Squid

一、Squid 代理服務器
二、安裝 Squid 服務
三、構建傳統代理服務器
- Squid服務器配置
- web1 配置
- 客戶機瀏覽器訪問測驗
四、構建透明代理服務器
- Squid服務器配置
- Web1 配置
- 客戶機瀏覽器訪問測驗
五、ACL訪問控制
- Squid服務器配置(192.168.153.10)
- Web1 (192.168.153.20)、Web2 (192.168.153.30)
- 客戶機瀏覽器訪問測驗
六、Squid 日志分析
- 客戶端瀏覽器訪問驗證
七、Squid 反向代理
- 代理服務器配置
- web1(192.168.153.20)
- web(192.168.153.30)
- 客戶機（192.168.153.128）的域名映射

一、Squid 代理服務器

Squid主要提供快取加速、應用層過濾控制的功能，

代理的作業機制：

代替客戶機向網站請求資料，從而可以隱藏用戶的真實IP地址，
將獲得的網頁資料(靜態Web元素)保存到快取中并發送給客戶機，以便下次請求相同的資料時快速回應，

Squid 代理的型別：

傳統代理：適用于Internet，需在客戶機指定代理服務器的地址和埠，
透明代理：客戶機不需指定代理服務器的地址和埠，而是通過默認路由、防火墻策略將Web訪問重定向給代理服務器處理，
反向代理：如果Squid反向代理服務器中快取了該請求的資源，則將該請求的資源直接回傳給客戶端；否則反向代理服務器將后臺的WEB服務器請求資源，然后將請求的應答回傳給客戶端，同時也將該應答快取在本地，供下一個請求者使用，

二、安裝 Squid 服務

①關閉防火墻即安全機制

systemctl stop firewalld 
systemctl disable firewalld 
setenforce 0

②編譯安裝 squid
軟體包

yum -y install gcc gcc-c++ make

cd /opt        #拉入軟體包
tar zxvf squid-3.5.28.tar.gz

cd /opt/squid-3.5.28

./configure --prefix=/usr/local/squid \
--sysconfdir=/etc \
--enable-arp-acl \
--enable-linux-netfilter \
--enable-linux-tproxy \
--enable-async-io=100 \
--enable-err-language="Simplify_Chinese" \
--enable-underscore \
--disable-poll \
--enable-epoll \
--enable-gnurege

make && make install      #編譯安裝

./configure --prefix=/usr/local/squid \	#指定安裝目錄路徑
–sysconfdir=/etc \	#指定組態檔路徑
–enable-arp-acl \	#MAC地址管控,防止客戶端使用IP欺騙
–enable-linux-netfilter \	#使用內核過濾
–enable-linux-tproxy \	#支持透明模式
–enable-async-io=100 \	#異步IO，提升存盤性能
–enable-err-language=“Simplify_Chinese”\	#錯誤資訊的顯示語言
–enable-underscore \	#允許URL中有下劃線
–disable-poll \	#關閉默認使用poll模式
–enable-epoll \	#開啟epoll模式提升性能
–enable-gnuregex	#使用GNU正則運算式

③創建軟連接、系統用戶，指定屬主屬組

ln -s /usr/local/squid/sbin/* /usr/local/sbin/  

useradd -M -s /sbin/nologin squid 

chown -R squid:squid /usr/local/squid/var/     #此目錄用于存放快取檔案

③修改squid 的組態檔

vim /etc/squid.conf
......
--56行--插入
http_access allow all           #放在 http_access deny all 之前，允許任意客戶機使用代理服務，控制規則自上而下匹配
http_access deny all
http_port 3128                  #用來指定代理服務監聽的地址和埠(默認的埠號為3128)
--61行--插入
cache_effective_user squid      #添加，指定程式用戶，用來設定初始化、運行時快取的賬號,否則啟動不成功
cache_effective_group squid     #添加，指定賬號基本組

coredump_dir /usr/local/squid/var/cache/squid      #指定快取檔案目錄

在這里插入圖片描述
④Squid的運行控制，檢查組態檔語法是否正確

squid -k parse          #啟動squid，第一次啟動squid服務時，會自動初始化快取目錄

squid -z                #-z選項用來初始化快取目錄

squid                   #啟動squid服務

netstat -anpt | grep "squid"

