Squid 缓存代理（一）---原理及搭建（传统、透明）

---

前言

Squid 是 Linux 系 统 中 最 常 用 的 一 款 开 源 代 理 服 务 软 件 （ 官 方 网 站 为 http://www.squid-cache.org），可以很好地实现 HTTP 和 FTP，以及 DNS 查询、SSL 等应用的缓存代理。缓存代理作为应用层的代理服务软件，Squid 主要提供缓存加速、应用层过滤控制的功能。

---

一、Squid代理服务器

• Squid主要提供缓存加速、应用层过滤控制的功能。

1.代理的工作机制

• 代替客户机向网站请求数据，从而可以隐藏用户的真实IP地址。
• 将获得的网页数据（静态 Web 元素）保存到缓存中并发送给客户机，以便下次请求相同的数据时快速响应。
• 缓存网页对象，减少重复请求
• Squid是一个缓存Internet数据的一个软件，它接收用户的下载申请，
  并自动处理所下载的数据。
• 也就是说，当一个用户想要下载一个主页时，它向Squid发出一个申请，要Squid替它下载，
• 然后Squid 连接所申请网站并请求该主页，接着把该主页传给用户同时保留一个备份，
• 当别的用户申请同样的页面时，Squid把保存的备份立即传给用户，减少了向Internet提交重复的Web请求的过程，
• 提高了用户下载网页的速度，隐藏了客户机的真实IP

2.代理的类型

• 传统代理：适用于Internet，需在客户机指定代理服务器的地址和端口。
• 透明代理：客户机不需指定代理服务器的地址和端口，而是通过默认路由、防火墙策略将Web访问重定向给代理服务器处理。
• 反向代理：如果 Squid 反向代理服务器中缓存了该请求的资源，则将该请求的资源直接返回给客户端；否则反向代理服务器将向后台的 WEB 服务器请求资源，然后将请求的应答返回给客户端，同时也将该应答缓存（静态）在本地，供下一个请求者使用。

3.使用代理的好处

• 提高Web访问速度
• 隐藏客户机的真实IP地址

二、搭建环境

1.原理图示意

2.编译安装Squid

#安装依赖环境
yum -y install gcc gcc-c++ make

#上传软件包squid-3.5.27.tar到/opt目录下
cd /opt
tar xvf squid-3.5.27.tar.gz 
cd /opt/squid-3.5.28/
./configure --prefix=/usr/local/squid --sysconfdir=/etc --enable-arp-acl --enable-linux-netfilter --enable-linux-tproxy --enable-async-io=100 --enable-err-language="Simplify_Chinese" --enable-underscore --enable-poll --enable-gnuregex

make && make install

####上述脚本解释###
./configure --prefix=/usr/local/squid                       ##安装目录
--sysconfdir=/etc/                                          ##单独将配置文件修改到/etc目录下
--enable-arp-acl                                            ##可在ACL中设置通过MAC地址进行管理，防止IP欺骗
--enable-linux-netfilter                                    ##使用内核过滤
--enable-linux-tproxy                                       ##支持透明模式
--enable-async-io=100                                       ##异步I/O，提升储存性能，值可修改
--enable-err-language="Simplify_Chinese"      				##错误信息的显示语言
--enable-underscore                                         ##允许URL中有下划线
--enable-poll                                               ##使用Poll()模式，提升性能
--enable-gnuregex                                           ##使用GNU正则表达式


make && make install								##编译安装
ln -s /usr/local/squid/sbin/* /usr/local/sbin       ##创建链接文件，优化路径
useradd -M -s /sbin/nologin squid                   ##创建程序用户、组
chown -R squid:squid /usr/local/squid/var/       	##改变目录属主

3.修改Squid的配置文件

vim /etc/squid.conf	#放在http_access deny all 之前，允许任意客户机使用代理服务，控制规则自上而下匹配

......
-----56行--插入------
http_access allow all    #放在http_access deny all 之前，允许任意客户机使用代理服务，控制规则自上而下匹配
http_access deny all
-----61行--插入------
http_port 3128           #用来指定代理服务监听的地址和端口(默认的端口号为3128)
cache_effective_user squid     #添加，指定程序用户，用来设置初始化、运行时缓存的账号，否则启动不成功
cache_effective_group squid    #添加，指定账号基本组
coredump_dir /usr/local/squid/var/cache/squid   #指定缓存文件目录

###上述脚本解释
##配置硬盘缓存，打开#.缓存目录512M，其中一级目录16个，二级256个
cache_effective_user squid
cache_effective_group squid
                 	

##检查配置文件
squid -k parse  

4.编写Squid服务脚本

[root@localhost ~]# vi /etc/init.d/squid
#!/bin/bash
#chkconfig: 35 90 25
#config: /etc/squid.conf
#pidfile: /usr/local/squid/var/run/squid.pid
#Description: Squid - Internet Object Cache

PID="/usr/local/squid/var/run/squid.pid"
CONF="/etc/squid.conf"
CMD="/usr/local/squid/sbin/squid"

case "$1" in
        start)
                netstat -utpln | grep squid &>/dev/null
                if [ $? -eq 0 ]
                        then
                                echo "Squid is running"
                else
                        $CMD
                fi
        ;;
        stop)
                $CMD -k kill &>/dev/null
                rm -rf $PID &>/dev/null
        ;;
        status)
                [ -f $PID ] &>/dev/null
                        if [ $? -eq 0 ]
                          then
                                netstat -utpln | grep squid
                        else
                                echo "Squid is not running"
                        fi
	;;
        restart)
                $0 stop &>/dev/null
                echo "正在关闭Squid..."
                $0 start &>/dev/null
                echo "正在启动Squid..."
        ;;
        reload)
                $CMD -k reconfigure
        ;;
        check)
                $CMD -k parse
        ;;
        *)
                echo "用法：{start | stop | restart | reload | check | status}"
esac

[root@localhost ~]#chmod +x /etc/init.d/squid
[root@localhost ~]#chkconfig --add squid
[root@localhost ~]#chkconfig squid on
[root@localhost squid-3.5.27]# service squid restart   ##测试正常
正在关闭Squid...
正在启动Squid...

