开发者社区> 科技小能手> 正文
阿里云
为了无法计算的价值
打开APP
阿里云APP内打开

squid 代理

简介:
+关注继续查看

个人的学习笔记,只供参考。

公司因需求,设置一代理服务器,供10.231.18.136-137两台电脑代理上网,并要进行用户密码验证,用户名:user1,user2。

内网地址:eth0:10.231.19.252 255.255.252.0
外网地址:eth1:192.168.1.9 255.255.255.0


1.安装squid
yum install squid
或:[root@linux36 Server]# rpm -ivh squid-2.6.STABLE21-3.el5.i386.rpm 
 
2.设置10G空间为硬盘缓存,设置192M。
[root@linux36 ~]# vi /etc/squid/squid.conf

auth_param basic program /usr/lib/squid/ncsa_auth  /etc/squid/passwd (密码验证文件的路径,注意ncsa_auth程序的位置)
auth_param basic children 5 (指定认证程序的进程数)
auth_param basic credentialsttl 2 hours (基本的认证有效时间)
auth_param basic realm Your password? (设置输入密码界面的提示字符)

http_port 10.231.19.252:8080    (设置代理的端口)
cache_mem 192 MB    (设置内存空间)
cache_dir ufs /var/spool/squid 10240 16 256    (utf,代理存储格式;设置硬盘缓存位置,大小,一二级缓存;默认单位MB)
access_log /var/log/squid/access.log squid    (设置访问日志access log)
cache_log /var/log/squid/cache.log    (设置缓存日志,This is where general information about your cache's behavior goes.)
cache_store_log /var/log/squid/store.log    (设置网页缓存日志,Logs the activities of the storage manager.  Shows which objects are ejected from the cache, and which objects are saved and for how long. )
dns_nameservers 192.168.1.1 (设置DNS,Use this if you want to specify a list of DNS name servers (IP addresses) to use instead of those given in your /etc/resolv.conf file.)

acl all src 0.0.0.0/0.0.0.0    (设置控制访问列表)
acl mynet src 10.231.18.136/255.255.252.255 10.231.18.137/255.255.252.255 (自定义mynet控制访问列表,注意具体IP的netmask的写法。)
acl users  proxy_auth REQUIRED (普通用户需要通过认证才能访问Internet)

http_access allow mynet users(允许mynet访问代理)
http_access deny all

cache_effective_user squid    (设置squid进程所属用户)
cache_effective_group squid    (设置squid进程所属组别)
visible_hostname ProxyServer    (设置错误提示)
cache_mgr  root        (当代理运行失败时,设置通知的邮箱地址。)    



3.建立squid用户(借助apache的htpasswd命令进行增加用户)
htpasswd –c /etc/squid/passwd  user1 (-c建立密码文件,输入命令时提示输入密码,如直接在命令行写上密码,请man htpasswd.)
htpasswd /etc/squid/passwd user2

4.检查语法
[root@linux36 ~]# squid -k parse


5.[root@linux36 squid]# squid -zX    (初始化硬盘缓存目录)
-z     Create swap directories
-X     Force full debugging.


6.[root@linux36 squid]# service squid start

注: squid -k reconfigure 可以重新赢取配置文件。

7.检查服务状态
[root@linux36 squid]# service squid status
[root@linux36 squid]# squid -D
[root@linux36 squid]# netstat -tunlp|grep 8080

8.在客户端的浏览品设置代理
 

 

常用的存取控制类型

 

SquidProxy的存取控制
 
基本存取控制
在SQUID里,Access Control List存取列表简称ACL用来在SQUID.CONF里设置客户端到代理服务器的权限控制。利用ACL可以将不同性质的客户端分类,以方便管理,也能对某个已经定义的ACL群组,限制其与代理服务器的联机。为什么可以轻易限制所定义的ACL群组呢?因为SQUID代理服务器的运行,需要通过HTTP,ICP等通讯协议,所以可以通过,
HTTP_ACESS ALLOW | DENY ACLNAME
ICP_ACCESS ALLOW | DENY ACLNAME等方式,允许或者拒绝HTTP,ICP达到限制控制的目的
 
在squid里对客户端的联机做存取控制分为两个阶段进行,第一阶段是定义ACL,第二阶段是设置ACL存取权限,第一阶段定义ACL
在proxy上通过ACL做连接控制
acl member src 192.168.1.10/24
http_access allow member
 
