squid代理服务器基本配置（二）

Squid透明代理

透明代理是 NAT 和代理的完美结合，之所以称为透明，是因为在这种工作方式下用户感觉不到代理服务器的存在，不需要在浏览器或其他客户端工具（如网络快车等）中作任何设置，客户机只需要将默认网关设置为Linux 服务器的IP地址即可。当客户机访问 Internet ，请求数据包经过 Linux 服务器转发时， Linux 服务器上的iptables 将客户机的 HTTP 请求重定向到 Squid 代理服务器，由代理服务器代替客户机访问外部信息资源，再将获取的数据传回客户机。

在使用RedHat EnterpriseLinux 5系统光盘上自带的squid软件包安装时，squid默认是向外转发包的，所有的包都会被拒绝。此时只需要修改一下配置文件/etc/squid/squid.conf中的“http_access deny all”改为“http_access allow all”即可实现squid的代理局域网用户连接Internet了。squid的基本配置请参考本人关于squid服务安装及其基本配置的博客。

首先安装一下DHCP服务为局域网内的用户分配IP地址。

修改过服务配置文件之后需要重新启动该服务：service dhcpd restart

安装Squid

因为Squid只能代理tcp，mail，httpd等协议，不能够代理DNS。所以为了使局域网用户的DNS能够通过正常解析，所以使用SNAT来实现，主要借助于Linux中iptables工具。

iptables -t nat -A PREROUTING –s 192.168.2.0/24 –ptcp –dport 80 -j REDIRECT –to-port 3128

使用iptables创建一个表格nat添加到PREROUTING中，凡是来自192.168.2.0网段的使用tcp协议的访问目标是80端口的数据包，都将重定向到3128端口。这样在局域网用户访问httpd时，数据包发送到Linux服务器时，就将其目标端口重定向到3128端口。

 

测试是否实现透明代理：

访问控制应用实例：

1、禁止 IP 地址为 192.168.2.99 的客户机上网。

acl_badclientip1src 192.168.2.99

http_access deny badclientip1

2、禁止 192.168.2.0 这个子网里所有的客户机上网。

acl badclientnet1 src 192.168.2.0/255.255.255.0

http_access deny badclientnet1

3、禁止用户访问 IP 地址为 115.239.210.26 的网站。

acl badsrvip1 dst 115.239.210.26

http_access deny badsrvip1

 

4、禁止用户访问域名为 www.163.com的网站。

acl baddomain1 dstdomain -i www.163.com

http_access deny baddomain1

5、禁止用户访问域名包含有 163.com 的网站。

acl badurl1 url_regex -i 163.com

http_access deny badurl1

6、禁止用户访问域名包含有 sex 关键字的 URL 。

acl badurl2 url_regex -i sex

http_access deny badurl2

7、限制IP地址为 192.168.16.200 的客户机并发最大连接数为 5 。

acl clientip1 src 192.168.16.200

acl conn5 maxconn 5

http_access deny client1 conn1

8、禁止192.168.2.0这个子网里所有的客户机在周一到周五的 9:00 到 18:00上网。

acl clientnet1 src 192.168.2.0/255.255.255.0

acl worktime time MTWHF 9:00-18:00

http_access deny clientnet1 worktime

9、禁止客户机下载 * .mp3 、 * .exe 、 * .zip和 *. rar 类型的文件。

acl badfile1 urlpath_regex -i \.mp3$ \.exe$ \.zip$ \. rar $

http_access deny badfile1

10、禁止 QQ 通过 Squid 代理上网。

acl qq url_regex -i tencent.com   

http_access deny qq