Linux基礎學習-使用Squid部署代理快取服務
阿新 • • 發佈：2018-12-09
使用Squid部署代理快取服務
Squid是Linux系統中最為流行的一款高效能代理服務軟體,通常作為Web網站的前置快取服務,能夠代替使用者向網站伺服器請求頁面資料並進行快取.Squid服務配置簡單、效率高、更能豐富，可以基於多種條件禁止使用者訪問存在威脅或不適宜的網站資源,因此可以保護企業內網的安全,提升使用者的網路體驗,幫助節省網路頻寬.
配置Squid服務程式
首先準備兩臺虛擬機器,一臺用做Squid伺服器,一臺用作Squid客戶端.
| 主機 | 作業系統 | IP地址 |
|---|---|---|
| Squid伺服器 | RHEL7 | 172.16.10.20 |
| Squid客戶端 | CentOS7 | 172.16.10.10 |
[[email protected] ~]# ping www.baidu.com
PING www.a.shifen.com (61.135.169.121) 56(84) bytes of data.
64 bytes from 61.135.169.121 (61.135.169.121): icmp_seq=1 ttl=128 time=38.0 ms
64 bytes from 61.135.169.121 (61.135.169.121): icmp_seq=2 ttl=128 time=37.9 ms
//安裝Squid服務 | 引數 | 作用 |
|---|---|
| http_port 3128 | 監聽的埠號 |
| cache_mem 64M | 記憶體緩衝區的大小 |
| cache_dir ufs /var/spool/squid 2000 16 256 | 硬碟緩衝區的大小 |
| cache_effective_user squid | 設定快取的有效使用者 |
| cache_effective_group squid | 設定快取的有效使用者組 |
| dns_nameservers [IP地址] | 一般不設定,而是用伺服器預設的DNS地址 |
| cache_access_log /var/log/squid/access.log | 訪問日誌檔案的儲存路徑 |
| cache_log /var/log/squid/cache.log | 快取日誌檔案的儲存路徑 |
| visible_hostname [Name] | 設定Squid伺服器的名稱 |
標準正向代理
//啟動服務加入開機啟動項
[root@Squid-Server ~]# systemctl restart squid
[root@Squid-Server ~]# systemctl enable squid
Created symlink from /etc/systemd/system/multi-user.target.wants/squid.service to /usr/lib/systemd/system/squid.service.
52 http_access allow localnet
53 http_access allow localhost
54
55 # And finally deny all other access to this proxy
56 http_access deny all
57
58 # Squid normally listens to port 3128
59 http_port 3128
如果你開啟了防火牆和Selinux又更改了預設埠號需要對埠進行放行
//檢視
semanage port -l | grep squid_port_t
//新增新的埠號
semanage port -a -t squid_port_t -p tcp 10000
//再次檢視
semanage port -l | grep squid_port_t實驗1: 只允許IP地址為172.16.10.10的客戶端使用伺服器上的Squid服務程式提供的代理服務,禁止其餘所有主機代理請求
#################################################################
27 acl client src 172.16.10.10
28 #################################################################
29 #
30 # Recommended minimum Access Permission configuration:
31 #
32 # Deny requests to certain unsafe ports
33 #################################################################
34 http_access allow client
35 http_access deny all
36 #################################################################
37 http_access deny !Safe_ports
更改客戶端的IP地址,再次嘗試聯網發現無法上網了,代理伺服器拒絕連線.
實驗2: 禁止所有客戶端訪問網址中包含linux關鍵詞的網站.
#################################################################
27 #acl client src 172.16.10.10
28 acl deny_keyword url_regex -i linux
29 #################################################################
30 #
31 # Recommended minimum Access Permission configuration:
32 #
33 # Deny requests to certain unsafe ports
34 #################################################################
35 #http_access allow client
36 http_access deny deny_keyword
37 #http_access deny all
訪問含有linux關鍵字的網址時被拒絕.
實驗3: 禁止所有客戶端訪問某個特定的網站
#################################################################
27 #acl client src 172.16.10.10
28 #acl deny_keyword url_regex -i linux
29 acl deny_url url_regex http://www.linuxidc.com
30 #################################################################
31 #
32 # Recommended minimum Access Permission configuration:
33 #
34 # Deny requests to certain unsafe ports
35 #################################################################
36 #http_access allow client
37 #http_access deny deny_keyword
38 http_access deny deny_url
39 #http_access deny all
40 #################################################################
41 http_access deny !Safe_ports
42
43 # Deny CONNECT to other than secure SSL ports
44 http_access deny CONNECT !SSL_ports
訪問指定網址被拒絕.訪問其他網址正常訪問.
實驗4: 禁止員工在企業網內部下載帶有某些字尾的檔案
#################################################################
#acl client src 172.16.10.10
#acl deny_keyword url_regex -i linux
#acl deny_url url_regex http://www.linuxidc.com
acl badfile urlpath_regex -i \.rar$ \.avi$
#################################################################
#
# Recommended minimum Access Permission configuration:
#
# Deny requests to certain unsafe ports
#################################################################
#http_access allow client
#http_access deny deny_keyword
#http_access deny deny_url
#http_access deny all
http_access deny badfile
#################################################################
http_access deny !Safe_ports
透明正向代理
//客戶端取消代理,閘道器指向squid伺服器地址
[root@Squid-Server ~]# echo "net.ipv4.ip_forward=1" >> /etc/sysctl.conf
[root@Squid-Server ~]# sysctl -p
net.ipv4.ip_forward = 1
[root@Squid-Server ~]# iptables -t nat -A POSTROUTING -p udp --dport 53 -o ens35 -j MASQUERADE
此處網絡卡為對外的網絡卡
72 http_port 3128 transparent
73
74 # Uncomment and adjust the following to add a disk cache directory.
75 cache_dir ufs /var/spool/squid 100 16 256
[root@Squid-Server ~]# squid -k parse
[root@Squid-Server ~]# squid -z
2018/08/23 10:39:30| Squid is already running! Process ID 2299
[root@Squid-Server ~]# iptables -t nat -A PREROUTING -p tcp -m tcp --dport 80 -j REDIRECT --to-port 3128
[root@Squid-Server ~]# iptables -t nat -A POSTROUTING -s 172.16.10.0/24 -o ens35 -j SNAT --to 192.168.56.15
//此處網絡卡為對外的網絡卡
[root@Squid-Server ~]# service iptables save
反向代理
//主機設為NAT或者DHCP模式,配置檔案編輯如下
http_port 192.168.56.15:80 vhost
cache_peer 39.104.16.126 parent 80 0 originserver
當你訪問本機IP時訪問的卻是目標站點