转自：http://hi.baidu.com/owee/blog/item/53e74889355c53b20f24445d.html

文章写的很好！值得推荐！

LINUX网络工程师教程
2007-04-19 12:57

SQUID代理服务器
教学内容：
■     代理服务器概述
■     Squid安装和配置
■     Squid配置案例
教学目标：
■ 了解代理服务器工作原理
■ 理解Squid服务器配置选项
■     掌握Squid服务器的安装和配置
教学重点：
■ Squid的安装和配置
■ Squid配置选项
教学难点：
■ 透明代理
一．     代理服器概述
1．     什么是代理服务器
代理服务器（Proxy Server）是指代理服务的双宿主主机，是个人网络和Internet服务商之间的中间代理机构，它负责转发合法的网络信息，对转发进行控制和登记。代理服务器作为连接Internet(广域网)与Intranet（局域网）的桥梁
2．     代理服务器的功能
     充当局域网与外部网络的连接出口
     作为防火墙
     网址过滤和访问权限限制
     提高访问速度
3．     代理服务器的工作过程

（1）     客户机发送访问请求给代理服务器
（2）     代理服务器联系客户机请求的服务器，缓存客户访问内容
（3）     客户机访问代理服务器的缓存
4．     代理服务器的优缺点
（1）     优点
     保护内部主机免受外部主机的***
     提供高速的缓存功能
     在应用网关上可以强制执行用户的身份认证
     内容过滤和简化包过滤
     具有完整的日志
（1）     缺点
     支持的协议有限
     不能防止数据驱动侵袭
     建立了一个网络的服务瓶颈
5．     Squid简介
     Squid是一个高性能的代理缓存服务器，它支持FTP、GOPHER和HTTP协议
     Squid支持SSL，支持访问控制
     Squid用一个单独的、非模块化的、I/O驱动的进程来处理所有的客户请求
     Squid代理服务器可以分为：普通代理服务器、透明代理服务器、反向代理服务器
二．     Squid的安装和配置
1．     安装Squid
（1）RPM包方式
#rpm   -ivh   squid-2.5.STABLE1-2.i386.rpm（1#CD）
（2）编译方式
#tar   -xzvf   squid-2.5.STABLE.tar.gz
#cd    squid-2.5.STABLE
#./configure --prefix=/var/squid  
--sysconfdir=/etc  
--enable-arp-acl  
--enable-linux-netfilter  
--enable-pthreads  
--enable-err-language="Simplify_Chinese"  
--enable-storeio=ufs,null  
--enable-default-err-language="Simplify_Chinese"  
--enable-auth="basic"  
--enable-baisc-auth-helpers="NCSA"  
--enable-underscore
#make
#make   install
       相关文件：
           /etc/squid/squid.conf       squid的主配置文件
           /etc/squid/errors          报告错误使用的语言
           /etc/squid/ mib.txt         Squid-MIB定义文件
           /etc/squid/mime.conf      定义MIME-TYPE
           /etc/squid/msntauth.conf   MSNT认证的配置文件
           /usr/sbin/squid           Squid主程序
           /usr/sbin/squidclient      统计显示摘要表的客户程序
           /usr/lib/squid/*_auth     Squid的各种认证库文件
2．     Squid的配置
（1）     Network Options（网络设置选项）
     http_port   端口号
监听客户请求的端口，默认3128
     icp_port   端口号
和其它squid发送和接收ICP查询时监听的端口，0表示禁止
     mcast_groups    IP地址
指定一个多播组，可以接收多播形式的ICP查询,例:mcast_groups   239.128.16   224.0.1.20
     htcp_prot     端口号
同其它相邻的缓存服务器之间发送和接收HTCP查询时监听的端口，0：禁用
     tcp_outgoing_address   IP地址
用于采用HTCP和CARP方式同其它服务器通信，默认255.255.255.255
     udp_incoming_address    IP地址
接收其它缓存服务器的ICP数据报时使用的地址，默认0.0.0.0
     udp_outgoing_address   IP地址
发送ICP数据报到其它缓存服务器时用的地址，默认255.255.255.0
（2）     多缓存服务器设置选项
     cache_peer   hostname   type   http_port   icp_port   options
指定网络中其它的缓存服务器，默认为none。
Hostname:另一台缓存服务器的主机名
Type: parent/sibling /multicast（父/同级/多播）
http_port:目的服务器的http端口
icp_port:目的服务器的ICP端口
options:
–     proxy-only:仅去获取数据，但不在本地缓存
–     no-query: 不发送ICP查询给此主机
–     default:默认的父服务器
–     login   username:passwd:连接对方通过服务器用户名和密码
–     no-netdb-exchange   代理服务器之间彼此不交换信息
–     round-robin    当有多个代理服务器可用时，本地代理服务器采用轮转算法
     cache_peer_domain   服务器主机名    域名
用来限定查询相邻的缓存服务器的域
     dead_peer_timeout   N   seconds
设置Squid在确定父（同）级缓存服务器不可用之前的等待时间
（3）     缓存大小设置选项
     cache_mem   N（KB/MB/bytes,默认为bytes）
缓存内存大小
