  
     
  80. # To allow performing an action without a password, set the 
    81.  
     
  81. # password to "none". 
    82.  
     
  82. # 
    83.  
     
  83. # Use the keyword "all" to set the same password for all actions. 
    84.  
     
  84. # 
    85.  
     
  85. #Example: 
    86.  
     
  86. # cachemgr_passwd secret shutdown 
    87.  
     
  87. # cachemgr_passwd lesssssssecret info stats/objects 
    88.  
     
  88. # cachemgr_passwd disable all 
    89.  
     
  89. # 
    90.  
     
  90. #Default: 
    91.  
     
  91. # none 
    92.  
    
 
    
我们需要在acl指令、http_access指令和cachemgr_passwd指令都添加相关的参数。
 
    
起作用的是以下的指令：
 
    
 
 
    
 
    
     
     
  1. acl localhost src 127.0.0.1/255.255.255.255 
    2.  
     
  2. acl manager proto cache_object 
    3.  
     
  3. # 允许本地用户清除缓存 
    4.  
     
  4. acl Purge method PURGE 
    5.  
     
  5. http_access allow Purge localhost 
    6.  
     
  6. http_access deny Purge 
    7.  
     
  7. # Only allow cachemgr access from localhost 
    8.  
     
  8. http_access allow manager localhost 
    9.  
     
  9. http_access deny manager 
    10.  
     
  10. # 对于查看配置，关闭Squid等这类重要操作禁用掉 
    11.  
     
  11. cachemgr_passwd disable config shutdown authenticator offline_toggle 
    12.  
     
  12. # 对于不大查询的操作使用不使用密码 
    13.  
     
  13. cachemgr_passwd none info stats/objects 
    14.  
     
  14. # 对于其它操作密码保护 
    15.  
     
  15. # cachemgr_passwd secretP all 
    16.  
    
 
    
二）检验我们的配置
 
    
访问不需要密码的项：
 
    

 
    
 
    
     
     
  1. squidclient -p80 cache_object://localhost/info 
    2.  
    
 
    
或者
 
    

 
    
 
    
     
     
  1. squidclient -p80 -h localhost mgr:info 
    2.  
    
 
    
访问需要密码的项：
 
    
 
    
     
     
  1. squidclient -p80 cache_object://localhost/menu@secretP 
    2.  
    
 
    
注：该命令常用来有权限访问的项
 
    
或者
 
    

 
    
 
    
     
     
  1. squidclient -p80 -h localhost mgr:menu@secretP 
    2.  
    
 
    
删除缓存：
 
    

 
    
 
    
     
     
  1. squidclient -m PURGE http://url 
    2.  
    
 
    
 
 
    
下面是默认的权限（未做配置）：
 
    

 
    
 
    
     
     
  1. # squidclient -p80 -h localhost mgr:menu@secretP 
    2.  
     
  2. HTTP/1.0 200 OK 
    3.  
     
  3. ... 此处省略部分内容 
    4.  
     
  4. mem Memory Utilization protected 
    5.  
     
  5. cbdata Callback Data Registry Contents protected 
    6.  
     
  6. events Event Queue protected 
    7.  
     
  7. squidaio_counts Async IO Function Counters protected 
    8.  
     
  8. config Current Squid Configuration disabled 
    9.  
     
  9. ipcache IP Cache Stats and Contents protected 
    10.  
     
  10. fqdncache FQDN Cache Stats and Contents protected 
    11.  
     
  11. idns Internal DNS Statistics protected 
    12.  
     
  12. external_acl External ACL stats protected 
    13.  
     
  13. http_headers HTTP Header Statistics protected 
    14.  
     
  14. menu This Cachemanager Menu protected 
    15.  
     
  15. shutdown Shut Down the Squid Process disabled 
    16.  
     
  16. offline_toggle Toggle offline_mode setting disabled 
    17.  
     
  17. info General Runtime Information public 
    18.  
     
  18. filedescriptors Process Filedescriptor Allocation protected 
    19.  
     
  19. objects All Cache Objects protected 
    20.  
     
  20. vm_objects In-Memory and In-Transit Objects protected 
    21.  
     
  21. openfd_objects Objects with Swapout files open protected 
    22.  
     
  22. pending_objects Objects being retreived from the network protected 
    23.  
     
  23. client_objects Objects being sent to clients protected 
    24.  
     
  24. io Server-side network read() size histograms protected 
    25.  
     
  25. counters Traffic and Resource Counters public 
    26.  
     
  26. peer_select Peer Selection Algorithms protected 
    27.  
     
  27. digest_stats Cache Digest and ICP blob protected 
    28.  
     
  28. 5min 5 Minute Average of Counters protected 
    29.  
     
  29. 60min 60 Minute Average of Counters protected 
    30.  
     
  30. utilization Cache Utilization protected 
    31.  
     
  31. histograms Full Histogram Counts protected 
    32.  
     
  32. active_requests Client-side Active Requests protected 
    33.  
     
  33. store_digest Store Digest protected 
    34.  
     
  34. storedir Store Directory Stats protected 
    35.  
     
  35. store_check_cachable_stats storeCheckCachable() Stats protected 
    36.  
     
  36. store_io Store IO Interface Stats protected 
    37.  
     
  37. pconn Persistent Connection Utilization Histograms protected 
    38.  
     
  38. refresh Refresh Algorithm Statistics protected 
    39.  
     
  39. delay Delay Pool Levels protected 
    40.  
     
  40. forward Request Forwarding Statistics protected 
    41.  
     
  41. client_list Cache Client List protected 
    42.  
     
  42. netdb Network Measurement Database protected 
    43.  
     
  43. asndb AS Number Database protected 
    44.  
     
  44. server_list Peer Cache Statistics protected 
    45.  
     
  45. non_peers List of Unknown sites sending ICP messages protected 
    46.  
    
 
    
即：
 
    
默认设置hidden的项为：
 
    
 
    
     
     
  1. config shutdown offline_toggle 
    2.  
    
 
    
它的含意是，如果服务端不配置密码，将不能被访问，默认是隐藏的。
 
    
这不同于配置为，这样不允许客户端访问这几个项，访问时状态为disable
 
    
 
    
     
     
  1. http_access disable config shutdown offline_toggle 
    2.  
    
 
    
这也不同于被配置为hidden，这样也不允许客户端访问这几个项，不过访问时状态为protected
 
    
 
    
     
     
  1. http_access protected config shutdown offline_toggle 
    2.  
    
 
    
三）配置允许以哪些域名和端口访问cache manager
 
    
修改/usr/local/squid/etc/squid/etc/cachemgr.conf（文件位置依赖于我们的编译选项）文件
 
    
，增加Host:Port的行。
 
    
例如我的配置：
 
    
# grep ^[^#] /etc/squid/etc/cachemgr.conf
 
    
 
    
     
     
  1. localhost:80 
    2.  
     
  2. 192.168.88.51:80 
    3.  
     
  3. squid01.wangxiaoyu.org:80 
    4.