[root@localhost ~] squid –k rec                      	##重新加载配置文件
[root@localhost ~] squid -zX                            ##初始化缓存目录
[root@localhost ~]# squid                               ##启动squid服务
[root@localhost ~]# netstat -anpt | grep squid          ##确认squid服务处于正常监听状态
tcp6       0      0 :::3128                 :::*                    LISTEN      6699/(squid-1)    

5.环境

服务器需求：
Squid 服务器    192.168.3.11
web  服务器     192.168.3.12
win10          192.168.3.80     透明192.168.100.100

三、搭建传统代理

• 构建Squid代理服务器，允许客户机指定squid代理服务器作为Web代理，
  访问网站服务器，但禁止通过代理下载超过10MB的文件，超过4MB的文件不进行缓存

拓补图

1.squid服务器

vim /etc/squid.conf 
......
http_access allow all
http_access deny all
http_port 3128
cache_effective_user squid
cache_effective_group squid

#63行插入
cache_mem 64 MB				
#指定缓存功能所使用的内存空间大小，便于保持访问较频繁的WEB对象，容量最好为4的倍数，单位为MB，建议设为物理内存的1/4
reply_body_max_size 10 MB			
#允许用户下载的最大文件大小，以字节为单位，当下载超过指定大小的Web对象时，浏览器的报错页面中会出现“请求或访问太大”的提示默认设置0表示不进行限制
maximum_object_size 4096 KB			
#允许保存到缓存空间的最大对象大小，以KB为单位，超过大小限制的文件将不被缓存，而是直接转发给用户

service squid restart
systemctl restart squid

#修改防火墙规则
systemctl start firewalld
iptables -F
iptables -I INPUT -p tcp --dport 3128 -j ACCEPT

2.Web配置

systemctl stop firewalld.service
setenforce 0
yum -y install httpd
systemctl start httpd
netstat -natp | grep 80

3.客户端配置（添加代理）

谷歌浏览器：
设置--》高级--》系统--》打开代理设置--》设置代理

#使用win10访问 web服务器 IP
# web服务器查看访问日志信息

#动态查看访问日志，观察来访IP
tail -f /var/log/httpd/access_log

四、透明代理

拓补图

1.Squid服务器配置

• 把ens33改为vm2
  

• 添加一块网卡37，并设置为vmnet1（仅主机）
  

[root@squid ~]# systemctl stop firewalld
[root@squid ~]# yum install iptables* -y

[root@squid ~]# systemctl start iptables
[root@squid ~]# systemctl status iptables


cd /etc/sysconfig/network-scripts/
------------------------------------
#修改33
vim ifcifg-ens33
TYPE=Ethernet
PROXY_METHOD=none
BROWSER_ONLY=no
BOOTPROTO=none
DEFROUTE=yes
IPV4_FAILURE_FATAL=no
IPV6INIT=yes
IPV6_AUTOCONF=yes
IPV6_DEFROUTE=yes
IPV6_FAILURE_FATAL=no
IPV6_ADDR_GEN_MODE=stable-privacy
NAME=ens33
UUID=e853ca1a-2c0b-416f-9a8f-7c844ebc8216
DEVICE=ens33
ONBOOT=yes
IPADDR=192.168.4.1
NETMASK=255.255.255.0
#GATEWAY=192.168.3.2
#DNS1=114.114.114.114
-----------------------------------------
#修改37
cp ifcfg-ens33 ifcfg-ens37

vim ifcfg-ens37
TYPE=Ethernet
PROXY_METHOD=none
BROWSER_ONLY=no
BOOTPROTO=none			//修改
DEFROUTE=yes
IPV4_FAILURE_FATAL=no
IPV6INIT=yes
IPV6_AUTOCONF=yes
IPV6_DEFROUTE=yes
IPV6_FAILURE_FATAL=no
IPV6_ADDR_GEN_MODE=stable-privacy
NAME=ens37
DEVICE=ens37
ONBOOT=yes
IPADDR=192.168.100.1
PREFIX=24
#NETMASK=255.255.255.0
#GATEWAY=192.168.3.2
#DNS1=114.114.114.114

systemctl restart network

• win10更改vm1仅主机，修改ip地址，并且ping网关
  

#60行修改添加提供内网服务的IP地址，和支持透明代理选项 transparent
vim /etc/squid.conf
......
http_access allow all
http_access deny all

http_port 192.168.100.1:3128 transparent		//添加
service squid restart
正在关闭Squid...
正在启动Squid...



[root@squid network-scripts]# echo 'net.ipv4.ip_forward = 1' >> /etc/sysctl.conf
[root@squid network-scripts]# sysctl -p
net.ipv4.ip_forward = 1


iptables -F
iptables -t nat -F
#添加防火墙规则（将来源为100网段:80/443端口的流量重定向到3128端口）
iptables -t nat -I PREROUTING -i ens37 -s 192.168.100.0/24 -p tcp --dport 80 -j REDIRECT --to 3128	
iptables -t nat -I PREROUTING -i ens37 -s 192.168.100.0/24 -p tcp --dport 443 -j REDIRECT --to 3128	
#若进行重启，则需要配置以下规则
iptables -I INPUT -p tcp --dport 3128 -j ACCEPT

iptables -vnL

2.win10关闭代理，并且访问web服务器

• 访问192.168.4.100
  

---