     cache_swap_low(percent,0-100)
缓存对象交换的最低点
     cache_swap_high(percent,0-100)
缓存对象交换的最高点
     maximum_object_size
缓存对象的最大大小
     minimum_object_size
缓存对象的最小大小
     maximum_object_size_in_memory
在内存中缓存的最大的对象大小
     ipcache_size 4096:
ip对应cache的大小为4096fqdncache_size 4096:
     fqdncache_size 4096
域名全称cache的大小为4096
（4）     日志文件路径及CACHE的目录设置选项
     memory_replacement_policy   heap GDSF/heap LRU/LRU/heap LFUDA
内存替换策略
heap GDSF:双重大小贪婪法
LRU:默认，最近最少使用算法
heap LFUDA:最近最不常用被老化法
heap LRU:堆LRU
     cache_replacement_policy   heap GDSF/heap LRU/LRU/heap LFUDA
缓存替换策略
     cache_dir   类型    路径    大小(M)   一级子目录    二级子目录
系统使用的存储类型
类型: UFS|AUFS,默认使用UFS，AUFS用于非同步的I/O设备
实例：cache_dir ufs /usr/local/squid/cache 25000 16 256
     cache_access_log /var/log/squid/access.log
access.log日志文件路径
     cache_log   /var/log/squid/cache.log
缓存日志文件的目录和文件
     emulate_httpd_log   on/off
激活仿真HTTP格式的日志
     mime_table   /etc/squid/mime.conf
mime文件路径
     pid_filename   /var/ran/squid.pid
指定pid文件和路径
     ftp_user   用户名@域名
指定匿名FTP密码
     ftp_list_width    数字
指定FTP列表的文件名长度
     ftp_passive    on/off
以被动模式(on)/主动模式(off)
     cache_dns_program    /usr/lib/squid/
指定DNS查询程序路径
编译时指定：--disable-internal-dns option
     dns_children 数字
指定本地默认启动DNS查询进程数
     dns_nameservers   IP地址
DNS服务器地址
     diskd_program   /usr/lib/squid/diskd
磁盘管理程序
     unlinkd_program usr/lib/squid/unlinkd
删除文件程序
     pinger_program   /usr/lib/squid/
ping程序
编译时指定:--enable-icmp option
     redirect_program   none
URL重点向程序
     redirect_children   数字
重点向进程数
     redirect_rewrites_host_heade    on/off
重点向时重写包头（用加速器时勿用）
     authenticate_program   路径
认证程序
例：authenticate_program /usr/bin/ncsa_auth /usr/etc/passwd
     authenticate_children   数字
认证程序的进程数
     authenticate_ttl     数字   hour/minutes/seconds
认证有效时间
     authenticate_ip_ttl  
对一个IP一次认证后多长时间有效
此时在同一个IP有第二个用户认证会失败
（5）     调整Cache的选项
     request_header_max_size    数字(KB)
最大http请求头
     request_body_max_size     数字（KB）
最大http请求数据内容
     reply_body_max_size   数字（KB）
最大返回数据，可限制用户下载的数据大小
     reference_age   数字
LRU算法中指定LRU时间
     quick_abort_min     数字(KB)
断点续传最小值
     quick_abort_max    数字(KB)
断点续传最大值
     quick_abort_pct    数字(percent)
超过值认为续传成功
     negative_ttl    数字 minutes/hours/seconds
否定回答TTL
     positive_dns_ttl    数字   minutes/hours/seconds
DNS肯定回答TTL
      range_offset_limit    数字   KB/MB/Bytes
请求SQUID预取数据的大小
（6）     定义超时的选项
     connect_timeout:SQUID等待客户请求的服务器回应的时间长度
     peer_connect_timeout:一个对等的缓存服务器的TCP连接超时时间
     client_lifetime:客户端同代理服务器TCP连接的最大时间长度
     read_timeout:读入数据超时
     request_timeout：客户端请求最大时间
     shutdown_lifetime：关闭squid缓存时间
（7）     定义超时的选项
     acl:定义一个访问列表
          格式：acl     aclname    acltype   string
类型：(acltype)
•     src:源地址
•     dst:目标地址
•     srcdomain:原(客户)名称
•     dstdomain:目标名称
•     time:时间
•     url_regex[-i]:URL中的正则表达式匹配
•     urlpath_regex[-i]:略去协议和主机名的正则表达式
•     proxy_auth:通过外部程序进行用户验证
•     maxconn:单IP最大连接数
•     port:端口
•     myip:本地IP
•     srcdom_regex [-i]:匹配客户名
•     dstdom_regex [-i]:匹配目标名
•     aclname myport:我的端口
•     aclname proto:协议，http,ftp..
