架设 Squid 代理服务器

ArticleCategory: [Choose a category, do not translate this]

AuthorImage:[Here we need a little image from you]

TranslationInfo:[Author + translation history. mailto: or http://homepage]

original in en D.S. Oberoi

en to zh Free Neil

AboutTheAuthor:[A small biography about the author]

Abstract:[Here you write a little summary]

ArticleIllustration:[This is the title picture for your article]

ArticleBody:[The article body]

Squid 已经安装了吗？

rpm -q squid
   

rpm -ivh squid-2.3.STABLE4-10.i386.rpm
   

配置 Squid

http_port 192.168.0.1:8080

访问控制

• src : 源地址 （即客户机IP地址）
• dst : 目标地址 （即服务器IP地址）
• srcdomain : 源名称 （即客户机名称）
• dstdomain : 目标名称 （即服务器名称）
• time : 一天中的时刻和一周内的一天
• url_regex : URL 规则表达式匹配
• urlpath_regex: URL-path 规则表达式匹配，略去协议和主机名
• proxy_auth : 通过外部程序进行用户验证
• maxconn : 单一 IP 的最大连接数

acl   acl_element_name   type_of_acl_element values_to_acl

1. acl_element_name 可以是任一个在 ACL 中定义的名称。
2. 任何两个 ACL 元素不能用相同的名字。
3. 每个 ACL 由列表值组成。当进行匹配检测的时候，多个值由逻辑或运算连接；换言之，即任一 ACL
   元素的值被匹配，则这个 ACL 元素即被匹配。
4. 并不是所有的 ACL 元素都能使用访问列表中的全部类型。
5. 不同的 ACL 元素写在不同行中，Squid 将把它们组合在一个列表中。

• http_access: 允许 HTTP 访问。这个是主要的访问控制条目。
• no_cache: 定义对缓存请求的响应。

1. 这些规则按照它们的排列顺序进行匹配检测，一旦检测到匹配的规则，匹配检测就立即结束。
2. 一个访问列表可以又多条规则组成。
3. 如果没有任何规则与访问请求匹配，默认动作将与列表中最后一条规则对应。
4. 一个访问条目中的所有元素将用逻辑与运算连接：
   http_access Action 声明1 AND 声明2 AND 声明 OR.
   http_access Action 声明3
   多个 http_access 声明间用或运算连接，但每个访问条目的元素间用与运算连接。
5. 请记住列表中的规则总是遵循由上而下的顺序。

回到配置 Squid

acl mynetwork 192.168.0.1/255.255.255.0
http_access allow mynetwork

service squid start

1. service squid restart 或
2. /etc/rc.d/init.d/squid restart

配置客户端

1. 点击菜单上的 工具 -> Internet 选项
2. 选择 连接 并单击 局域网设置
3. 选中 使用代理服务器 输入上述代理服务器的 IP 地址和端口。

1. 点击菜单上的编辑（Edit）->首选项（Preference）->高级（Advanced）->代理服务器（Proxies）。
2. 选中手动配置代理服务器（Manual Proxy Configuration）。
3. 点击查看（View） 并
4. 输入上述代理服务器的 IP 地址和端口。

使用访问控制

1. 允许列表中的机器访问 Internet。
   

   acl allowed_clients src 192.168.0.10 192.168.0.20 192.168.0.30
   http_access allow allowed_clients
   http_access deny !allowed_clients

   这个规则只允许 IP 地址为 192.168.0.10、192.168.0.20 及 192.168.0.30 的机器
   访问 Internet，其他 IP 地址的机器则都被拒绝访问。



2. 限制访问时段。
   

   acl allowed_clients src 192.168.0.1/255.255.255.0
   acl regular_days time MTWHF 10:00-16:00
   http_access allow allowed_clients regular_days
   http_access deny !allowed_clients

   这个规则允许子网192.168.0.1中的所有客户机在周一到周五的上午10:00到下午4:00
   访问 Internet。



3. 为不同的客户机分配不同的访问时段。
   

   acl hosts1 src192.168.0.10
   acl hosts2 src 192.168.0.20
   acl hosts3 src 192.168.0.30
   acl morning time 10:00-13:00
   acl lunch time 13:30-14:30
   acl evening time 15:00-18:00
   http_access allow host1 morning
   http_access allow host1 evening
   http_access allow host2 lunch
   http_access allow host3 evening
   http_access deny all

   在这个规则中，主机 host1 可以在 morning 和 evening 时段访问 Internet，主机
   host2 和 host3 分别只能在 lunch 和 evening 时段访问 Internet。
   
   注：
   一个访问条目中所有的元素之间用与运算按下述方式连接 ：

   http_access Action statement1 AND staement2 AND statement OR.

