squid代理服务器

squid：正向代理服务器，vpn，正向代理，缓存加速，acl过滤控制

代理的工作机制

1、代理客户端向网站请求数据，不需要访问代理的IP地址，直接请求目的网站，有代理服务器处理请求和响应

可以隐藏用户的真实IP

2、客户端访问目标网站之后（静态web元素）保存到缓存中，发送给客户端，下一次所有的客户机都可以使用缓存访问，加快访问速度

squid代理的作用

1、资源获取，代理客户端获取目标服务器的资源

2、加速访问 代理服务器可能和目标服务器距离更近，可以起到一定的加速作用

3、缓存作用，代理服务器保存从目标器获取的资源，客户端下一次在请求目标服务器可以直接访问缓存即可，减轻目标服务器的压力

4、隐藏真实的IP地址，代理服务器代替客户端请求，客户端的信息不会显示

squid代理的类型

1、传统代理，正向代理，需要再客户端上指定好代理服务器的地址和端口

2、透明代理，客户端不再需要指定代理服务器的地址和端口，而是通过默认路由来进行转发（squid服务器，网关）

3、反向代理，在反向代理的squid服务器当中缓存了请求资源，将资源直接返回。否则，代理服务器会代理客户端向web服务器发起请求，然后再把请求的资源响应给客户端，同时把响应缓存在本地，后续请求者都可以使用

区别

SNAT和DNAT    改变数据数据包头部的源IP地址和目的地址

代理服务器squid               不改变数据包的任何信息，直接把数据包发给代理，代理通过应用层过滤的方式来实现转发（有点像路由器）

实验

squid的架构

test1 ：客户端 20.0.0.10

test2：squid代理服务器（做透明代理会需要代理）20.0.0.20

web页面 nginx1        20.0.0.40

                nginx2        20.0.0.41

搭建squid框架

所有服务器
关闭防火墙和安全机制

test2 
把源码拖进来
cd /opt
cd /squid

./configure --prefix=/usr/local/squid \ 
--sysconfdir=/etc \ 配置文件路径 
--enable-arp-acl \ 开启acl过滤模式 
--enable-linux-netfilter \ 开启内核过滤 
--enable-linux-tproxy \ 支持透明模式 
--enable-async-io=100 \ 异步IO 
--enable-err-language="Simplify_Chinese" \ 错误信息的显示语言 
--enable-underscore \ 允许URL地址中含有下划线 
--disable-poll \ 
--enable-epoll \ 
--enable-gnuregex

安装依赖环境包
yum -y install gcc gcc-c++ make

编译安装
make && make install

创建软连接
ln -s /usr/local/squid/sbin/* /usr/local/sbin/

创建用户
useradd -M -s /sbin/nologin squid

给squid的归属
chown -R squid:squid /usr/local/squid/var/

进入squid的配置文件
vim /etc/squid.
56行加一行
haap_access allow all
配置文件的匹配规则：自上而下匹配
60行加一行
cache_effective_user squid
cache_effective_group squid
68行
改为/usr/local/squid/var/

检测配置文件是否正确
squid -k parse

运行过程是否正常
squid  -N -d1 

初始化
squid -z

squid
netstat -antp | grep squid

控制启动的脚本
vim /etc/init.d/squid

#!/bin/bash
#chkconfig: 2345 90 25
PID="/usr/local/squid/var/run/squid.pid"
CONF="/etc/squid.conf"
CMD="/usr/local/squid/sbin/squid"

case "$1" in
   start)
     netstat -natp | grep squid &> /dev/null
     if [ $? -eq 0 ]
     then
       echo "squid is running"
     else
       echo "正在启动 squid..."
       $CMD
     fi
   ;;
   stop)
     $CMD -k kill &> /dev/null
     rm -rf $PID &> /dev/null
   ;;
   status)
     [ -f $PID ] &> /dev/null
        if [ $? -eq 0 ]
          then
            netstat -natp | grep squid
          else
            echo "squid is not running"
        fi
   ;;
   restart)
      $0 stop &> /dev/null
      echo "正在关闭 squid..."
      $0 start &> /dev/null
      echo "正在启动 squid..."
   ;;
   reload)
      $CMD -k reconfigure
   ;;
   check)
      $CMD -k parse
   ;;
   *)
      echo "用法：$0{start|stop|status|reload|check|restart}"
   ;;
esac

给脚本运行权限
chmod +x /etc/init.d/squid

chkconfig --add squid
定义启动级别
chkconfig --level 35 squid on
35 启动优先级 ，0-100数字越大，优先级越高