•     aclname method:方法，   GET POST
•     aclname browser：匹配User-Agent header
•     aclname ident：用户方用户名
•     aclname ident_regex [-i]:匹配用户方用户名
•     aclname proxy_auth username：指定合法用户
•     用REQUIRED表示所有合法用户
     http_access:代理访问控制
格式：http_access   allow|deny   [!] acl_name
     icp_access:icp访问控制
格式：icp_access   allow|deny   [!]acl_name
     cache_peer_access:其它缓存服务器访问控制
格式：cache_peer_access    cache_host   allow|deny [!]acl_name
（8）     管理员参数选项
     cache_mgr     mail地址:管理员电子邮件
     cache_effective_user   用户名：运行身份
     cache_effective_group   组名：运行组身份
（9）     CACHE注册服务选项
     announce_period   数字：发布缓存通告频率
     announce_host    主机名：通告的主机
     announce_file    文件名：通告的信息
     announce_port   端口号：通告的对方端口
（10）     HTTPD加速选项
     httpd_accel_host   主机名/vitual：加速某服务器访问
     httpd_accel_port   端口号:加速服务器的对方端口
     httpd_accel_single_host    on/off:多台服务器时设置off
     httpd_accel_with_proxy on/off:即作为加速器，又作为WEB缓存服务器，设置为on
     httpd_accel_uses_host_header    on/off：为on，能支持不同的http协议
（11）     杂项
     logfile_rotate 0-9：日志轮换版本数
     append_domain   域名：默认域名
     tcp_recv_bufsize    数字（KB）：TCP缓存区大小
     err_html_text    字符串：包含在错误消息中的文本
     deny_info:禁用时显示消息
格式：deny_info     err_page_name        acl
     visible_hostname   主机名
错误消息中显示的服务器名称
     error_directory 路径:指定错误消息文件目录





netfilter/iptables常用术语
•表
•链
•规则
⑴ 表
含义：提供独立的功能，每张表中由若干链组成
种类：FILTER(默认)   ：包过滤
        NAT           ：地址转换
        MANGLE      ：QOS
⑵ 链
含义：是表的组成部分，细分表的具体功能，每条链由若干条规则构成
种类：INPUT
        OUTPUT
        FORWARD
        POSTROUTING   (对出去的数据包进行路由选择)
        PREROUTING   （对进来的数据包进行路由选择）
        用户自定义链
注：FILTER   :   INPUT           OUTPUT          FORWARD
     NAT      :   OUTPUT         POSTROUTING    PREROUTING
     MANGLE :   PREROUTING    OUTPUT    INPUT    POSTROUTING   FORWARD
⑶ 规则
含义：是一种包含条件的判断语句，用于确定如何处理数据包
   种类：     ACCEPT    Drop     FORWARD    REJECT     SNAT    DNAT
          LOG       TOS       REDIRECT    MASQUERRADE
a)     各表之间的关系






（12）     iptables的使用
a)     安装iptables
# rpm –ivh iptables-1.2.7a-3.i386.rpm
相关文件：
/etc/rc.d/init.d/iptables       (启动脚本)
/usr/sbin/iptables           (配置工具)
/usr/sbin/iptables-save       （保存规则到/etc/sysconfig/iptables文件中）
/usr/sbin/iptables-restore     （恢复/etc/sysconfig/iptables文件中的规则）

b)     iptables的语法
命令格式：
   # iptables [-t 表名] 命令 [链]   [规则号]   [条件]   [规则]
说明：⑴ -t 表名     指定规则所在的表。表名可以是 filter ,nat ,mangle (小写)
⑵   命令 （iptables的子命令）
-A        　在指定链中添加规则
-D       　 在指定链中删除指定规则
-R        　修改指定链中指定规则
-I        　 在指定规则前插入规则
-L        　显示链中的规则
-N        　建立用户链
-F        　清空链中的规则
-X        　删除用户自定义链
-P          设置链的默认规则
-C          用具体的规则链来检查在规则中的数据包
-h        　显示帮助
　　　　　⑶ 条件　
