squid代理服务器应用

一、缓存代理概述

1.1 代理的基本类型

• 传统代理:适用于Internet,需明确指定服务端
• 透明代理:客户机不需指定代理服务器的地址和端口，而是通过默认路由、防火墙策略将Web访问重定向给代理服务器处理

1.2 代理的优势

• 缓存网页对象，减少重复请求
• 提高web访问速度，隐藏客户机的真实IP地址

二、案例

2.1 传统代理

2.1.1 传统代理的配置

tar zxvf squid-3.5.23.tar.gz	# 解压软件包
cd squid-3.5.23/
./configure --prefix=/usr/local/squid \	# 配置
--sysconfdir=/etc \
--enable-arp-acl \
--enable-linux-netfilter \   # linux内核通过netfilter模块实现网络访问控制功能
--enable-async-io=100 \ 	# 实现透明代理功能
--enable-err-language="Simplify_Chinese" \	# 异步传输输入输出数量
--enable-underscroe \	# 允许下划线
--enable-poll \	# 协调读写设备个数或读写设备顺序的函数
--enable-gnuregex	# c/c++常用的正则表达式
make && make install		# 编译安装
cd
ln -s /usr/local/squid/sbin/* /usr/sbin
useradd -M -s /sbin/nologin squid
chown -R squid.squid /usr/local/squid/var/
vi /etc/squid.conf	# 上两行为添加内容，后一行为原内容
cache_effective_user squid	# 添加指定程序用户
cache_effective_group squid	# 添加指定账号基本组
coredump_dir /usr/local/squid/var/cache/squid
squid -k parse	# 检查配置文件语法
squid -z	# 初始化缓存目录
squid
netstat -anpt | grep squid

# 创建squid管理脚本
vi /etc/init.d/squid
#!/bin/bash
# chkconfig: 35 90 25
PID="/usr/local/squid/var/squid.pid"
CONF="/etc/squid.conf"
CMD="/usr/local/squid/sbin/squid"
case $1 in
start)
        netstat -anpt | grep squid &> /dev/null
    if [ $? -eq 0 ]
    then echo "squid is running"
    else echo "正在启动squid"
    $CMD
    fi
;;
stop)
    $CMD -k kill &> /dev/null
    rm -rf $PID &> /dev/null
;;
reload)
    $CMD -k reconfigure
;;
status)
    [ -f $PID ] &> /dev/null
    if [ $? -eq 0 ]
    then netstat -anpt | grep squid
    else echo "squid is not running"
    fi
;;
restart)
    $0 stop &> /dev/null
    $0 start &> /dev/null
;;
check)
    $CMD -k parse
;;
*)
    echo "用法:$0{start|status|restart|reload|check}"
esac

chmod +x /etc/init.d/squid
chkconfig --add /etc/init.d/squid
chkconfig --list
systemctl stop squid.service
systemctl start squid.service
systemctl status squid.service

vi /etc/squid.conf
http_access allow all
http_access deny all
http_port 3128
cache_mem 64 MB
reply_body_max_size 10 MB
maxinum_object_size 4096 KB

# web节点
yum -y install httpd
echo "<h1>web1</h1>" > /var/www/html/index.html
systemctl start httpd
# 另一台的web节点设置相同

2.1.2 传统代理的验证

客户端需要修改浏览器中的设置，开启自定义代理。
然后访问服务器ip，通过squid代理服务器可以查询到代理生效。

2.2 透明代理

2.2.1 透明代理的配置

• 代理主机： 192.168.20.15 192.168.30.15（开启路由功能）
• web服务器：192.168.20.12（route add -net 192.168.30.0/24 gw 192.168.20.15）
  192.168.20.13（route add -net 192.168.30.0/24 gw 192.168.20.15）
• 客户机：192.168.30.14（网关指向192.168.30.15）