用法:
ACL的定义有以下两种:
1 acl acl名称 ACL类型 字符串1 字符串2...(ACLlist)
2 acl acl名称 ACL类型 “文件的路径”
说明:
acl命令 ,用来说明要做“存取控制列表”
acl名称,读者可以自定义一个acl名称,如:reject
ACL类型,即做限制的类型。ACL的类型有src,dst,srcdomain,dstdomain,url_pattern,urlpath_pattern,url_regex,urlpath_regex,time,port,proto,method,browser,user等相当多的限制类型
在squid里面做客户端的存取控制的定义的时候,最重要的是选择ACL类型,ACL类型会影响过滤存取的速度,一般建议使用src,dst等以IP地址为主的ACL类型,在存取规则上会快很多。
 
ACLIST:ACL的List大致可以分为字符串和文件两大类,字符串的内容可以是IP地址,FQDN,URL地址,含正则表达式的URL,文件路径(用双引号引起来),在所指定的文件里,再一行一行的写入ACLLIST
以下针对几种常用的ACL类型,说明如何完成控制客户端对SQUID PROXY的联机限制。
 
1.src限制
这种限制诶行的设置格式如下:
ACL ACL名称 SRC IP-NETWORK/NETMASK IP-NETWORK/NETMASK
用法:
使用src ACL类型的时候,后面必须是受限制的客户端的IP地址以及其掩码,也可以使用CIDR的格式,请注意SRC 是 source(来源)的意思,这种ACL是针对来源客户端的IP地址进行存取管理,使用src ACL类型的时候不能在后面输入FQDN
 
acl member src 192.168.1.0/24
主要是用来设定可以使用proxy Server的来源范围
 
其设置方式如下
acl all src 0.0.0.0/0.0.0.0;ACL名称为ALL ,并且限制来源的范围是0.0.0.0/0.0.0.0(所有)
 
acl local src 127.0.0.1/32 192.168.1.0/255.255.255.0
;这种写法适合单主机ACL名称是LOCAL来源范围是127.0.0.1/32 192.168.1.0/255.255.255.0
 
acl reject src 210.110.0.0/16 163.21.136.100/32
ACL名称是reject,reject的来源是210.110.0.0/16网域和一个163.21.136.100/32单一主机
 
acl members src 163.21.0.0/16 203.100.77.0/24
ACL的名称是MEMBER member的来源是163.21.0.0/16 网域 203.100.77.0/24网域
 
SRC限制类型,在squid存取管理里是运行速度最快的,因此如果需要对下层的客户或者是squid代理服务器做联机管理,建议使用src限制类型定义管制的来源对象,这种方式时如果有相当多的来源对象,需不断将“IP地址/掩码”加入在src语句后面,不要自动换行,但是加在src语句后面的长度会收到字符串总长度不能超过255字符的限制,因此如果使用src限制的来源对象众多的时候,请改用第二中方式即 “acl acl名称 ACL类型 “文件的路径””来做来源限制,如下所示:
acl members src "/etc/squid/myfriends"
 
接着在/etc/squid/myfriends文件里,将源IP地址/掩码,一行,一行写入,如
163.21.0.0/26
163.21.0.1/32
.................
 
在此强烈建议使用这种方法,这样可以更加快速的定义受管制的来源对象
 
2http_access命令
定义完ACL之后,暂时还无法对联机的客户端做存取控制,必须进入第二个阶段,用命令http_access设置ACL的存取权限,其语法如下:
用法:
http_access allow|deny acl名称
 
说明:
1.http_access申明设置ACL存取权限的命令
2.allow|deny 控制权限的方式。allow是允许,deny是拒绝
3.acl名称:用acl命令定义的acl名称,如前例的reject,member
以前设置的acl,all,local,reject,member为例,说明怎样设置acl的存取权限
 
http_access allow all
上式表示所有的网域都可以联机到本机的代理服务器,如果要限定特定的联机客户端,就要取消以上定义式,而改用
 
#http_access allow all
http_access allow mebmers
 
如果要定义ACL reject所定义的来源范围,拒绝使用本代理服务器,则可以定义如下:
http_access deny reject
 
在定义ACL存取权限的时候,allow和deny可以一起混用,但是必须注意存取的权限对象的先后顺序,在排列存取对象的先后顺序时,应当吧权限限制最低的项目放在前面,而权限限制最高的项目放在后面,如下列所示:
 
http_access dney rejector
http_access allow members
http_access allow local
http_access deny all
 