   多个 http_access 声明之间用或运算连接而每个访问条目中的元素用与运算连接，见
   下：

   http_access allow host1 morning evening

   无法在时段 morning 和时段 evening 同时进行(morning AND evening )，这个表达
   式将不会返回真值（TRUE），从而这个条目将不会引发任何动作。



4. 站点屏蔽
   Squid 可以屏蔽某些特定站点或含有某些特定字词的站点。可以用下面的规则实现：

   acl allowed_clients src 192.168.0.1/255.255.255.0
   acl banned_sites url_regex abc.com *()(*.com
   http_access deny banned_sites
   http_access allow allowed_clients
   

   也可以用以屏蔽含有某些特定字词（比如说 dummy、fake）的站点

   acl allowed_clients src 192.168.0.1/255.255.255.0
   acl banned_sites url_regex dummy fake
   http_access deny banned_sites
   http_access allow allowed_machibes

   在实际应用中，不需要把需屏蔽的所有站点或字词都列在上面，可以先保存在一个文件
   中（请查看 /etc 目录中的 banned.list文件）ACL 将从这个文件中读出所需信息用以
   屏蔽被禁止的站点。

   acl allowed_clients src 192.168.0.1/255.255.255.0
   acl banned_sites url_regex "/etc/banned.list"
   http_access deny banned_sites
   http_access allow allowed_clients

5. 优化
   Squid 可以通过使用 maxconn 元素来限制客户端连接的数目。 要使用这个选项，必须
   先允许 client_db。

   acl mynetwork 192.168.0.1/255.255.255.0
   acl numconn maxconn 5
   http_access deny mynetwork numconn

   注：
   maxconn ACL 使用小于（less-than）对比。此 ACL 规则将在连接数大于设定值时被匹配。
   这是 ACL 不与 http_access 允许规则连用的主要原因。



6. 缓存数据
   对于静态页面，缓存的数据能够立刻回送到发出请求的客户端。没有必要去缓存 cgi-bin
   或 Servlet，这些可以用 ACL 元素 no_cache 来禁止。

   acl cache_prevent1 url_regex cgi-bin /?
   acl cache_prevent2 url_regex Servlet
   no_cache deny cache_prevent1
   no_cache deny cache_prevent2

7. 自定错误反馈信息
   可以用拒绝规则的 deny_info 选项来自定错误反馈信息。Squid 默认的错误信息放在
   /etc/squid/errors 目录中。这个目录可以用 error_directory 选项指定。您也可以
   定制现存的错误反馈信息。

   acl allowed_clients src 192.168.0.1/255.255.255.0
   acl banned_sites url_regex abc.com *()(*.com
   http_access deny banned_sites
   deny_info ERR_BANNED_SITE banned_sites
   http_access allow allowed_clients

   在上面的例子中，当用户试图访问被禁止的站点时，将会显示一条定制的信息。
   ERR_BANNED_SITE 选项中的文件名必须在上述的错误信息的目录中。错误信息必须是 HTML 格
   式的。上面列出了 ACL 的一些选项，您可以参看 Squid 主页上的 FAQ 文档 以获得使用 ACL
   更多的信息。

日志

cache_access_log      For access.log
cache_log             For cache.log
cache_store_log       For store.log (Store manager)
pid_filename          Squid process ID file name

验证方式

1. LDAP : 使用 Linux Lightweight 目录访问协议（Linux Lightweight Directory Access Protocol）
2. NCSA : 使用 NCSA 风格的用户名和密码档
3. SMB : 使用 SMB 协议的服务，如 SAMBA 或 Windows NT
4. MSNT : 使用 Windows NT 的域验证
5. PAM : 使用 Linux 的可装载验证模块
6. getpwam : 使用 Linux 密码档

acl pass proxy_auth REQUIRED
acl mynetwork src 192.168.0.1/255.255.255.0
http_access deny !mynetwork
http_access allow pass
http_access deny all

参考资料

• Squid Home, www.squid-cache.org
• Squid Documentation Project, squid-docs.sourceforge.net
• visolve.com
• For Proxy Authentication, home.iae.nl/users/devet/squid/proxy_auth