代理服务器Squid，Nginx

代理服务器：Squid，Nginx

正向代理(透明代理) squid  nginx
     作用：让内网用户上网，缓存（内存，硬盘），加快访问速度，节约通信带宽
             访问控制ACL实现对用户上网行为进行控制(时间、网站、内容...)
          防止内部主机受到攻击
反向代理  squid,nginx
     作用：给网站加速
================================================================
[root@nat-server ~]# iptables -F
[root@nat-server ~]# iptables -t nat -F
[root@nat-server ~]# service iptables save


==squid:
软件包：squid
端口： 3128/tcp默认
配置文件：/etc/squid/squid.conf
日志文件: /var/log/squid


正向代理
client(192.168.2.168)--->eth0(192.168.2.10)squid Server(1.1.1.1)eth1 --> Web(1.1.1.100)
一、配置squid
# yum -y install squid
# vim /etc/squid/squid.conf
http_port 3128          //squid监听的端口
cache_mem 16000 MB     //设置squid内存缓冲大小
cache_dir ufs /var/spool/squid 50000 16 256     //设置squid硬盘缓冲大小
cache_effective_user squid
cache_effective_group squid
dns_nameservers 202.106.0.20 8.8.8.8
cache_mgr [e-mail]

===========================================================
# service squid start
init_cache_dir /var/spool/squid... /etc/init.d/squid: line 62:  5504 已放弃              
$SQUID -z -F -D >> /var/log/squid/squid.out 2>&1
启动 squid：/etc/init.d/squid: line 42:  5505 已放弃              
$SQUID $SQUID_OPTS >> /var/log/squid/squid.out 2>&1
[失败]

visible_hostname squid
=========================================================

# service squid start
# chkconfig squid on
[root@nat-server ~]# netstat -tnlp |grep :3128
tcp        0      0 0.0.0.0:3128         0.0.0.0:*   LISTEN      5526/(squid) 

从客户端测试代理服务器：
浏览器：需要手工设置代理
测试结果：代理服务默认不为任何主机代理


解决方案：
ACL，限制用户访问(时间、目标网站、内容...)
# vim /etc/squid/squid.conf
/INSERT
方案一：为所有主机代理
acl all src 0.0.0.0/0.0.0.0
http_access allow all

方案二：为部分主机代理
# INSERT YOUR OWN RULE(S) HERE TO ALLOW ACCESS FROM YOUR CLIENTS
acl it_net src 192.168.2.0/24
http_access allow it_net
# service squid reload


案例1：允许192.168.2.0/24网段的主机使用squid
acl it_net src 192.168.2.0/24
http_access allow it_net

案例2: 允许192.168.2.0/24网段的主机使用squid,(周一到周五 9:00-16:00)
acl it_net src 192.168.2.0/24
acl worktime time MTWHF 9:00-16:00
http_access allow it_net worktime

案例3 拒绝主机
acl wangcheng src 192.168.2.168
http_access deny wangcheng

案例4 禁止用户访问URL包含qq.com网站，-i忽略大小写
acl disable_web url_regex -i qq.com
http_access deny disable_web

案例5 禁止用户下载*.mp3 *.exe *.iso
acl disable_down urlpath_regex -i \.mp3$ \.exe$ \.iso$                 \\ . 点需要转义下，不转义的话代表任意单个字符。
http_access deny disable_down

=============================================================
acl all src 0.0.0.0/0.0.0.0
acl it_net src 192.168.2.0/24
acl hr_net src 192.168.3.0/24
acl worktime time MTWHF 9:00-16:00
acl disable_web url_regex -i qq.com
acl disable_down urlpath_regex -i \.mp3$ \.exe$ \.iso$
acl wangcheng src 192.168.2.168

http_access deny wangcheng
http_access deny disable_down
http_access deny disable_web
http_access allow it_net
http_access allow hr_net worktime
http_access deny all
=============================================================

透明代理（以正向代理为基础）
代理服务器：IP 192.168.2.10
          http_port: 3128
1. iptables数据包重定向
[root@squid-server ~]# iptables -t nat -F
[root@squid-server ~]# iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to 3128
[root@squid-server ~]# service iptables save

2. squid支持透明代理
[root@squid-server ~]# vim /etc/squid/squid.conf
http_port 3128 transparent
[root@squid-server ~]# service squid reload

注意：客户端必须将数据包发给代理服务器


反向代理
============================
[root@squid-server ~]# service iptables stop
client(192.168.2.115)--->          前端反向代理服务器(192.168.2.10) --> Web(192.168.2.108)
本身已经可以访问Internet          前端反向代理服务器(192.168.2.168)     前端反向代理服务器(192.168.2.169)。。。。。。。。。。。。。。。    
一、配置squid
# service iptables stop
# yum -y install squid
# vim /etc/squid/squid.conf
cache_mem 16000 MB     //设置squid内存缓冲大小
cache_dir ufs /var/spool/squid 50000 16 256     //设置squid硬盘缓冲大小，
cache_effective_user squid
cache_effective_group squid
dns_nameservers 202.106.0.20 8.8.8.8
cache_mgr [e-mail]

http_port 80 vhost     //反向代理
cache_peer 192.168.2.108 parent 80 0          //源站
acl all src 0.0.0.0/0.0.0.0
http_access allow all

cache_peer Web服务器地址 服务器类型 http端口 icp端口 选项
cache_peer 192.168.2.108 parent 80 0

=========================================================
给一个源站做反向代理
cache_peer 192.168.2.108 parent 80 0         

给多个源站做反向代理
cache_peer 192.168.2.100 parent 80 0 originserver weight=1 name=tianyun
cache_peer 192.168.2.120 parent 80 0 originserver weight=1 name=uplooking
cache_peer 192.168.2.130 parent 80 0 originserver weight=1 name=126
cache_peer_domain tianyun www.tianyun.com
cache_peer_domain uplooking www.uplooking.com
cache_peer_domain 126 www.126.com
============================================================
如果启动失败，检查80端口是否被占用


从客户端测试：必须使用域名访问
/etc/hosts
192.168.2.10     www.tianyun.com www.uplooking.com www.126.com
反向代理服务器