注意,由于members与local的来源范围有所重复,因此,需将范围交大的ACL放在范围较小的ACL的前面,习惯上做ACL存取权限定义的时候,会在定义权限限制的最末行加上“http_access deny all”,以明确的拒绝其他客户的联机要求。
 
在用http_access allow(deny)对acl对象做如上例的members做设置的时候,可以使用“!”符号做反向存取控制,如:members的定义是acl members src 163.21.110.0/24,如果设置如下:
http_access allow !members
 
表示客户端的来源IP只要不是163.21.110.0/24这个IP网域的用户,都可以使用代理。
 
当设置好存取控制之后,就先存储,并退出/etc/squid/squid.conf文件,然后让squid重新获得配置文件 squid -k reconfigure
 
补充:
读者可能已经注意到上面的使用http_access allow |deny设置存取权限的时候,acl名称都只有一个这是因为在,如果在这个命令后面接多个acl名称的话,其作用是对member1和member2的交集做存取控制,也就是说,如果这两个对象如果没有交集(一般情况)那么这条存取控制就实效,导致客户端无法使用代理服务器。如果acl名称定义的是time类型的存取控制类型,则可以与src,dst,srcdomain,dstdomain,url_pattern,urlpath_pattern,url_regex,urlpath_regex等存取控制类型搭配使用
 
3dst限制类型
 
用法
acl acl名称 dst ip-network/netmask ip-network/netmask
说明:
dst,就是distance,目的地。使用这种限制类型,可以用来对客户端要存取的“目的地”做权限控制,dst限制类型的对象是目的地的ip地址/掩码对
 
范例:
acl sex dst “/etc/squid/sex.list"
acl violence dst 210.96.0.0/16 210.128.1.0/24
http_access deny sex
http_access deny violence
 
上述设置可以用来防止不健康的网站的联机,不过一般而言,搜集不健康的网络的IP比较麻烦,所以通常防止不健康网站联机的时候,使用dstdomain限制类型较为方便
 
4srcdomain限制类型
用法:
acl acl名称 srcdomain 来源网址1 来源网址2.......
说明:
src限制类型适用于来源范围是IP地址,而srcdomain限制类型则适用于来源范围是域名或FQDN(完整域名)。
范例:
acl friends srcdomain tp.edu.cn tpc.edu.cn tmtc.edu.cn
acl 客户s srcdomain "/etc/squid/客户_list"
http_access allow friends
http_access allow clients
 
上述定义表示,允许来自tp.edu.cn tpc.edu.cn tmtc.edu.cn三个网域,以及客户_list文件里所列的域名的主机,使用本机的代理服务器。srcdomain之后通常接“域名”,如:tp.edu.cn。当然,也可以使用单一主机的FQDN,如:proxy.dfes.bj.edu.cn
注意:
用srcdomain限制类型,由于代理服务器要用DNSSERVER做域名解析在做来源范围过滤时,速度会很慢。
 
5.dstdomain限制类型
用法:
acl acl名称 dstdomain 目的网域1 目的网域2.......
说明:
dst限制类型适用于目的范围地址是IP地址,而dstdomain限制类型,则适用于目的范围是域名或FQDN(完整域名)
 
范例:
acl sex dstdomain "etc/squid/sex.list"
acl violence dstdomain "etc/squid/violence.list"
 
http_access deny sex;拒绝联机到色情网站
http_access deny violence;拒绝联机到暴力网站
 
/etc/squid/sex.list文件内容
girl.com
 
dstdomain限制类型由于可对客户端所要缓冲的目的域做联机控制,因此非常适用于对不健康网站进行保护。以上例来说,建议读者将不见看的网域分为多个ACL,例如SEX,VIOLENCE等,再将不健康的网站一一列在指定的文件里,如sex.list,violence.list如此一来,就可以很轻松的做好限制访问不健康的网站的工作。
 
6.url_regex限制类型
用法:
acl acl名称 url_regex URL1 URL2
说明:
dstdomain限制类型对限制不健康网站的访问很有用,但却把整个网站都设置为拒绝联机,例如很多的著名的商业网站,在提供各类服务的同时也包含色情,暴力等网站的查询,当进行不见看的网站限制访问时,不能因为这个因素将其纳入黑名单,必须正对URL地址做控制才对,但是通过dstdomain限制无法做到的。此时,可改用URL_REGEX限制类型
 
范例:
acl sex1 url_regex^http
//dir.kimo.com/recreation/sex/$
acl sex2 url_regex^http://dir.kimo.com/recreation/sex$
acl violence url_regex "etc/squid/violence.list"
 
http_access deny sex1;拒绝联机到特定的URL地址
.......
 
