squid的安装与配置

一、squid简介

   当用户使用squid代理来访问web页面时，首先squid服务器会检查自己的cache查看是否有用户访问的web页面，如果有则squid服务器直接从cache中取出页面发送给用户的客户机，如果没有则squid服务器会代理客户机访问web页面，访问成功后将访问到的web页面发送给客户机并将web页面缓存到自己的服务器中。（注意：当squid代理服务器中cache中有客户机访问的页面时，squid也会去访问客户机访问的web页面去检查该页面是否过期。）

如下图所示：

1、代理的基本类型：

  1）传统代理

     传统代理也叫标准代理或普通代理，客户机如果要访问web服务器或QQ等应用程序必须在软件中设置代理服务器的IP地址和端口信息才能成功访问。对于域名的解析请求（DNS）也会发送给指定的代理服务器。（适用于internet上，需明确指定服务端IP和端口）

  2）透明代理

     与传统代理服务的功能基本相同，区别于传统服务器需要设置代理IP和端口信息，而透明代理是使用默认路由、防火墙策略或web访问重定向来实现的，则不需要用户有任何设置。对于用户来说透明代理是“透明”的。使用此代理时，对于域名的解析请求(DNS)由客户机本身设置的DNS地址来解析的。（适用于共享网关上，不需要明确指定服务端）

二、Centos6.5中安装与配置squid服务

代理软件squid版本：squid-3.4.6.tar.gz

代理服务器IP：

eth1：192.168.0.103   ##连接外网的IP地址（可以上网）

eth2：192.168.1.1     ##连接内网的IP地址，就是作为内网的网关（不能上网）

客户机IP地址：192.168.1.10 

        网关：192.168.1.1

 1、使用源代码方式安装squid代理服务和基本配置

   1）、解压squid软件包

     tar zxf squid-3.4.6.tar.gz -C /usr/src     ##将squid软件包解压到/usr/src目录下

     cd /usr/src/squid-3.4.6    ##切换到squid软件包解压到的目录来进行一下操作

   2）、configure配置

      ./configure --prefix=/usr/local/squid --sysconfdir=/etc --enable-arp-acl --enable-linux-netfilter --enable-linux-tproxy --enable-async-io=100 --enable-err-language="Simplify_Chinese" --enable-underscore --enable-poll --enable-gnuregex

configure的一些选项：

--prefix=/usr/local/squid     ##指定安装目录

--sysconfdir=/etc   ##单独指定配置文件的存放目录

--enable-arp-acl    ##可以在规则中设置直接通过客户端MAC进行管理,防止客户端使用IP欺骗

--enable-linux-netfilter   ##使用内核过滤(和iptables一起工作)

--enable-linux-tproxy      ##支持透明模式

--enable-async-io=100      ##异步I/O,替身存储性能,相当于--enable-pthreads --enable-         ##storeio=ufs,aufs --with-pthreads --with-aufs-thread=值

--enable-err-language="Simplify_Chinese"   ##错误信息的显示语言

--enable-underscore      ##允许URL中有下划线

--enable-poll    ##使用Poll()模式,替身性能(并行)

--enable-gnuregex    ##使用GNU正则表达式

  3）、编译；编译安装

    make && make install

   验证安装是否成功：

  ls /usr/local/squid/

    bin  libexec  sbin  share  var

  4）、安装完成后、创建链接文件、创建用户和组

    ln -s /usr/local/squid/sbin/* /usr/local/sbin/    ##优化执行命令（可以再PATH路径中搜索到）

    useradd -M -s /sbin/nologin squid   ##创建运行squid服务的用户

    chown -R squid:squid /usr/local/squid/var/   ##给squid用户有权限执行   

  5）、添加squid服务

vi /etc/init.d/squid  ##创建并编写squid服务脚本

#!/bin/bash

# chkconfig: 2345 90 25

# config: /etc/squid.conf

# pidfile: /usr/local/squid/var/run/squid.pid

# Description: Squid - Internet Object Cache.

PID="/usr/local/squid/var/run/squid.pid"

CONF="/etc/squid.conf"

CMD="/usr/local/squid/sbin/squid"

case "$1" in

start)

   netstat -anpt |grep squid &>/dev/null

   if [ $? -eq 0 ];then

echo "squid is running"

            else

echo "正在启动squid..."

$CMD

   fi

;;

stop)

  $CMD -k kill &>/dev/null

  rm -rf $PID &>/dev/null

;;

status)

  [ -f $PID ] &>/dev/null

     if [ $? -eq 0 ];then

netstat -anpt |grep squid

     else

echo "squid is not running."

fi

;;

restart)

   $0 stop &>/dev/null

   echo "正在关闭squid..."

