Squid配置代理访问（rhel7.2）

1. squid简介

Squid是Linux下一个缓存Internet数据的代理服务器软件。场景如：当一个用户想要下载一个主页时，可以向Squid发出一个申请，要Squid代替其进行下载，然后Squid连接所申请网站并请求该主页，接着把该主页传给用户同时保留一个备份。当别的用户申请同样的页面时，Squid把保存的备份立即传给用户，使用户觉得速度相当快。目前，Squid可以代理HTTP、FTP、GOPHER、SSL和WAIS协议，暂不能代理POP3、NNTP等协议。Squid可以工作在很多操作系统中，如AIX、Digital、Unix、FreeBSD、HP-UX、Irix、Linux、NetBSD、Nextstep、SCO、Solaris、OS/2等。

2. squid的常用配置项

Squid软件向用户提供了许多与配置、应用程序和库、日志等相关的文档进行配置和管理，Squid有一个主要的配置文件squid.conf。同时，在Red Hat环境下所有Squid的配置文件都位于/etc/squid子目录下。在该目录当中，系统同时提供了一个默认的配置文件，其名称为squid.conf.default，然而，在实际的应用当中，该默认的配置文件存在某些问题，所以在使用Squid之前，必须首先对该配置文件的有关内容进行修改。

常用配置参数：
1. http_port

该选项定义Squid监听HTTPD客户连接请求的端口。默认是3128，如果使用HTTPD加速模式，则为80。可以指定多个端口，但是所有指定的端口都必须在一条命令行上出现，程序才能正确地识别。

2. cache_mem（bytes）

该选项用于指定Squid可以使用的内存的理想值。这部分内存被用来存储以下对象：In-Transit objects（传入的对象）、Hot Objects（热对象，即用户常访问的对象）、Negative-Cached objects（消极存储的对象）。

3. cache_dir Directory-Name Mbytes Level1 Level2

该选项指定Squid用来存储对象的交换空间的大小及其目录结构。可以用多个cache_dir命令来定义多个交换空间，并且这些交换空间可以分布在不同的磁盘分区。“directory”指明了该交换空间的顶级目录。如果想用整个磁盘作为交换空间，那么可以将该目录作为装载点将整个磁盘挂装上去。默认值为/var/spool/squid。Mbytes定义了可用的空间总量。

配置访问控制

　　使用访问控制特性，可以控制在访问时根据特定的时间间隔进行缓存、访问特定站点或一组站点等。Squid访问控制有两个要素：ACL元素和访问列表。通过使用这些方法，系统管理员可以严格、清晰地定义代理服务器的访问控制策略。

4. ACL元素

该元素定义的语法如下acl aclname acltype string1…acl aclname acltype “file”…当使用文件时，该文件的格式为每行包含一个条目。其中，acltype可以是任一个在ACL中定义的名称；任何两个ACL元素不能用相同的名字；每个ACL由列表值组成，当进行匹配检测的时候，多个值由逻辑或运算连接，换句话说，任一ACL元素的值被匹配，则这个ACL元素即被匹配; 并不是所有的ACL元素都能使用访问列表中的全部类型；不同的ACL元素写在不同行中，Squid将这些元素组合在一个列表中。

5. http_access访问控制列表

根据访问控制列表允许或禁止某一类用户访问。如果某个访问没有相符合的项目，则默认为应用最后一条项目的“非”。比如最后一条为允许，则默认就是禁止。通常应该把最后的条目设为“deny all”或“allow all”来避免安全性隐患。使用该访问控制列表需要注意如下问题：

　　● 这些规则按照它们的排列顺序进行匹配检测，一旦检测到匹配的规则，匹配检测就立即结束；
　　● 访问列表可以由多条规则组成；
　　● 如果没有任何规则与访问请求匹配，默认动作将与列表中最后一条规则对应；
　　● 一个访问条目中的所有元素将用逻辑与运算连接，如下所示
　　http_access Action 声明1 AND 声明2 AND 声明 OR
　　http_access Action 声明3
　　● 多个http_access声明间用或运算连接，但每个访问条目的元素间用与运算连接；
　　● 列表中的规则总是遵循由上而下的顺序。
cache_dir ufs /var/spool/squid 100 16 256

