Squid代理服务器（缓存代理）介绍及相关配置

一、代理服务器的作用

1．通过缓存的方式为用户提供Web访问加速 2．对用户的Web访问进行过滤控制

二、代理服务器分类

1．普通代理服务 即标准的、传统的代理服务 需要客户机在浏览器中指定代理服务器的地址、端口 2． 透明代理服务 适用于企业的网关主机（共享接入Internet）中 客户机不需要指定代理服务器地址、端口等信息 需要设置防火墙策略将客户机的Web访问数据转交给代理服务程序处理 3． 反向代理服务 为Internet用户访问企业Web站点提供缓存加速

 

三、squid 基本配置

  1．所需软件包

软件包名：squid-2.6.STABLE6（版本可能不一样） 服务名：squid 主程序：/usr/sbin/squid 配置目录：/etc/squid/ 主配置文件：/etc/squid/squid.conf 默认监听端口：TCP 3128 默认访问日志文件：/var/log/squid/access.log

   安装软件

#   yum install  squid

2．主配置文件squid.conf

 

          常用配置项

http_port 3128                                           //默认监听端口 cache_mem 64 MB                                  //缓存所占的内存空间大小，建议为物理内存的1/4—1/3 maximum_object_size 4096 KB            //最大缓存对象大小 reply_body_max_size 10240000 allow all  //限定最大请求的文件大小 单位是字节 allow al表示允许所有人的请求 access_log /var/log/squid/access.log squid    //访问日志 visible_hostname proxy.test.com         //反向解析自己的ip地址 以获得主机名 cache_dir ufs /var/spool/squid 100 16 256     //定义缓存目录 数据存储格式 缓存到的目录 为缓存目录分配的磁盘空间（MB） 缓存空间的一级子目录个数 二级子目录个数

3．普通代理的相关配置

          按照上面的常用配置项修改主配置文件

      测试语法

# squid –k parse

     初始化squid缓存目录    

# squid –z

     启动squid 服务

# service squid start

接下来需要在客户机上做相应的代理设置，如下图所示

服务器的地址（192.168.1.1 ）、端口（3128 ）

 

验证代理服务器功能

  在客户机的浏览器上访问某个站点（外网测试机ip 218.29.30.29

），网页访问成功后，检查代理服务器的日志文件，应发现客户机的HTTP 访问记录

[root@localhost ~]# tail -1 /var/log/squid/access.log 1244386040.208     62 192.168.1.100 TCP_MISS/200 2828 GET http://218.29.30.29/icons/apache_pb2.gif - DIRECT/218.29.30.29 image/gif

检查外网测试机的Web 访问日志，应发现进行访问的是代理服务器主机（218.29.30.31 ），而不是客户机

[root@gw1 ~]# tail -1 /var/log/httpd/access_log218.29.30.31 - - [16/May/2009:12:39:39 +0800] "GET /icons/apache_pb2.gif HTTP/1.0" 200 2414 "http://218.29.30.29" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; SV1; .NET CLR 1.1.4322; .NET CLR 1.0.3705; aff-kingsoft-ciba)"

4．配置透明代理

   实现透明代理的基本条件

前提：（1）客户机的Web访问数据要能经过防火墙         （2）代理服务构建在网关（防火墙）主机中 配置要求：（1）代理服务程序能够支持透明代理         （2）设置防火墙规则，将客户机的Web访问数据自动重定向给代理服务程序处理

基本实现步骤

（1）修改squid.conf配置文件，并重新加载该配置

#  vim  /etc/squid/squid.conf http_port 192.168.10.1:8080 transparent #  service squid reload

（2）添加iptables规则

# iptables -t nat -I PREROUTING -i eth1 -s 192.168.10.0/24 -p tcp --dport 80 -j REDIRECT --to-ports 8080

（3）客户机浏览器

         不需要在浏览器中指定代理服务器的地址、端口

（4）验证透明代理的实施效果

5．配置反向代理

（1）拓扑图：

（2）基本实现步骤

修改squid.conf文件，并重新加载该配置

 语法： cache_peer Web 服务器地址 服务器类型 http 端口 icp 端口 [ 可选项]

http_port 218.29.30.31:80 vhost cache_peer 192.168.10.7 parent 80 0 originserver weight=5 max-conn=30 cache_peer 192.168.10.8 parent 80 0 originserver weight=5 max-conn=30 cache_peer 192.168.10.9 parent 80 0 originserver weight=5 max-conn=30 cache_peer 192.168.10.6 parent 80 0 originserver weight=1 max-conn=8

（3） 验证反向代理的实施效果

在上游Web服务器（192.168.10.6～192.168.10.9）中开启httpd服务

在Internet中的客户机（218.29.30.29）中访问反向代理服务器主机（http://218.29.30.31），应能够看到实际由上游Web服务器提供的网页内容

查看反向代理服务器的访问日志信息

[root@localhost ~]# tail -1 /var/log/squid/access.log 1231256531.038 35 218.29.30.29 TCP_MISS/200 2869 GET http://218.29.30.31/index.php? - FIRST_UP_PARENT/192.168.10.6 image/gif

 

6. ACL访问控制

（1 ）ACL （Access Control List ，访问控制列表）

可以从客户机的IP地址、请求访问的URL/域名/文件类型、访问时间、并发请求数等各方面进行控制

（2） 应用访问控制的方式

定义acl列表

         acl 列表名称 列表类型 列表内容 …

常用的acl 列表类型

src     dst   port      srcdomain     dstdomain     time    maxconn    url_regex   urlpath_regex

ACL 列表定义示例

acl LAN1 src 192.168.10.0/24 acl PC1 src 192.168.10.12/32 acl Blk_Domain dstdomain .qq.com acl Work_Hours time MTWHF 08:30-17:30 acl Max20_Conn maxconn 20 acl Blk_URL url_regex -i ^rtsp:// ^mms:// acl Blk_Words urlpath_regex -i sex adult acl RealFile urlpath_regex -i \.rmvb$ \.rm$

针对acl列表进行限制

         http_access allow或deny 列表名……

根据已经定义的部分ACL 列表进行访问控制

http_access deny LAN1 Blk_URL http_access deny LAN1 Blk_Words http_access deny PC1 RealFile http_access deny PC1 Max20_Conn http_access allow LAN1 Work_Hours

访问控制规则的匹配顺序

       （1）没有设置任何规则时，将拒绝所有客户端的访问请求

       （2）有规则但找不到相匹配的项时，将采用与最后一条规则相反的权限，即如果最后一条规则是allow，那么就拒绝客户端的请求，否则允许该请求