1、正向代理

Squid代理服务器：20.0.0.20
web服务器：20.0.0.40
客户机：20.0.0.10

修改配置文件
vim /etc/squid.conf

http_access allow all
http_access deny all
http_port 3128
cache_effective_user squid
cache_effective_group squid
--63行--插入
62行插入一个行
cache_mem 2000 MB
缓存功能使用的内存空间大小，容量最好为4的倍数，单位用MB，建议内存的四分之一
reply_body_max_size 100 MB
允许用户下载的最大文件的大小，浏览器会提示请求或访问太大
maximum_objext_size 100 MB 
能够缓存的对象的最大值，超过这单位不会被缓存，直接返回给用户


service squid restart
systemctl restart squid

打开浏览器，工具-->Internet选项-->连接-->局域网设置-->开启代理服务器（地址：Squid服务器IP地址，端口：3128）

在squid代理服务器上查看日志
tail -f /usr/local/squid/var/logs/access.log

2、透明代理

Squid服务器：双网卡，内网ens33：20.0.0.20  外网ens36：12.0.0.254
Web 服务器：12.0.0.12
客户机：20.0.0.10

squid网卡在终端添加一个网卡设备
配置ens33
TYPE=Ethernet
DEVICE=ens33
ONBOOT=yes
BOOTPROTO=static
IPADDR=20.0.0.20
NETMASK=255.255.255.0
#GATEWAY=20.0.0.2
#DNS1=218.2.135.1
#DNS2=8.8.8.8

ens36

TYPE=Ethernet
DEVICE=ens36
ONBOOT=yes
BOOTPROTO=static
IPADDR=12.0.0.254
NETMASK=255.255.255.0
#GATEWAY=20.0.0.2
#DNS1=218.2.135.1
#DNS2=8.8.8.8

web服务器
TYPE=Ethernet
DEVICE=ens33
ONBOOT=yes
BOOTPROTO=static
IPADDR=12.0.0.12
NETMASK=255.255.255.0
GATEWAY=20.0.0.254
#DNS1=218.2.135.1
#DNS2=8.8.8.8

客户机
TYPE=Ethernet
DEVICE=ens33
ONBOOT=yes
BOOTPROTO=static
IPADDR=20.0.0.10
NETMASK=255.255.255.0
GATEWAY=20.0.0.20
#DNS1=218.2.135.1
#DNS2=8.8.8.8

代理服务器配置

vim /etc/squid.conf
60行--修改添加提供内网服务的IP地址，和支持透明代理选项 transparent
#http_port 3128
http_port 20.0.0.20:3128 transparent

squid -k parse
squid -N -d1
systemctl restart squid

开启路由转发，实现本机中不同网段的地址转发
echo 'net.ipv4.ip_forward = 1' >> /etc/sysctl.conf
sysctl -p

修改防火墙规则
iptables -F
iptables -t nat -F
iptables -t nat -I PREROUTING -i ens33 -s 20.0.0.0/24 -p tcp --dport 80 -j REDIRECT --to 3128	
#用于转发http协议

iptables -t nat -I PREROUTING -i ens33 -s 20.0.0.0/24 -p tcp --dport 443 -j REDIRECT --to 3128	
#用于转发https协议

iptables -I INPUT -p tcp --dport 3128 -j ACCEPT

查看 Squid 访问日志的新增记录
tail -f /usr/local/squid/var/logs/access.log

 基于ACL访问控制（限制权限）

在后面配置：
acl Safe_ports port 591         # filemaker
acl Safe_ports port 777         # multiling http
acl myhost1 src 20.0.0.10/32
http_access deny myhost1

在后面配置：
acl Safe_ports port 591         # filemaker
acl Safe_ports port 777         # multiling http
acl myhost1 src 20.0.0.10/32
acl myhost2 dst "/etc/squid/dest.list"


启动对象列表管理
mkdir /etc/squid
vim /etc/squid/dest.list
12.0.0.12

systemctl restart squid

3、反向代理

vim /etc/squid.conf

60行--修改，插入
http_port 20.0.0.20:80 accel vhost vport
cache_peer 20.0.0.40 parent 80 0 no-query originserver round-robin  weight=1 name=web1
cache_peer 20.0.0.41 parent 80 0 no-query originserver round-robin weight=1 name=web2
cache_peer_domain web1 web2 www.kgc.com

squid从一个缓存变成一个web服务器反向代理的加速模式squid监听的端口请求，同时和web服务器的请求端口绑定

squid不是转发请求，而是要么从缓存获取数据，要么直接请求绑定的web端口

accel 反向代理加速模式

vhost 支持或者主机名来代表代理服务器

vport 支持IP+端口来表示代理服务器



缓存获取失败，请求的服务器名

parent 上下级的关系，80web服务器的端口

0	表示squid代理服务器，不涉及运营商

no-query 	不查询，直接获取数据

originserver 	指定源服务器

round-robin max_conn=30 weight=1 name=web1

squid通过轮询的方式将请求分到其中一台父节点

weight=1	权重

设置别名


清空之前透明模式配置的 iptables 规则
iptables -F
iptables -t nat -F

systemctl restart squid

客户机的域名映射配置
vim /etc/hosts
20.0.0.20