–i 接口名                         指定接收数据包接口
-o 接口名                         指定发送数据包接口
-p [!]协议名                        指定匹配的协议 (tcp , udp , icmp , all )
-s [!]ip地址 [/mask]                 指定匹配的源地址
--sport [!]端口号 [：端口号]          指定匹配的源端口或范围
-d [!]ip地址 [/mask]                 指定匹配的目标地址
--dport [!]端口号 [：端口号]          指定匹配的目标端口或范围
--icmp –type [!]类型号/类型名         指定icmp包的类型
注：8 表示request       0 表示relay （应答）
      -m   port   --multiport          指定多个匹配端口
          limit   --limit              指定传输速度
          mac   --mac-source        指定匹配MAC地址
          sate   --state NEW,ESTABLISHED,RELATED,INVALID      指定包的状态
注：以上选项用于定义扩展规则
-j   规则                            指定规则的处理方法
           ⑷   规则
            ACCEPT    ：接受匹配条件的数据包（应用于I NPUT ,OUTPUT ,FORWARD ）
            Drop       ：丢弃匹配的数据包（应用于INPUT ,OUTPUT ,FORWARD ）
            REJECT     ：丢弃匹配的数据包且返回确认的数据包
            MASQUERADE ：伪装数据包的源地址（应用于POSTROUTING且外网地址
为动态地址，作用于NAT ）
            REDIRECT   ：包重定向 （作用于NAT表中PREROUTING ,OUTPUT,使用要加上--to-port   端口号 ）
            TOS         ：   设置数据包的TOS字段（应用于MANGLE,要加上--set-tos 值）
            SNAT        ：     伪装数据包的源地址（应用于NAT表中POSTROUTING链，要加上--to-source   ip地址 [ip地址] ）
            DNAT        ：     伪装数据包的目标地址（应用于NAT表中PREROUTING链，要加上--to-destination ip地址 ）
            LOG         ：使用syslog记录的日志
            RETURN     ：直接跳出当前规则链
c)     iptables子命令的使用实例
    ⑴    添加规则
      #iptables –A INPUT –p icmp –-icmp-type 8 –s 192.168.0.3 –j Drop
(拒绝192.168.0.3主机发送icmp请求)
     # iptables –A INPUT –p icmp –-icmp-type 8 –s 192.168.0.0/24 –j Drop
       (拒绝192.168.0.0网段ping 防火墙主机，但允许防火墙主机ping 其他主机)
     # iptables –A OUTPUT –p icmp –-icmp-type 0 –d 192.168.0.0/24 –j Drop
       (拒绝防火墙主机向192.168.0.0网段发送icmp应答，等同于上一条指令)
     # iptables –A FORWARD –d www.sina.com -j Drop
       (拒绝转发数据包到www.sina.com,前提是www.sina.com必须被解析)
     # iptables –t nat –A POSTROUTING –s 192.168.0.0/24 –j SNAT –-to-source 211.162.11.1
       (NAT，伪装内网192.168.0.0网段的的主机地址为外网211.162.11.1,这个公有地址，使内网通过NAT上网，前提是启用了路由转发)
     # iptables –t nat –A PREROUTING –p tcp --dport 80 –d 211.162.11.1 –j DNAT -–to-destination 192.168.0.5
         (把internet上通过80端口访问211.168.11.1的请求伪装到内网192.168.0.5这台WEB服务器，即在iptables中发布WEB服务器，前提是启用路由转发)
       # iptables –A FORWARD –s 192.168.0.4 –m mac --mac-source 00:E0:4C:45:3A:38 –j ACCEPT
         (保留IP地址，绑定 IP地址与MAC地址)
     ⑵删除规则
       # iptables –D INPUT   3
       # iptables –t nat –D OUTPUT –d 192.168.0.3   –j   ACCEPT
     ⑶插入规则
       # iptables –I FORWARD 3 –s 192.168.0.3   –j Drop
       # iptables –t nat –I POSTROUTING 2 –s 192.168.0.0/24 –j Drop
     ⑷修改规则
       # iptables –R INPUT 1 –s 192.168.0.2 –j Drop
     ⑸显示规则
       # iptables –L (默认表中的所有规则)
