第11章Proxy服務(wù)器配置

第11章

Proxy服務(wù)器配置本章介紹了代理服務(wù)器的基本概念和工作原理squid代理服務(wù)器的安裝配置方法，以及利用squid代理服務(wù)器實(shí)現(xiàn)透明代理以及實(shí)現(xiàn)安全訪問控制的方法。

學(xué)完本章后，你將能夠：描述代理服務(wù)器的基本概念和工作原理利用squid代理服務(wù)器實(shí)現(xiàn)透明代理利用squid代理服務(wù)器進(jìn)行安全訪問設(shè)置安裝配置squid安裝配置squid

1代理服務(wù)器概述2squid代理服務(wù)器的安裝和配置3squid代理服務(wù)器的訪問控制設(shè)置4squid代理服務(wù)器日志管理11.1什么是代理服務(wù)器

所謂代理服務(wù)器，就是代表內(nèi)部私有網(wǎng)絡(luò)中的客戶，去請求Internet網(wǎng)中的資源，并將響應(yīng)的數(shù)據(jù)返回給客戶機(jī)的服務(wù)器。它能夠讓多臺(tái)沒有公有IP地址的主機(jī)使用其代理功能訪問互聯(lián)網(wǎng)資源。當(dāng)代理服務(wù)器客戶端發(fā)出一個(gè)對外的資源訪問請求，該請求先被代理服務(wù)器識(shí)別并由代理服務(wù)器代為向外請求資源并保存在本機(jī)緩存中，客戶端通過訪問代理服務(wù)器的緩存實(shí)現(xiàn)訪問請求。代理服務(wù)器是內(nèi)部網(wǎng)絡(luò)和ISP（Internet服務(wù)商）之間的中介，它可以提供文件緩存、地址過濾、網(wǎng)絡(luò)監(jiān)控等功能，并且可以轉(zhuǎn)發(fā)網(wǎng)絡(luò)信息，對轉(zhuǎn)發(fā)信息進(jìn)行控制。11.2代理服務(wù)器的主要作用代理服務(wù)器的作用主要有以下幾方面： 共享訪問網(wǎng)絡(luò)資源提高訪問速度隱藏主機(jī)的真實(shí)IP地址，提高系統(tǒng)的安全性控制用戶訪問權(quán)限通過代理服務(wù)器訪問一些不能直接訪問的站點(diǎn)。11.3代理服務(wù)器的工作原理1代理服務(wù)器概述2squid代理服務(wù)器的安裝和配置3squid代理服務(wù)器的訪問控制設(shè)置4squid代理服務(wù)器日志管理

squid代理服務(wù)器簡介

squid是Linux平臺(tái)下一個(gè)高性能的具有網(wǎng)頁緩存功能的代理服務(wù)器軟件，它支持HTTP、FTP和gopher等協(xié)議，在緩存數(shù)據(jù)的同時(shí)，也緩存DNS查詢結(jié)果并支持SSL和訪問控制。squid用一個(gè)單獨(dú)的、非模塊化的、I/O驅(qū)動(dòng)的進(jìn)程來處理所有的客戶端請求。squid可以工作在FreeBSD、HP-UX、Linux、OS/2等很多操作系統(tǒng)平臺(tái)中。squid服務(wù)器的安裝啟動(dòng)squid服務(wù)器在RHEL4系統(tǒng)中已經(jīng)默認(rèn)安裝#rpm-qsquidsquid-2.5.STABLE6-3

squid服務(wù)的啟動(dòng)狀態(tài)squid服務(wù)程序在RHEL4中默認(rèn)不自動(dòng)啟動(dòng)需要用chkconfig命令設(shè)置squid服務(wù)在運(yùn)行級別3和5中自動(dòng)啟動(dòng)#chkconfig--level35squidon9squid服務(wù)的啟動(dòng)與停止啟動(dòng)腳本squid服務(wù)的啟動(dòng)腳本名稱是“squid”/etc/init.d/squid

啟動(dòng)與停止squid服務(wù)啟動(dòng)squid服務(wù)#servicesquidstart

停止squid服務(wù)#servicesquidstop服務(wù)端口squid服務(wù)器的缺省服務(wù)端口為3128103.1Squid的基本配置選頂11．squid主配置文件squid服務(wù)器的主配置文件為squid.conf，位于/etc/squid目錄下，用戶可以通過修改該配置文件來實(shí)現(xiàn)所需的功能。Squid的基本配置選頂12．初始化squid建立置換目錄在第一次啟動(dòng)squid前，應(yīng)該先建立高速緩存的置換目錄，然后再啟動(dòng)squid服務(wù)。命令如下：[root@rhel5~]#squid–z默認(rèn)情況下，squid代理服務(wù)器返回的錯(cuò)誤信息都是英文，如果需要將錯(cuò)誤信息的語言改為中文，可以使用下面的方法：[root@rhel5~]#mv/etc/squid/errors/etc/squid/errors.bak[root@rhel5~]#ln-s/usr/share/squid/errors/Simlify_Chinese/etc/squid/errors