$0 start &>/dev/null

   echo "正在启动squid..."

;;

reload)

  $CMD -k reconfigure

;;

check)

  $CMD -k parse

;;

*)

echo "用法: $0 {start |  stop | restart | reload | check | status}"

;;

esac

:wq   ##在末行模式中输入代表保存退出

chmod +x /etc/init.d/squid    ##给squid服务脚本加上执行权限

chkconfig --add squid   ##添加squid为系统服务

chkconfig squid on      ##设置squid服务在2345运行级别中开机自启

 6）、修改/etc/squid.conf文件并初始化和启动squid服务

   vi /etc/squid.conf   ##在最后添加如下行

    visible_hostname centos       ##设置安装squid的主机名

    cache_effective_user squid    ##这一项指定squid的程序用户,用来设置初始化,运行时缓存的账号,否则启动不成功

    cache_effective_group squid   ##默认为cache_effective_user指定账号的基本组

:wq   ##在末行模式中输入代表保存退出

  squid -k parse   ##检测/etc/squid.conf中语法是否正确

  squid -z   ##初始化缓存目录

  squid   ##启动squid服务命令（把squid添加为系统服务后可以使用service命令来管理）

  netstat -utpln |grep 3128   ##查看squid是否启动并监听

2、配置传统模式的代理

 1）、设置/etc/squid.conf文件

   vi /etc/squid.conf

     http_port 3128    ##此行默认配置中已经存在，如不存在则添加此行 

     http_access allow all    ##在http_access deny all前添加此行

     reply_body_max_size 10 MB   ##允许下载的最大文件大小为10MB（在结尾添加）

 2）、设置iptables防火墙和重新启动squid服务   

iptables -I INPUT -p tcp --dport 3128 -j ACCEPT

iptables -I INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

iptables -P INPUT DROP

[root@centos logs]# iptables -L -n     ##查看iptables防火墙中filter表中的规则

Chain INPUT (policy DROP)

target     prot opt source               destination         

ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED 

ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:3128 

Chain FORWARD (policy ACCEPT)

target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)

target     prot opt source               destination         

[root@centos logs]# 

重新启动squid服务并查看监听状态：

[root@centos ~]# service squid restart

正在关闭squid...

正在启动squid...

[root@centos ~]# 

[root@centos ~]# netstat -utpln |grep 3128

tcp        0      0 :::3128                     :::*                        LISTEN      5361/(squid-1)      

[root@centos ~]# 

  3）、使用windows7客户端访问测试

    

使用客户机访问https://www.baidu.com和mirrors.aliyun.com网站测试：

查看access.log日志的变化：

使用squid做传统代理完成！！！

3、配置透明代理（在配置了squid传统代理基础上做配置）

   注意：记着要把客户机中设置的代理取消，就是不适用任何代理来访问

   centos这台服务器承担两个角色：①网关服务器   ②squid代理服务器

  1）设置iptables防火墙配置SNAT使局域网可以访问internet（这里指192.168.1.0/24能够不使用代理服务器访问DNS,FTP,MAIL等；当局域网PC访问internet上的web站点（80端口）时自动使用代理，当然要进行以下的配置）

[root@centos ~]# iptables -t nat -I POSTROUTING  -s 192.168.1.0/24 -p tcp ! --dport  80  -j SNAT --to-source 192.168.0.103    ##配置SNAT转换除TCP的80端口外的所有端口都转

[root@centos ~]# iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -p udp --dport 53 -j SNAT --to-source 192.168.0.103         ##允许DNS请求转发

[root@centos ~]# iptables -t nat -L -n

Chain PREROUTING (policy ACCEPT)

target     prot opt source               destination     

    

Chain POSTROUTING (policy ACCEPT)

target     prot opt source               destination         

SNAT       tcp  --  192.168.1.0/24       0.0.0.0/0           tcp dpt:!80 to:192.168.0.103

SNAT       udp  --  192.168.1.0/24       0.0.0.0/0           udp dpt:53 to:192.168.0.103 

Chain OUTPUT (policy ACCEPT)

target     prot opt source               destination         

[root@centos ~]# 

在网关上开启路由功能并添加默认路由：

 vi /etc/sysctl.conf     ##修改此文件的如下行的最后一位为1

  net.ipv4.ip_forward = 1   ##开启ipv4路由功能

:wq

sysctl -p   ##重新载入/etc/sysctl.conf的配置

route add default gw 192.168.0.1   ##添加一条默认路由

使用客户端访问测试：

  

  2）、修改/etc/squid.conf文件使其squid执行透明代理

    vi /etc/squid.conf

      http_port 192.168.1.1:3128 transparent   ##修改http_port 3128行（注意http_port 192.168.1.1:3128 transparent和http_port 3128不能同时存在）