URL_REGEX限制类型后面所接的是用正则表达式regular express表示的匹配对象,最简单的形似是"^URL$",也就是说在URL地址的前面加上^,表示匹配的开头,在URL的地址后面加上$标识匹配的结尾,请注意,我们在范例中给出的第一和第二个例子是不同的,请注意区分,如果您熟悉正则表达式,那么可以自己定制相应的URL
 
正则表达式的相关基础,详细在网络上有很多的介绍,在这里就不再累述了。
 
7.urlpath_regex限制类型
用法
acl acl名称 urlpath_regex URL1,URL2
 
说明:URL_REGEX限制类型主要适用于匹配网站的URL 如:“http://dir.kimol.com.cn/$" 如果针对某个网页,文件,图片的URL地址做存取控制,就得改用urlpath_regex限制类型。urlpath_regex限制类型主要用来对"http://bj.edu/works/js/js001.gif"这种完整的网页,文件,图形的URL地址来做存取控制。
范例:
acl dst urlpath_regex
^http://www.bj.edu/works/js001.gif$
 
http_access deny dst1 ;拒绝联机到特定URL地址
http_access deny dst2 ;拒绝联机到特定URL地址
 
urlpath_regex限制类型其后所接的也是正则表达式描述的URL地址。最简单的形式也是:”^URL$",也就是说在URL地址前面加上“^”,标识样式匹配的开头,在URL地址的后面加上"$",表示样式匹配的结果,如“
^http://www.bj.edu/works/js001.gif$”
 
8.time限制类型
用法:
acl acl名称 time [day-abbrevs] [h1:m1-h2:m2]
说明:
squid的ACL的限制类型,除了前面几种常用的类型外,还有一种相当特殊的ACL限制类型,TIME限制类型:time限制类型,time限制类型不能单独使用,必须配合其他限制类型结合使用,使用TIME限制类型的时候,请在 [day-abbrevs]栏填入所控制的“天”(星期几的英文所写),如:SM(表示SUNDAY,MONDAY)在[h1:m1-h2:m2]填入控制的时间,用24小时制计算,如:09:00-22:30。以下列出time限制类型用法:
 
#acl aclname time [day-abbrevs] [h1:m1-h2:m2]
#day-abbreves:
#S-Sunday
#M-Monday
#T-Tuesday
#W-Wednesday
#H-Thursday
#F-Friday
#A-Saturday
#h1:m1必须小于h2:m2
 
范例一:
acl members src "/etc/squid/myfriends"
acl Do_work time MTWHF 07:00-20:00
 
http_access allow Do_work members
http_access deny Do_work
 
上例是先用SRC限制类型指定来源范围的MEMBERS ACL:第二行用TIME限制类型定义限制联机的时间是:星期一到星期5,每天从早上7点到晚上8点,指定给Do_work ACL:第三行是重点,将Do_work,members放在http_access allow后,表示允许members联机,且限制在Do_works指定的时间里
 
范例二
 
acl members src "/etc/squid/myfriends"
acl Do_work time MTWHF 07:00-20:00
acl all src 0.0.0.0/0
acl Don’t_work time s 01:00-02:00
 
http_access deny Dont_work all
http_access allow Do_work members
http_access deny Do_work
 
这个范例,增加了一个设定,是设置每个星期天凌晨1点到2点间不允许所有的客户端联机,通常这段时间用来做系统整理LOG文件或者重新启动SQUID_DEAMON

 


本文转自 pk2008 51CTO博客,原文链接:http://blog.51cto.com/837244/891597


版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

相关文章
23703
文章
0
问答
文章排行榜
最热
最新
相关电子书
更多
低代码开发师(初级)实战教程
立即下载
阿里巴巴DevOps 最佳实践手册
立即下载
冬季实战营第三期:MySQL数据库进阶实战
立即下载