Squid搭建

<--目录-->

1）Squid理论知识
2）Squid服务器的搭建

【Squid理论知识】
Squid代理缓存服务器

一、搭建代理服务器
1、什么是代理服务器，用在哪里
当一个用户想要下载一个主页时，它向Squid发出一个申请，要Squid替它下载，然后Squid连接
所申请网站并请求该主页，接着把该主页传给用户同时保留一个备份，当别的用户申请同样的页
面时，Squid把保存的备份立即传给用户，使用户觉得速度相当快,nginx只能缓存静态页面。

或

能当替用户去访问公网，并且能把访问到的数据缓存到服务器本地，等用户下次再访问相同的资
源的时候，代理服务器直接从本地回应给用户，当本地没有的时候，我代替你去访问公网，我接
收你的请求，我先在我自已的本地缓存找，如果我本地缓存有，我直接从我本地的缓存里回复你，
如果我在我本地没有找到你要访问的缓存的数据，那么代理服务器就会代替你去访问公网

2、实现代理服务的软件有哪些 (Squid nginx varnish)

3、工作原理
Cache
^|
2||3
|v
___ 1 ___ 5 ____
| | -------------> | |-------------> | |
|___| <------------- |___|<------------- |____|
4 6
客户机 Squid代理服务器 www.163.com

首先代理服务器要有两块网块，一块连接公网，一块连接私网，如果私网有两个网段，那就要三块网卡，一块连接公网，两块连接
私网；然后在客户机浏览器里指定代理服务器的IP地址和端口号，访问网站的时候，就会读浏览器里的配置，就会把请求发给指的
IP主机，而端口号就是Squid响应用户的哪个请求，代理服务器接收到了，首先会先查看acl（访问控制列表），acl在配置文件里定义，看满不满
足acl的控制列表的控制，如果满足，会先在缓存里查询，有就直接回应，没有就代替你去访问真正的目标主机，然后会先保存一份
放在缓存里，然后再回应用户的请求

4、拓扑图

192.168.1.0/24
内网客户端主机 Squid代理 公网Web服务器

192.168.1.254/24
eth0 192,168.1.10 eth0
pc100---------------------squid--------------web eth01.1.1.1
eth1
访问 1.1.1.254/8 http://1.1.1.1
准备3台rhel5的操作系统的服务器，彼此间可以正常通信，其中代理服务器有2块网卡
关闭所有服务器的 selinux iptables; 开发工具、开发库软件包组已安装
如果代理服务器连接两个不网段的主机那就要三个网卡，两个连接不同网段的内网，一个连接公网

常用配置项
主配置文件路径 /etc/squid/squid.conf
主配置文件 squid.conf
模板文件 /etc/squid/squid.conf.defualt
监听端口号 http_port 3128
查询缓存的大小 cache_mem 8 MB //设置为真机内存的三分之一或三分之二
cache_dir ufs /var/spool/squid 100 16 256
文件类型 缓存目录名 目录大小M 一级目录个数 二级目录个数
access_log /var/log/squid/access.log suqid //日志存路径，最后面的squid是记录文件的格式

visible_hostname proxy.wsyht.com //设置代理服务器的主机名

/etc/hosts
192.168.1.254 proxy.wsyht.com proxy //在代理服务器本机设置了主机名，也要在hosts里面设置，可以内网IP或外网IP，必须要设，否则服务启不来

maximum_object_size 4096 KB //允许缓存的最大对像
reply_body_max_size 10240000 allow all //允许访问的最大对像

进程名 squid
端口 3128
进程所有者 squid
传输协议 TCP

代理方式

普通代理：
客户端必须在自已的浏览器里指定代理服务器的IP地址和监听的端口号，
才能通过代理服务器访问公网的网站服务

普通代理的好处：节省缓存服务器到公网这部分的带宽，加大访问速度

透明代理
客户端不需要在浏览器里指定代理服务器的IP地址和监听的端口号就可以
直接访问公网上的网站服务器给用户的感觉就是自已直接和公网通信的

适用于企业的网关主机（共享接入Internet）中
客户机不需要指定代理服务器地址、端口等信息
需要设置防火墙策略将客户机的Web访问数据转交给代理服务程序处理

透明代理的好处：节省缓存服务器到公网这部分的带宽，加大访问速度，
客户端不用在浏览器设置指定IP和端口号

普通代理和透明代理都是代替局域网用户访问公网

反向代理（代替公网客户端访问内网的网站服务器）
反向代理的好处:
加快公网的访问速度
节省内网到缓存服务器这部分的带宽
减少服务器的压力
使公网的用户不知道我真正的服务器的IP

acl 访问控制列表
acl的作用：squid服务使用acl限制客户端通过自已可以访问的网络资源

inside-web<------------反向代理 <------------ internet

透明代理
pc--------------------> -------------> internet-web
普通代理

acl在主配置文件squid.conf文件中定义
定义acl格式：

acl acl名称 类型 匹配内容

acl类型
src 源地址
acl all src 0.0.0.0/0.0.0.0 //所有网段的所有主机
acl pc1 src 192.168.1.1/255.255.255.255 //只有1.1可以访问
acl pc2 src 192.168.1.0/8 //前三位必段固定匹配，后面一位数字可以改变，条件匹配才可以访问
http_access allow pc1
http_access deny all
网段
IP地址