代理主机上面的配置：

vi /etc/squid.conf
http_port 192.168.30.11:3128 transparent

iptables -t nat -I PREROUTING -i ens37 -s 192.168.30.0/24 -p tcp --dport=443 -j REDIRECT --to 3128
iptables -t nat -I PREROUTING -i ens37 -s 192.168.30.0/24 -p tcp --dport=80 -j REDIRECT --to 3128
iptables -I INPUT -p tcp --dport 3128 -j ACCEPT

重启squid服务

web服务器上面正常的配置httpd服务即可

2.2.2 透明代理的验证

客户机即可访问客户机。
通过查看网页服务器上面的日志文件 /var/log/httpd/access_log可以看出代理后数据从squid服务器代理，隐藏了客户机的ip信息。

2.2.3 acl访问控制

在透明代理的基础之上，对配置文件进行修改，可以拒绝指定的ip或者某些ip地址段。
以指定地址为例：

vi /etc/squid.conf
# squid定义acl（以拒绝指定ip为例子）
acl client src 192.168.30.14/32
http_access deny client

重启squid即可

使用该地址对服务器进行访问，出现拒绝的情况：
acl访问控制的其他情况：

• acl localhost src 192.168.30.14/32

• acl MYLAN src 192.168.30.0/24

• acl destionhost dst 192.168.30.14/32

• acl MC20 maxconn 20

• acl BUPL url_regex -i ^rtsp:// ^emule://

• acl PURL urlpath_regex -i .mp3$ .mp4$ .rmvb$

• acl work time MTWHFAC 08:30-18:00
  还有可以根据某个指定的文件列表来拒绝：

    mkdir /etc/squid
    vi deny.list
     192.168.30.15
     192.168.30.16
     192.168.30.17
     vi /etc/squid.conf
     acl destionhost dst "/etc/squid/deny.list"
  

重启squid服务即可

2.2.4 squid日志分析

配置文件

tar zxvf sarg-2.3.7.tar.gz		# sarg软件的安装
cd sarg-2.3.7/
./configure --prefix=/usr/local/sarg --sysconfdir=/etc/sarg --enable-extraprotection
make && make install

vi /etc/sarg/sarg.conf		# 配置文件的修改
:7 access_log /usr/local/squid/var/logs/access.log 	# 指定访问日志文件
:25 title "Squid User Access Reports" 	# 网页标题
:120 output_dir /var/www/html/squid-reports	# 报告输出目录
:178 user_ip no	# 使用用户名显示
:206 exclude_hosts /usr/local/sarg/noreport	# 
:184 topuser_sort_field connect reverse	# top排序中有连接次数、访问字节按降序排序 升序是normal
:190 #user_sort_field BYTES reverse	# 用户访问记录、连接次数、访问字节按降序排序
:257 overwrite_report no	# 同名日志是否覆盖
:289 mail_utility mailx	# 发送邮件报告
:434 charset UTF-8		# 使用字符集
:518 weekdays 0-6		# top排行的星期周期
:525 hours 0-23		# top排行的时间周期
:633 www_document_root /var/www/html	#网页根目录

touch /usr/local/sarg/noreport
ln -s /usr/local/sarg/bin/sarg /usr/local/bin/
# 因为想要查看日志生成的网页内容，可以安装httpd服务
yum -y install httpd
systemctl start httpd
# 通过http://192.168.20.15/squid-reports网页来访问具体的网页内容
# 周期性计划任务执行每天生成报告crontab
crontab -e
* 3 * * * /usr/local/bin/sarg -l /usr/local/var/logs/access.log -o /var/www/html/squid-reports/ -z -d $(date -d "-1 day" +%Y%-m-%d)-$(date +%Y-%m-%d)
crontab -l

2.2.5 squid反向代理

vi /etc/squid.conf
http_port 192.168.30.15:80 accel vhost vport
cache_peer 192.168.20.13 parent 80 0 no-query originserver route-robin max_conn=100 weight=1 name=web2
cache_peer 192.168.20.12 parent 80 0 no-query originserver route-robin max_conn=100 weight=1 name=web1
cache_peer_domin web1 web2 www.aa.com

重启squid服务

通过客户机访问squid服务器，得到web网页的内容，实现反向代理。