在這里插入圖片描述

⑤創建squid服務腳本

vim /etc/init.d/ squid
#!/bin/bash
#chkconfig: 2345 90 25
PID="/usr/local/squid/var/run/squid.pid"
CONF="/etc/squid.conf"
CMD="/usr/local/squid/sbin/squid"

case "$1" in
   start)
     netstat -natp | grep squid &> /dev/null
     if [ $? -eq 0 ]
     then
       echo "squid is running"
       else
       echo "正在啟動 squid..."
       $CMD
     fi
   ;;
   stop)
     $CMD -k kill &> /dev/null
     rm -rf $PID &> /dev/null
   ;;
   status)
     [ -f $PID ] &> /dev/null
        if [ $? -eq 0 ]
          then
            netstat -natp | grep squid
          else
            echo "squid is not running"
        fi
   ;;
   restart)
      $0 stop &> /dev/null
      echo "正在關閉 squid..."
         $0 start &> /dev/null
      echo "正在啟動 squid..."
   ;;
   reload)
      $CMD -k reconfigure
   ;;
   check)
      $CMD -k parse
   ;;
   *)
      echo "用法：$0{start|stop|status|reload|check|restart}"
   ;;
esac

2345是默認自啟動級別，如是-代表任何級別都不自啟動; 90是啟動優先級，25是停止優先級，優先級范圍是0一100，數字越大，優先級越低、

chmod +x /etc/init.d/squid
chkconfig --add squid
chkconfig --level 35 squid on

在這里插入圖片描述

三、構建傳統代理服務器

主機	作業系統	IP地址	安裝包、服務
Squid-Server	CentOS7	192.168.153.10	squid-3.5.28.tar.gz
Web1	CentOS7	192.168.153.20	httpd
客戶機	Windows	192.168.153.128	-

Squid服務器配置

①修改組態檔

vim /etc/squid.conf
......
http_access allow all
http_access deny all
http_port 3128
cache_effective_user squid
cache_effective_group squid

--63行插入--
cache_mem 64 MB
reply_body_max_size 10 MB
maximum_object_size 4096 KB

在這里插入圖片描述

cache_mem 64 MB
#指定快取功能所使用的記憶體空間大小，便于保持訪問較頻繁的WEB物件，容量最好為4的倍數，單位為MB，建議設為物理記憶體的1/4
reply_body_max_size 10 MB
#允許用戶下載的最大檔案大小，以位元組為單位，當下載超過指定大小的Web物件時，瀏覽器的報錯頁面中會出現“請求或訪問太大”的提示默認設定0表示不進行限制
maximum_object_size 4096 KB
#允許保存到快取空間的最大物件大小，以KB為單位，超過大小限制的檔案將不被快取，而是直接轉發給用戶

②重啟服務

service squid restart
netstat -natp | grep squid

在這里插入圖片描述
③生產環境中還需要修改防火墻規則

iptables -F
iptables -I INPUT -p tcp --dport 3128 -j ACCEPT
iptables -L INPUT

在這里插入圖片描述

web1 配置

systemctl stop firewalld.service
setenforce 0
yum -y install httpd
systemctl start httpd
netstat -natp | grep 80

在這里插入圖片描述

客戶機瀏覽器訪問測驗

客戶機的代理配置
打開瀏覽器 > 設定 > 高級設定 > 代理 > 代理設定
在這里插入圖片描述

http://192.168.153.20

在這里插入圖片描述

⑥查看Web1訪問日志的新增記錄

tail -f /var/log/httpd/access_log

在這里插入圖片描述

四、構建透明代理服務器

主機	作業系統	IP地址	安裝包、服務
Squid-Server	CentOS7	ens33：192.168.184.10 、 ens37：12.0.0.1	squid-3.5.28.tar.gz
Web1	CentOS7	12.0.0.12	httpd
客戶端	Windows	192.168.153.128	-

Squid服務器配置

關機添加一塊新網卡，開機，ifconfig查看新增網卡名稱，編輯網卡組態檔
在這里插入圖片描述

cd /etc/sysconfig/network-scripts/
cp ifcfg-ens33 ifcfg-ens36
vim ifcfg-ens33
vim ifcfg-ens36
systemctl restart network
ifconfig

在這里插入圖片描述

60行修改

vim /etc/squid.conf
......
http_access allow all
http_access deny all

http_port 192.168.153.10:3128 transparent

systemctl restart squid

在這里插入圖片描述

開啟路由轉發，實作本機中不同網段的地址轉發

echo 'net.ipv4.ip_forward = 1' >> /etc/sysctl.conf
sysctl -p

在這里插入圖片描述

修改防火墻規則

iptables -F
iptables -t nat -F
iptables -t nat -I PREROUTING -i ens33 -s 192.168.153.0/24 -p tcp --dport 80 -j REDIRECT --to 3128	
iptables -t nat -I PREROUTING -i ens33 -s 192.168.153.0/24 -p tcp --dport 443 -j REDIRECT --to 3128	
iptables -I INPUT -p tcp --dport 3128 -j ACCEPT