6. usf:缓存数据的存储格式

            /var/spool/squid 缓存目录            100 : 缓存目录占磁盘空间大小（M）            16 ：缓存空间一级子目录个数            256 ：缓存空间二级子目录个数

7. 使用访问控制

上面详细讲述了ACL元素以及http_access访问控制列表的语法以及使用过程中需要注意的问题，下面给出使用这些访问控制方法的实例。如果，允许网段10.0.0.124/24以及192.168.10.15/24内的所有客户机访问代理服务器，并且允许在文件/etc/squid/guest列出的客户机访问代理服务器，除此之外的客户机将拒绝访问本地代理服务器。那么具体操作如下：

　　acl clients src 10.0.0.124/24 192.168.10.15/24

　　acl guests src “/etc/squid/guest”

　　acl all src 0.0.0.0/0.0.0.0

　　http_access allow clients

　　http_access allow guests

　　http_access deny all

　　其中，文件“/etc/squid/guest”中的内容为：

　　172.168.10.3/24

　　210.113.24.8/16

　　10.0.1.24/25

　　……

　　如果，允许域名为job.net、gdfq.edu.cn的两个域访问本地代理服务器，其他的域都将拒绝访问本地代理服务器。那么具体操作如下：

　　acl permitted_domain src job.net gdfq.edu.cn

　　acl all src 0.0.0.0/0.0.0.0

　　http_access allow permitted_domain

　　http_access deny all

　　如果，使用正则表达式，拒绝客户机通过代理服务器访问包含有诸如“sexy”等关键字的网站。那么具体操作如下：

　　acl deny_url url_regex － sexy

　　http_access deny deny_url

　　如果，拒绝客户机通过代理服务器访问文件中指定IP或者域名的网站，其中文件/etc/squid/deny_ip中存放有拒绝访问的IP地址，文件/etc/squid/deny_dns中存放有拒绝访问的域名。那么具体操作如下：

　　acl deny_ip dst “etc/squid/deny_ip”

　　acl deny_dns dst “etc/squid/deny_dns”

　　http_access deny deny_ip

　　http_access deny deny_dns
8. 反向代理缓冲服务器配置

注意：反向代理和透明代理不能同时使用

a.       Squid服务器的设置，修改/etc/squid/squid.conf同样反向代理aquid服务器上的配置与标准的代理缓冲服务器几乎一样  不同之处：http_port 10.106.34.12：80 vhost           Cache_peer 192.168.1.12 parent 80 0 originserver weight=5 max-conn=30上一行的解释：定义web服务器 web服务器地址 服务器类型 http端口 icp端口  [可选项

3. squid的安装配置

在本次试验中一共有两台主机：
主机一：
ip1 ：172.25.254.136
ip2 : 172.25.36.100
主机二：
ip：172.25.36.1
由以上配置我们可以知道主机一的ip2是作为代理服务器使得主机二能够访问主机一的httpd服务，下面我们一步步来部署：
3.1 yum 安装squid

 yum install squid -y

3.2 关闭防火墙：

systemctl stop firewalld

3.3 配置用户访问及缓存目录
vim /etc/squid/squid.conf

# And finally deny all other access to this proxyhttp_access allow all  ##############设置所有主机可以使用此代理# Squid normally listens to port 3128http_port 3128 ##############代理端口# Uncomment and adjust the following to add a disk cache directory.cache_dir ufs /var/spool/squid 100 16 256#代理缓存目录cache_peer 172.25.254.136 parent 80 0 proxy-only#代理指向的源服务器

配置完成然后重新启动服务并且确定关闭防火墙

systemctl restar squidsystemctl stop firewalld

如果在服务启动过程中出现以下错误：
squid.service failed…
查看日志出现如下内容：
SElinux is preventing /usr/sbin/squid from …
那么错误一般都是由SELinux导致的，执行以下命令即可：

setenforce 0

3.4 在需要代理的主机浏览器中依次进行以下代理设置

3.5 测试代理访问：
配置完成在浏览器中输入你的代理ip进行访问即可获取不可达主机或者缓存数据

由上图测试结果可知：
主机二不可到达主机172.25.255.136，但是却可以访问172.25.255.136的网路服务，这就是我们做了squid代理的结果。