首页  |  站点地图  |  索引  |  搜索

by D.S. Oberoi <ds_oberoi(at)yahoo.com> 关于作者: D.S. Oberoi 生活在印度的 Jammu,印度目前由于政局紧张，普遍难以连接上 Internet。 目录: Squid 已经安装了吗？ 配置 Squid 访问控制 回到配置 Squid 配置客户端 使用访问控制 日志 验证方式 参考资料 对这篇文章发表评论

架设 Squid 代理服务器

摘要:

Linux 目前已经逐步成为网络的同义词。它可以在办公环境或日常家庭中作为文件服务器、打印服务器、
邮件服务器以及应用软件服务器来使用， 并且逐渐作为代理服务器来使用。
一台代理服务器可以通过一个Internet连接在同一时间为不同的用户提供Internet访问服务。好的代理服
务器同时还为访问请求提供缓存服务，这样当一个本地访问请求到达时，代理服务器会先在缓存记录里查
找有无相同的请求，如果有，则从缓存中把数据直接回送到客户端，从而缩短访问WEB的时间并减轻带宽
的压力。
Squid 是一个支持Proxy、HTTP缓存、Ftp、Gopher 等等的软件，它也支持SSL、访问控制、DNS缓存并且为
所有的请求做记录。Squid 在 Windows NT 下也可用，详见 Logi Sense.

本文的重点是为配置一台代理服务器并为用户提供可控访问提供基本的指导。

 

Squid 已经安装了吗？

rpm -q squid
   

rpm -ivh squid-2.3.STABLE4-10.i386.rpm
   

配置 Squid

http_port 192.168.0.1:8080

访问控制

• src : 源地址 （即客户机IP地址）
• dst : 目标地址 （即服务器IP地址）
• srcdomain : 源名称 （即客户机名称）
• dstdomain : 目标名称 （即服务器名称）
• time : 一天中的时刻和一周内的一天
• url_regex : URL 规则表达式匹配
• urlpath_regex: URL-path 规则表达式匹配，略去协议和主机名
• proxy_auth : 通过外部程序进行用户验证
• maxconn : 单一 IP 的最大连接数

acl   acl_element_name   type_of_acl_element values_to_acl

1. acl_element_name 可以是任一个在 ACL 中定义的名称。
2. 任何两个 ACL 元素不能用相同的名字。
3. 每个 ACL 由列表值组成。当进行匹配检测的时候，多个值由逻辑或运算连接；换言之，即任一 ACL
   元素的值被匹配，则这个 ACL 元素即被匹配。
4. 并不是所有的 ACL 元素都能使用访问列表中的全部类型。
5. 不同的 ACL 元素写在不同行中，Squid 将把它们组合在一个列表中。

• http_access: 允许 HTTP 访问。这个是主要的访问控制条目。
• no_cache: 定义对缓存请求的响应。

1. 这些规则按照它们的排列顺序进行匹配检测，一旦检测到匹配的规则，匹配检测就立即结束。
2. 一个访问列表可以又多条规则组成。
3. 如果没有任何规则与访问请求匹配，默认动作将与列表中最后一条规则对应。
4. 一个访问条目中的所有元素将用逻辑与运算连接：
   http_access Action 声明1 AND 声明2 AND 声明 OR.
   http_access Action 声明3
   多个 http_access 声明间用或运算连接，但每个访问条目的元素间用与运算连接。
5. 请记住列表中的规则总是遵循由上而下的顺序。

回到配置 Squid

acl mynetwork 192.168.0.1/255.255.255.0
http_access allow mynetwork

service squid start

1. service squid restart 或
2. /etc/rc.d/init.d/squid restart

配置客户端

1. 点击菜单上的 工具 -> Internet 选项
2. 选择 连接 并单击 局域网设置
3. 选中 使用代理服务器 输入上述代理服务器的 IP 地址和端口。

1. 点击菜单上的编辑（Edit）->首选项（Preference）->高级（Advanced）->代理服务器（Proxies）。
2. 选中手动配置代理服务器（Manual Proxy Configuration）。
3. 点击查看（View） 并
4. 输入上述代理服务器的 IP 地址和端口。

使用访问控制

1. 允许列表中的机器访问 Internet。
   

   acl allowed_clients src 192.168.0.10 192.168.0.20 192.168.0.30
   http_access allow allowed_clients
   http_access deny !allowed_clients

   这个规则只允许 IP 地址为 192.168.0.10、192.168.0.20 及 192.168.0.30 的机器
   访问 Internet，其他 IP 地址的机器则都被拒绝访问。



2. 限制访问时段。
   

   acl allowed_clients src 192.168.0.1/255.255.255.0
   acl regular_days time MTWHF 10:00-16:00
   http_access allow allowed_clients regular_days
   http_access deny !allowed_clients