dst 目标地址
网段
IP地址

port 端口
80
21,22,25
25-101

dsdomain 目标域
www.baidu.com
.sina.com.cn

time 访问时间
acl 名称 time 星期 起始时间-结束时间 //星期是周一到周日单词的首字母
acl aclname time [day-abbrevs] [h1:m1-h2:m2]
例：
acl worktime MTWHFAS 09:00-18:00
http_access deny pc2 worktime
# day-abbrevs:
# S - Sunday
# M - Monday
# T - Tuesday
# W - Wednesday
# H - Thursday
# F - Friday
# A - Saturday

maxconn 最大并发连接
20
例：
acl pc2 maxconn 10

url_regex 目标URL地址 http:// ftp://

Urlpath_regex 整个目标URL路径 http://xxx.xxx.xx
acl的使用规则：
先定义后调用，acl名称具有唯一性要有标识性，acl也可以只定义不调用
类型关健字是固定的，类型acl已经提供好的，不同的类型匹配不同的数据
匹配内容根据类型写不同的匹配方式

调用acl的命令
http_access deny acl名称列表（acl名称用空格间隔）

http_access allow acl名称列表（acl名称用空格间隔）

deny 拒绝
allow 允许

http_access的匹配顺序：
遇到匹配的就执行，后边的就不在匹配了

安例：

http_access deny/allow acl名称列表

vim squid.conf
acl notpc src 192.168.1.250/255.255.255.255
http_access deny notpc

acl all src 0.0.0.0/0.0.0.0
acl my192 src 192.168.1.0/24
acl my193 src 192.168.2.0/24
acl my193 src 192.168.3.0/24

http_access allow my192
http_access deny all

vim /etc/squid/ipblosck.list //定义条件匹配文件，名字随便起，但所属组和所属用户必须为squid，路径存放在哪里都行
61.135.16.36
60.28.16.0./24

vim /etc/wquid/dmblock.list
.qq.com
.msn.com

vim /etc/quid/squid.conf
acl ipaddress dst "/etc/squid/ipblock.list"
acl dmname dstdomain "/etc/squid/dmblock.list"
http_access deny ipaddress
http_access deny Dmname

Acl案例
acl LAN1 src 192.168.1.0/24
acl PC1 src 192.168.1.66/32
acl Blk_Domain dstdomain .qq.com .kaixin001.com
acl Work_Hours time MTWHF 08:30-17:30
acl MAX20_Conn maxconn 20
acl Blk_URL url_regex -i ^rtsp:// ^mms://
ACL blk_Words urlpath_regex -i sex adult
acl RealFile urlpath_regex -i \.rmvb$ \.rm$ \.mp3$

http_access deny LAN1 Blk_URL
http_access deny LAN1 Blk_Words
http_access deny PC1 RealFile
http_access deny PC1 Max20_Conn
http_access deny LAN1 Work_Hours

【Squid服务器的搭建】
实验拓扑：

内网客户端 代理缓存服务器
eth0 192.168.1.10 eh0 192.168.1.254/24 公网网站
Pc100----------------------------Squid---------------------------Web eth0 1.1.1.1
eth1 1.1.1.254/8

三台主机公共配置（实验一、二、三都需配置）
#service iptables stop
#chkconfig --level 35 iptables off
#setenforce 0
#yum -y groupinstall "开发工具" "开发库"

实验一:
普通代理服务器的搭建（代理服务器代替局域网用户访问公网网站）

一、配置代理服务器
安装提供代理服务的软件包（Squid）
#yum -y install squid
#chkconfig --level 35 squid on

修改主配置文件
#vi /etc/squid
...
1579 cache_mem 8MB //取消注释
1786 cache_dir ufs /var/spool/squid 100 16 256 //取消注释
637 http_access allow all //取消注释，允许所有访问
...

启动代理服务
#service squid start

二、配置公网网站服务器（启动服务、编写网页文件）
#echo "00000" /var/www/html/index.html
#service httpd start
#chkconfig --level 35 httpd on

三、配置客户端（192.168.1.10）
在浏览器里指定服务器的ip地址和端口号
#firefox &
点击菜单栏 编辑->首选项->高级->网络->设置->HTTP 代理: 192.168.1.254 端口: 3128

浏览器地址栏访问 http://1.1.1.1
实验二：
透明代理服务器的搭建（代理服务器代替局域网用户访问公网网站）

一、配置代理服务器
开启防火墙
#setup
#service iptables start
#iptables -F
#iptables -nvL
#service iptables save
#chkconfig --level 35 iptables on

在代理服务器上配置防火墙规则，把本机接收到的访问目标端口是80的请求转机本机的3128端口
#iptables -t nat -A PREROUTING -i eth0 -s 192.168.1.0/24 -p tcp --dport 80 -j REDIRECT --to-ports 3128
#iptables -t nat -A PREROUTING -i eth0 -s 192.168.1.0/24 -p tcp --dport 443 -j REDIRECT --to-ports 3128
#service iptables save

修改squid服务的代理方式改为透明代理
#vi /etc/squid/squid.conf
...
922 http_port 3128 transparent //设置代理方式为透明代理
...

