squid之acl访问控制命令

Acl访问控制：
Squid提供了强大的代理控制机制，通过合理设置ACL并进行控制，可以针对源地址、目标地址、URL路径、访问时间等各种条件进行设置

ACL访问控制通过以下两个步骤来实现：

（1）使用acl配置项定义需要控制的条件

（2）通过http_access配置项对已定义的条件做限制，如“允许”或“拒绝”

1、定义acl配置项

每一行acl配置可以定义一条访问控制列表，格式如下：

	acl  列表名称   列表类型   列表内容

说明：
列表名称：由管理员自行指定，用来识别控制条件

列表类型：必须使用Squid预定义的值，对应不同类别的控制条件

列表内容：具体控制的对象，不同的类型对应的内容也不一样，可以有多个值，用空格分隔

列表类型：
列表类型 含义/用途 列表内容示例
src 源IP地址、网段、IP地址范围（客户机IP地址） 192.168.1.100
192.168.1.0/24
192.168.1.0-192.168.3.0/24
dst 目标IP地址、网段主机名（服务器IP地址） 216.182.154.9
216.182.154.0/24
www.ysf.com
port 目标端口 80、443、20、22
srcdomain 源名称（客户机所属的域） .yangshufan.com
dstdomain 目标名称（服务器所属的域） .qq.com
time 字母表示一星期中各天的英文缩写MTWHFAS MTWHF 8:30-17:30(周一至周五的时刻)

	12:30-13:30
	
	AS（周六、日）

maxconn 每个客户机的并发连接数 20
url_regex 目标资源的URL地址，-i表示忽略大小写 url_regex -i ^rtsp://

urlpath_regex 目标资源的整个URL路径 urlpath_regex -i sex adult

	urlpath_regex -i \.mp3$

从上向下依次匹配，匹配及停止，并执行匹配的动作

例子：
acl mylan src 192.168.1.0/24 192.168.4.0/24
//客户机网段
acl worktime time MTWHF 08:30-17:30
//周一至周五的工作时间段
acl to_host dst 127.0.0.0/8
//目标地址
acl mc20 maxconn 20
//最大并发连接20
acl blackURL url_regex -i ^rtsp:// ^ emo://
//以rtsp://等开头的URL
acl fileURL urlpath_regex -i .mp3$ .mp4$
//以.mp3、.mp4结尾的URL路径

#当需要限制的同一类型较多时，可以用独立的文件来存放
mkdir /etc/squid //建立目标地址名单
cd /etc/squid
vi ipblock.list //建立目标IP地址名单
89.23.12.34
191.12.37.112
171.23.65.0/24

vi dmblock.list //建立目标域地址名单
.qq.com
.ysf.com
.yang.com

vi /etc/squid.conf
acl ipblock dst “/etc/squid/ipblock.list”
//调用指定文件的列表内容
acl dmblock dstdomain “/etc/squid/dmblock.list”

2. 设置访问权限

   定义好acl后，需要设置访问权限，并必须防止对应的acl配置项之后，格式如下：

http_access deny或allow 列表名

vi /etc/squid.conf
……
http_access allow mylan !fileURL //!取反值，表示禁止客户机下载MP3、MP4文件
http_access allow mylan worktime safeport !ipblock !dmblock
//允许客户机在工作时间访问80、443端口，拒绝访问黑名单的IP地址、域
http_access deny all //默认禁止所有客户机使用代理

[root@lq1 ~]# vi /etc/squid.conf
禁止192.168.909主机上网
acl nolink src 192.168.90.9
http_access deny nolink

[root@lq1 ~]# service squid restart
在windows浏览器中输入http://192.168.80.101

[root@lq1 ~]# vi /etc/squid.conf

[root@lq1 ~]# service squid restart

在windows浏览器中输入192.168.80.101