       # iptables –t nat –L POSTROUTING
     ⑹清空规则
       # iptables –F
       # iptables –t nat –F PREROUTING
     ⑺设置默认规则
       # iptables –P INPUT ACCEPT
       # iptables –t nat –P OUTPUT Drop
       (注：默认规则可以设置为拒绝所有数据包通过，然后通过规则使允许的数据包通
过，这种防火墙称为堡垒防火墙，它安全级别高，但不容易实现；也可以把默认
规则设置为允许所有数据包通过，即鱼网防火墙，它的安全级别低，实用性较差。）
⑻建立自定义链
   # iptables –N wangkai
⑼删除自定义链
   # iptables –X wangkai
⑽应用自定义链
   # iptables –A wangkai –s 192.168.0.8   –j Drop
   # iptables –A INPUT –j wangkai
   (注：要删除自定义链，必须要确保该链不被引用,而且该链必须为空，如要删除上例定义的自定义链方法为：# iptables –D INPUT –j wangkai
# iptables   -F wangkai
# iptables   -X wangkai              
（13）     启动iptables和保存iptables规则
a)     启动iptables
# service iptables start
     2.   保存规则
方法一：将规则写入iptables 的启动脚本
   #v/etc/rc.d/init.d/iptables 在start()函数中写入要保存的规则
方法二：将规则写入一个自定义的脚本，再把该脚本放如rc.local中，要注意的是建立脚本是要输入iptables的绝对路径：/sbin/iptables
方法三：# service iptables save
         (将内存中的规则保存到/etc/sysconfig/iptables中，重启系统时，iptables的启动脚本会利用iptables-restore 来恢复该文件中的规则)
方法四：# iptables-save>/etc/sysconfig/iptables
         (该命令等同与上一条命令)     
（14）     配置案例
要求：•设置防火墙主机能够给局域网中的主机动态分配IP地址
         •设置防火墙主机具有SNAT功能，代理内网中的主机接入Internet
         •设置防火墙主机拒绝icmp 数据包
         •设置防火墙主机发布内网中的Web服务器和FTP服务器
         •设置防火墙主机禁止内网主机访问www.QQ.com;
   配置过程：
1．     DHCP服务的配置
⑴ # rpm –ivh dhcpd-3.11pl.i386.rpm
⑵ # vi /etc/dhcpd.conf
    ddns-update-style none;
    ignore client-updates;
    default-lease-time 3600;
    max-lease-time 7200;
    subnet 192.168.0.0 netmask 255.255.255.0 {
    option routers 192.168.0.1;
    options domain-name-servers 202.162.38.254;
    range 192.168.0.4   192.168.0.254;
    }
⑶ # vi /etc/sysconfig/dhcpd
     DHCPDARGS =eth0
⑷ # service dhcpd start
2．     启用防火墙主机的路由转发功能
   # vi /etc/rc.d/rc.local
echo “1” >/proc/sys/net/ipv4/ip_forward
3．     配置iptables
   ⑴ # rpm –ivh iptables-1.2.7a-3.i386.rpm
   ⑵ # service iptables start
   ⑶ # iptables –F
# iptables –t nat –F
# iptables –t mangle –F
# iptables –P INPUT Drop
# iptables –P OUTPUT Drop
# iptables –P FORWARD Drop
# iptables –t nat –A   POSTROUTING –s 192.168.0.0/24 –j SNAT -–to-source
                 202.162.39.1
        # iptables –A   FORWARD –s 192.168.0.0/24 –m state –state NEW –j   ACCEPT
        # iptables –A   FORWARD–m state –state ESTABLISHED,RELATED –j   ACCEPT
        # iptables –t nat –A PREROUTING –d 202.162.39.1 –p tcp -–dport 80 –j DNAT
                     --to-destination 192.168.0.2
        # iptables –t nat –A PREROUTING –d 202.162.39.1 –p tcp -–dport 21 –j DNAT
                     --to-destination 192.168.0.3
        # iptables –I FORWARD –s 192.168.0.0/24 –d www.QQ.com -j Drop
（4） # service iptables save