重启服务
service squid restart

二、配置公网网站服务器（启动服务、编写网页文件）
#service httpd start
#chkconfig --level 35 httpd on
#echo "1111" > /var/www/html/index.html

三、配置客户端
添加默认网关（让代理服务器能够接收到客户端发出的请求）
#route add default gw 192.168.1.254

浏览器地址访问(实验一浏览器做的配置还原) http://1.1.1.1
实验拓扑：

eth0 内网网站服务器 eth0 192.168.1.254
Web1 192.168.1.10----------------------|
Squid--------------------1.1.1.1 eth1 公网客户端
Web2 192.168.1.100---------------------|
eth0 内网网站服务器 eth1 1.1.1.254

实验三：
搭建反向代理服务器（代理服务器代替公网客户端访问内网的网站服务器）

一、配置内网的网站服务器（启动服务、编写网页文件）
#service httpd start
chkconfig --level 35 httpd on
#echo "222222" > /var/www/html/index.html

删除上面实验二添加的网关
#route del default gw 192.168.1.254

二、配置代理服务器tp
删除实验二的环境、让httpd关闭开机不启动释放80端口
#setup
#service iptables stop
#service httpd stop
#ckconfig --level 35 iptables off
#chkconfig --level 35 httpd off

修改主配置文件
#vi /etc/squid/squid.conf
...
922 http_port 80 vhost //让自已监听80端口
923 cache_peer 192.168.1.10 parent 80 0 originserver //指定自已访问的网站服务器
924 cache_peer 192.168.1.100 parent 80 0 originserver //哪个主机在上面就先访问哪台网站服务器
...

重启服务
#service squid restart

公网客户端访问 http://1.1.1.254
补充：
公网客户端如果要重新访问内网网站服务器重新更改的网页的话，代理服务器需清空缓存，重启服务
代理服务器配置
#rm -rf /var/spool/squid/*
#service squid restart

实验拓扑：

内网网站服务器 代理缓存服务器
eth0 192.168.1.10 eh0 192.168.1.254/24 公网客户端
Web----------------------------Squid---------------------------Web eth0 1.1.1.1
eth1 1.1.1.254/8

实验四:
当我内网的网站服务器是用虚拟主机来搭建的，让公网客户端来访问我内网不同的虚拟主机

内网网站服务器配置
创建基于域名的虚拟主机，
#mkdir /www;mkdir /mail
#echo "www.wsyht.com" > /www/index.html;echo "mail.wsyht.com" > /mail/index.html
#vi /etc/httpd/conf/httpd.conf
...
981 NameVirtualHost *:80
...
1002 <VirtualHost *:80>
1003 DocumentRoot /www
1004 ServerName www.wsyht.com
1005 ErrorLog logs/www.wsyht.com-error_log
1006 CustomLog logs/www.wsyht.com-access_log common
1007 </VirtualHost>

1009 Listen 8080
1010 <VirtualHost *:8080>
1011 DocumentRoot /mail
1012 ServerName mail.wsyht.com
1013 ErrorLog logs/mail.wsyht.com-error_log
1014 CustomLog logs/mail.wsyht.com-access_log common
1015 </VirtualHost>
...
#service httppd restart

代理服务器配置
#vi /etc/squid/squid.conf
...
922 http_port 80 vhost
923 cache_peer 192.168.1.10 parent 80 0 originserver name=www
924 cache_peer 192.168.1.10 parent 8080 0 originserver name=mail
925 cache_peer_domain www www.wsyht.com
926 cache_peer_domain mail mail.wsyht.com
...

重启服务
#service squid restart

公网客户端配置
修改hosts文件
#tail -2 /etc/hosts
1.1.1.254 www.wsyht.com www
1.1.1.254 mail.wsyht.com mail

访问测试
#elinks --dump http://www.wsyht.com #elinks --dump http://mail.wsyht.com
练习
acl 访问控制列表
只允许局域网内192.168.1.0/24所有主机在周一到周五的工作时间，可以上网
但ip地址是192.168.1.100的主机不允许上网
上班时间所有主机都不允许访问www.taobao.com网站

acl all src 0.0.0.0/0.0.0.0 //系统默认已有的数据
acl zhuji src 192.168.1.0/24
acl dan src 192.168.1.100/32
acl shijian time MTWHF 09:00-18:00
acl taobao dsdomain .taobao.com

http_access deny dan shijain
http_access deny zhuji taobao
http_access allow zhuji shijain
http_access deny all //系统默认已有的数据