    :wq

    service squid restart  

    netstat -utpln |grep 3128   ##查看squid服务的端口是否监听

  3）、当局域网PC的internet中的web站点（80）端口时，自动使用代理

[root@centos ~]# iptables -t nat -I PREROUTING -i eth2 -s 192.168.1.0/24 -p tcp --dport 80 -j REDIRECT --to 3128     ##将80端口映射到目标端口3128上

[root@centos ~]# iptables -t nat -L -n

Chain PREROUTING (policy ACCEPT)

target     prot opt source               destination         

REDIRECT   tcp  --  192.168.1.0/24       0.0.0.0/0           tcp dpt:80 redir ports 3128 

Chain POSTROUTING (policy ACCEPT)

target     prot opt source               destination         

SNAT       tcp  --  192.168.1.0/24       0.0.0.0/0           tcp dpt:!80 to:192.168.0.103 

SNAT       udp  --  192.168.1.0/24       0.0.0.0/0           udp dpt:53 to:192.168.0.103

Chain OUTPUT (policy ACCEPT)

target     prot opt source               destination         

[root@centos ~]# 

  4）、使用客户机访问测试

   

  5）、针对局域网PC的internet中的web站点（配置ACL），要求如下

     ①：禁止下载扩展名为.3gp,.mp4,.f4v,.mkv,.rmvb,.avi；

     ②：超过4MB大小的文件不进行缓存，禁止下载超过100MB的文件；

     ③：设置网站黑名单，进行访问位于.qq.com,.msn.com域下的wen站点；

     ④：允许在正常上班时间（周一至周五的8:30~17:30）使用代理服务；

     ⑤：默认策略设为禁止任何客户机使用代理服务；

①：

修改/etc/squid.conf文件：

vi /etc/squid.conf    ##以下两行注意尽量添加在比其他http_access前（因为拒绝尽量添加再最前面，这样可以节省资源也可以防止有其他allow先匹配）

 acl DOWNLOAD urlpath_regex -i \.3gp$ \.mp4$ \.f4v$ \.mkv$ \.rmvb$ \.avi$    ##             以.3gp,.mp4,.mkv,.rmvb,.avi结尾的url路径

 http_access deny DOWNLOAD   ##调用上面一条名为DOWNLOAD的ACL并设为deny

:wq

②：

vi /etc/squid.conf

 maximum_object_size_in_memory 4 MB   ##操作4MB大小的文件不进行缓存

 reply_body_max_size 100 MB   ##禁止下载操作100MB的文件

:wq

③：

vi /etc/squid.conf    ##以下两行也是尽量在其他http_access前添加

 acl DOMAIN dstdomain .qq.com .msn.com    ##设置目标域.qq.com和.msn.com

 http_access deny DOMAIN   ##调用上一条ACL名为DOMAIN并设为deny

:wq

④：

vi /etc/squid.conf

 acl TIME time MTWHF 8:30-17:30    ##设置星期一至星期5的8:30-17:30的时间段

 http_access deny !TIME   ##除了以上设置的时间段其他时间禁止使用代理（!表示取反）

 

⑤：

vi /etc/squid.conf    ##以下一行添加在http_access中是最后一行

 http_access deny all   ##设置默认策略为禁止全部客户机使用代理服务器  

:wq

service squid restart

netstat -utpln |grep 3128

  6）、使用客户机访问测试

   ①：

   

②：在192.168.0.0/24这个网段上搭建一台http服务（在squid服务的外网卡网段上搭建），这里就不在演示；

[root@Wu-Centos-2 html]# pwd

/var/www/html   ##当前路径（http服务的网页根目录）

[root@Wu-Centos-2 html]# dd if=/dev/zero of=./file1.tar bs=1M count=20    ##在网页根目录中生成一个20MB的名为fitl1.tar的文件

记录了20+0 的读入

记录了20+0 的写出

20971520字节(21 MB)已复制，0.108024 秒，194 MB/秒

[root@Wu-Centos-2 html]# dd if=/dev/zero of=./file1.tar bs=1M count=200   ##在网页根目录中生成一个200MB的名为file2.tar的文件

记录了200+0 的读入

记录了200+0 的写出

209715200字节(210 MB)已复制，24.6213 秒，8.5 MB/秒

[root@Wu-Centos-2 html]# du -sh file1.tar file2.tar    ##查看两个文件的大小

20M     file1.tar

200M    file2.tar

[root@Wu-Centos-2 html]# 

使用浏览器下载测试：

③：访问qq.com和msn.com测试

④和⑤在这里不太好演示，就不演示了

透明模式的代理就配置完成了！！！