Squid的基本配置選頂1http_port

3128網(wǎng)頁瀏覽器連接到本臺(tái)代理服務(wù)器時(shí)所使用的端口號，默認(rèn)為3128，也可更改其他端口號，如8080，不同端口之間用空格隔開cache_mem8MB設(shè)置Squid可利用多少內(nèi)存（默認(rèn)8MB）當(dāng)作高速緩存，一般為1/3實(shí)際物理內(nèi)存cache_dirufs

/var/spool/squid10016256設(shè)置緩存目錄和緩存可以使用的磁盤空間，100表示最大可使用100MB；16表示第一層子目錄最多可以有16個(gè)；256表示每個(gè)第一層子目錄下的第2層子目錄最多可以有256個(gè)cache_access_log

/var/log/squid/access.log設(shè)置緩存儲(chǔ)存記錄文件的名稱和所在的目錄，它記錄了所有緩存的行為如果不需要可設(shè)為：cache_access_log

noneSquid的基本配置選頂2maximum_object_size

4096KB設(shè)置Squid的最大存儲(chǔ)對象的大小，默認(rèn)為4Mcache_mgrroot設(shè)置電子郵件的地址，如果服務(wù)器出現(xiàn)問題，將向這個(gè)地址發(fā)送相關(guān)的錯(cuò)誤信息cach_effective_user

squid設(shè)置運(yùn)行Squid的有效用戶cach_effective_group

squid設(shè)置運(yùn)行Squid的有效組http_access

用來設(shè)置訪問控制：allowall表示允許所有用戶使用代理服務(wù)器

denyall表示拒絕所有用戶使用代理服務(wù)器Squid.conf配置舉例#

vi/etc/squid/squid.confhttp_port

8080cache_dirufs

/var/spool/squid/10016256cache_mem

43MBmaximum_object_size4096KBcache_effective_user

squidcache_effective_groupsquidcache_mgr

rootvisible_hostname

http_access

allowall#cd/var/spool/squid#squid–z#servicesquidstartsquid代理服務(wù)器ACL類型選項(xiàng)

16訪問控制

訪問控制是squid配置中的重點(diǎn),Squid用ACL(AccessControlList）訪問控制列表對訪問類型進(jìn)行劃分，用選項(xiàng)http_access來控制允許訪問（allow）還是禁止訪問（deny）acl選項(xiàng)http_access選項(xiàng)acl選項(xiàng)

為了使用訪問控制列表功能，首先要用acl選項(xiàng)進(jìn)行定義訪問控制列表。該選項(xiàng)的基本格式為：acl

列表名稱列表類型[-i]列表的值列表名稱：可以由用戶任意定義，但任何兩個(gè)ACL不能用相同的名稱列表類型：列表類型說明ACL操作的對象類型，選項(xiàng)src:源地址（客戶機(jī)IP地址）dst:目的地址（服務(wù)器IP地址）srcdomain:源名稱（客戶機(jī)所在的域）dstdomain:目的名稱（服務(wù)器所在的域）url_regex:指定的URL規(guī)則表達(dá)式字符串urlpath_regex:指定的URL目錄路徑規(guī)則表達(dá)式，不包括協(xié)議和站點(diǎn)的域名和IPmaxconn:客戶機(jī)同一個(gè)IP最大的連接數(shù)訪問控制配置squid訪問控制設(shè)置示例禁止內(nèi)網(wǎng)部分IP使用代理服務(wù)器aclbadipsrc/24http_accessdenybadip禁止內(nèi)網(wǎng)部分MAC地址使用代理服務(wù)器

aclbadmacarp00:d0:f8:d9:0e:05http_accessdenybadmac禁止內(nèi)網(wǎng)用戶訪問某些網(wǎng)站

aclbadwebsitedstdomainhttp_accessdenybadwebsite20訪問控制配置禁止內(nèi)網(wǎng)用戶訪問某些格式文件

aclbadfileurlpath_regex\.mp3$\.avi$\.exe$\.rmvb$http_accessdenybadfile禁止內(nèi)網(wǎng)用戶瀏覽網(wǎng)頁

aclbadnetsrc0aclbadnetprotoHTTPhttp_accessdenybadnet21訪問控制配置限制客戶端主機(jī)上網(wǎng)的時(shí)間aclworktimeMTWHF9:00~17:00http_accessdeny!worktime如果需要限制特定的用戶，可以采用下面的配置方法aclbadclientsrc0aclworktimeM12:00~17:00http_accessdenybadclient!worktime22squid服務(wù)的配置文件（Cont.）squid.conf文件中的配置選項(xiàng)訪問控制設(shè)置“http_access”用于設(shè)置允許或拒絕訪問控制對象http_accessallowlocalhosthttp_accessdenyall訪問控制列表（ACL）的定義“acl”配置項(xiàng)用于設(shè)置訪問控制列表的內(nèi)容aclallsrc/acllocalhostsrc/55重新啟動(dòng)squid服務(wù)對squid.conf文件修改后需要重新啟動(dòng)服務(wù)程序#servicesquidrestart

23配置透明代理服務(wù)器配置squid服務(wù)器修改squid.conf配置文件中的設(shè)置#vi/etc/squid/squid.conf//在配置文件中添加以下的配置行httpd_accel_hostvirtualhttpd_accel_port80ht