squid代理传统模式、透明模式、反向代理

squid代理传统模式、透明模式、反向代理

squid作为代理

我们都知道只有通过访问web服务器才能获取到网页信息，如果访问量在几百、几千…服务器还有可能承受的住，如果访问并发量在上万可能性能再好的服务器也顶不住这巨大的访问请求。所以为了减缓服务器的压力，就有了squid代理服务器。也就是说用户不是直接访问web服务器，而是通过访问squid代理服务器，代理去访问web，将网页缓存在代理中。这样用户就避免了直接访问web服务器，也会大大减少由于大量访问所导致的web端的延时。同时也保护了用户和web端的安全。

squid代理的基本类型分为：传统代理、透明代理和反向代理。
在传统代理中，需要在客户端指定相应的代理服务器才可以访问web。
在透明模式中，客户端无需指定代理只需要将代理服务器指定为网关便可。
在反向代理中，squid通过调度算法将web请求均衡的分配到每台web服务器上，即负载均衡的作用。

搭建squid的步骤

1.解压squid安装包。

tar xvf squid-3.5.27.tar.gz -C /opt

2.安装编译环境。

yum install gcc gcc-c++ make -y

3.进入squid目录，进行编译安装。

./configure --prefix=/usr/local/squid \                 ##安装目录
--sysconfdir=/etc/ \                                              ##单独将配置文件修改到/etc目录下
--enable-arp-acl \                                                   ##可在ACL中设置通过MAC地址进行管理，防止IP欺骗
--enable-linux-netfilter \                                        ##使用内核过滤
--enable-linux-tproxy \                                          ##支持透明模式
--enable-async-io=100 \                                       ##异步I/O，提升储存性能，值可修改
--enable-err-language="Simplify_Chinese" \      ##错误信息的显示语言
--enable-underscore \                                            ##允许URL中有下划线
--enable-poll \                                                         ##使用Poll()模式，提升性能
--enable-gnuregex                                                 ##使用GNU正则表达式

make && make install

4.安装后优化命令、用户。

ln -s /usr/local/squid/sbin/* /usr/local/sbin      ##创建链接文件，优化路径
useradd -M -s /sbin/nologin squid                      ###创建程序用户、组
chown -R squid:squid /usr/local/squid/var/       ##改变目录属主

5.修改配置文件，/etc/squid.conf。
在http_port 3128下面添加

visible_hostname 192.168.100.41       ###设置squid 主机名或者ip地址
cache_mem 64 MB
cache_swap_low 80
cache_swap_high 97
cache_dir ufs /usr/local/squid/var/cache/squid 512 16 256    ##配置硬盘缓存，打开#.缓存目录512M，其中一级目录16个，二级256个
cache_effective_user squid
cache_effective_group squid

6.检查配置文件、初始化缓存目录。

squid -k parse                   ##检查配置文件
squid -zX                            ##初始化缓存目录

7.配置squid启动脚本。
vim /etc/init.d/squid

#!/bin/bash
#chkconfig: 35 90 25
#config: /etc/squid.conf
#pidfile: /usr/local/squid/var/run/squid.pid
#Description: Squid - Internet Object Cache

PID="/usr/local/squid/var/run/squid.pid"
CONF="/etc/squid.conf"
CMD="/usr/local/squid/sbin/squid"

case "$1" in
        start)
                netstat -utpln | grep squid &>/dev/null
                if [ $? -eq 0 ]
                        then
                                echo "Squid is running"
                else
                        $CMD
                fi
        ;;
        stop)
                $CMD -k kill &>/dev/null
                rm -rf $PID &>/dev/null
        ;;
        status)
                [ -f $PID ] &>/dev/null
                        if [ $? -eq 0 ]
                          then
                                netstat -utpln | grep squid
                        else
                                echo "Squid is not running"
                        fi
	;;
        restart)
                $0 stop &>/dev/null
                echo "正在关闭Squid..."
                $0 start &>/dev/null
                echo "正在启动Squid..."
        ;;
        reload)
                $CMD -k reconfigure
        ;;
        check)
                $CMD -k parse
        ;;
        *)
                echo "用法：{start | stop | restart | reload | check | status}"
esac

chmod +x /etc/init.d/squid
chkconfig --add squid

8.通过service squid start ，开启服务。

squid传统代理模式

为了验证squid的代理效果，我们可以通过：1.查看web服务器的访问日志的来源IP地址，如果是代理服务器地址没有用户的IP地址，那么就证明了代理生效。
2.可以通过设置代理的访问规则的方式，限制某些ip的访问或者限制访问的权限来达到代理的目的。

1.在配置文件中，修改权限。

reply_body_max_size 10 MB                                ###禁止下载的超过10MB的文件
maximum_object_size 4096 KB                           ###超过4MB的文件不进行缓存
http_access deny all                                             ###前面两行需要放在这行之上才生效

2.在客户机上添加代理ip地址。

3.在web服务器上创建两个可下载的压缩包验证访问规则。

dd if=/dev/zero of=/var/www/html/test1.tgz bs=1M count=11
dd if=/dev/zero of=/var/www/html/test2.tgz bs=1M count=2

4.在客户机上验证。
可以正常访问web，查看日志。

来自代理端的访问。

下载11M和2M的文件。
下载11M文件被拒绝。

下载2M文件被允许。

squid透明模式

1.在传统模式的基础上，在代理服务器上增加一块新的网卡。即代理服务器作为代理也作为防火墙进行端口映射。
2.修改代理服务器上的两块网卡。内网为：192.168.80.30，不要设置网关。因为其要作为内网网关，内网用户要进行访问。
外网网卡为：192.168.20.20。配置同上。
3.客户机的网卡和内网网卡绑定，并设置网关为：192.168.80.30.并且客户机不需要开启代理功能。

4.web服务器修改网卡绑定代理服务器的外网网卡上，ip=192.168.20.21.网关为：192.168.20.20.
5.修改代理服务器的squid.conf配置文件。

6.代理服务器上设置防火墙规则：

iptables -t nat -I PREROUTING -i ens33 -s 192.168.80.0/24 -p tcp --dport 80 -j REDIRECT --to 3128		##将来自内网的80请求映射出3128端口的请求
iptables -t nat -I PREROUTING -i ens33 -s 192.168.80.0/24 -p tcp --dport 443 -j REDIRECT --to 3128	##将来自内网的443请求映射出3128端口的请求
iptables -I INPUT -p tcp --dport 3128 -j ACCEPT																						##方通3128端口

7.重启squid服务，客户机访问webIP地址，查看web日志。
日志：请求不是来自客户机而是代理服务器。

之前的访问控制还在生效：

squid作为反向代理

1.squid作为反向代理需要客户机重新开启代理功能。但是这里需要将代理端口改成80端口。

2.代理服务器上重新设置防火墙规则，并方通3128端口。

iptables -F
iptables -t nat -F
iptables -I INPUT -p tcp --dpoort 3128 -j ACCEPT

3.修改squid.conf配置文件。
修改虚拟主机和端口，并且缓存web的IP地址。

4.在客户机上验证。




访问日志和结果都应验了代理设置成功！