   这个规则允许子网192.168.0.1中的所有客户机在周一到周五的上午10:00到下午4:00
   访问 Internet。



3. 为不同的客户机分配不同的访问时段。
   

   acl hosts1 src192.168.0.10
   acl hosts2 src 192.168.0.20
   acl hosts3 src 192.168.0.30
   acl morning time 10:00-13:00
   acl lunch time 13:30-14:30
   acl evening time 15:00-18:00
   http_access allow host1 morning
   http_access allow host1 evening
   http_access allow host2 lunch
   http_access allow host3 evening
   http_access deny all

   在这个规则中，主机 host1 可以在 morning 和 evening 时段访问 Internet，主机
   host2 和 host3 分别只能在 lunch 和 evening 时段访问 Internet。
   
   注：
   一个访问条目中所有的元素之间用与运算按下述方式连接 ：

   http_access Action statement1 AND staement2 AND statement OR.

   多个 http_access 声明之间用或运算连接而每个访问条目中的元素用与运算连接，见
   下：

   http_access allow host1 morning evening

   无法在时段 morning 和时段 evening 同时进行(morning AND evening )，这个表达
   式将不会返回真值（TRUE），从而这个条目将不会引发任何动作。



4. 站点屏蔽
   Squid 可以屏蔽某些特定站点或含有某些特定字词的站点。可以用下面的规则实现：

   acl allowed_clients src 192.168.0.1/255.255.255.0
   acl banned_sites url_regex abc.com *()(*.com
   http_access deny banned_sites
   http_access allow allowed_clients
   

   也可以用以屏蔽含有某些特定字词（比如说 dummy、fake）的站点

   acl allowed_clients src 192.168.0.1/255.255.255.0
   acl banned_sites url_regex dummy fake
   http_access deny banned_sites
   http_access allow allowed_machibes

   在实际应用中，不需要把需屏蔽的所有站点或字词都列在上面，可以先保存在一个文件
   中（请查看 /etc 目录中的 banned.list文件）ACL 将从这个文件中读出所需信息用以
   屏蔽被禁止的站点。

   acl allowed_clients src 192.168.0.1/255.255.255.0
   acl banned_sites url_regex "/etc/banned.list"
   http_access deny banned_sites
   http_access allow allowed_clients

5. 优化
   Squid 可以通过使用 maxconn 元素来限制客户端连接的数目。 要使用这个选项，必须
   先允许 client_db。

   acl mynetwork 192.168.0.1/255.255.255.0
   acl numconn maxconn 5
   http_access deny mynetwork numconn

   注：
   maxconn ACL 使用小于（less-than）对比。此 ACL 规则将在连接数大于设定值时被匹配。
   这是 ACL 不与 http_access 允许规则连用的主要原因。



6. 缓存数据
   对于静态页面，缓存的数据能够立刻回送到发出请求的客户端。没有必要去缓存 cgi-bin
   或 Servlet，这些可以用 ACL 元素 no_cache 来禁止。

   acl cache_prevent1 url_regex cgi-bin /?
   acl cache_prevent2 url_regex Servlet
   no_cache deny cache_prevent1
   no_cache deny cache_prevent2

7. 自定错误反馈信息
   可以用拒绝规则的 deny_info 选项来自定错误反馈信息。Squid 默认的错误信息放在
   /etc/squid/errors 目录中。这个目录可以用 error_directory 选项指定。您也可以
   定制现存的错误反馈信息。

   acl allowed_clients src 192.168.0.1/255.255.255.0
   acl banned_sites url_regex abc.com *()(*.com
   http_access deny banned_sites
   deny_info ERR_BANNED_SITE banned_sites
   http_access allow allowed_clients

   在上面的例子中，当用户试图访问被禁止的站点时，将会显示一条定制的信息。
   ERR_BANNED_SITE 选项中的文件名必须在上述的错误信息的目录中。错误信息必须是 HTML 格
   式的。上面列出了 ACL 的一些选项，您可以参看 Squid 主页上的 FAQ 文档 以获得使用 ACL
   更多的信息。

日志

cache_access_log      For access.log
cache_log             For cache.log
cache_store_log       For store.log (Store manager)
pid_filename          Squid process ID file name

验证方式

1. LDAP : 使用 Linux Lightweight 目录访问协议（Linux Lightweight Directory Access Protocol）
2. NCSA : 使用 NCSA 风格的用户名和密码档
3. SMB : 使用 SMB 协议的服务，如 SAMBA 或 Windows NT
4. MSNT : 使用 Windows NT 的域验证
5. PAM : 使用 Linux 的可装载验证模块
6. getpwam : 使用 Linux 密码档

acl pass proxy_auth REQUIRED
acl mynetwork src 192.168.0.1/255.255.255.0
http_access deny !mynetwork
http_access allow pass
http_access deny all

参考资料

• Squid Home, www.squid-cache.org
• Squid Documentation Project, squid-docs.sourceforge.net
• visolve.com
• For Proxy Authentication, home.iae.nl/users/devet/squid/proxy_auth

对这篇文章发表评论

2002-03-13, generated by lfparser version 2.27