在這里插入圖片描述

Web1 配置

systemctl stop firewalld.service
setenforce 0
vim /etc/sysconfig/network-scripts/ifcfg-ens33
systemctl restart network
ifconfig

在這里插入圖片描述

yum -y install httpd
systemctl restart httpd.service

客戶機瀏覽器訪問測驗

關閉客戶機的瀏覽器之前設定的代理服務器的功能后訪問http://12.0.0.12

在這里插入圖片描述

查看Squid訪問日志的新增記錄

tail -f /usr/local/squid/var/logs/access.log

在這里插入圖片描述
查看Web訪問日志的新增記錄，顯示的是由代理服務器的外網口代替客戶機在訪問

tail -f /var/log/httpd/access_log

在這里插入圖片描述

五、ACL訪問控制

在組態檔 squid.conf 中，ACL 訪問控制通過以下兩個步驟來實作

使用 acl 配置項定義需要控制的條件；
通過 http_access 配置項對已定義的串列做“允許”或“拒絕”訪問的控制，

定義訪問控制串列
格式：acl 串列名稱串列型別串列內容 …

vim /etc/squid.conf
......
acl localhost src 192.168.153.10/32 			 #源地址為 192.168.153.10
acl MYLAN src 192.168.153.0/24 			         #客戶機網段
acl destionhost dst 192.168.153.20/32			 #目標地址為 192.168.153.20
acl MC20 maxconn 20								 #最大并發連接 20
acl PORT port 21							     #目標埠 21
acl DMBLOCK dstdomain .qq.com					 #目標域，匹配域內所有站點
acl BURL url_regex -i ^rtsp:// ^emule://		 #以 rtsp://、emule:// 開頭的 URL，-i表示忽略大小寫
acl PURL urlpath_regex -i \.mp3$ \.mp4$ \.rmvb$	 #以 .mp3、.mp4、.rmvb 結尾的 URL 路徑
acl WORKTIME time MTWHF 08:30-17:30				 #時間為周一至周五 8:30~17:30，“MTWHF”為每個星期的英文首字母

Squid服務器配置(192.168.153.10)

iptables -F
iptables -t nat -F

mkdir /etc/squid
vim /etc/squid/dest.list
192.168.153.20

vim /etc/squid.conf
......
acl destionhost dst "/dest.list"			#呼叫指定檔案中的串列內容
......
http_access deny destionhost				#注意，如果是拒絕串列，需要放在http_access allow all前面

http_port 3128

systemctl restart squid

在這里插入圖片描述

Web1 (192.168.153.20)、Web2 (192.168.153.30)

systemctl stop firewalld.service 
setenforce 0
yum -y install httpd
systemctl start httpd

客戶機瀏覽器訪問測驗

客戶機瀏覽器打開代理功能，代理服務器192.168.153.10，埠3128
在這里插入圖片描述
瀏覽器(192.168.153.128)訪問Web服務器 http://192.168.153.20 ，顯示被訪問被拒絕,訪問http://192.168.153.30則可以訪問，

六、Squid 日志分析

安裝影像處理軟體包，需要使用在線源，出現報錯，將網卡組態檔中的dns和網關修改回原樣即可

yum install -y pcre-devel gd gd-devel

mkdir /usr/local/sarg
tar zxvf sarg-2.3.7.tar.gz -C /opt/

cd /opt/sarg-2.3.7

./configure --prefix=/usr/local/sarg --sysconfdir=/etc/sarg --enable-extraprotection
make && make install

vim /etc/sarg/sarg.conf

access_log /usr/local/squid/var/logs/access.log		#7行，取消注釋，指定訪問日志檔案
title "Squid User Access Reports"					#25行，取消注釋，網頁標題
output_dir /var/www/html/squid-reports				#120行，取消注釋，報告輸出目錄
user_ip no											#178行，取消注釋，使用用戶名顯示
topuser_sort_field connect reverse					#184行取消注釋，修改，top排序中，指定連接次數采用降序排列，升序是normal
user_sort_field connect reverse						#190行，取消注釋，修改對于用戶訪問記錄，連接次數按降序排序
exclude_hosts /usr/local/sarg/noreport				#206行，取消注釋，修改指定不計入排序的站點串列的檔案
overwrite_report no									#257行，取消注釋，同名同日期的日志是否覆寫
mail_utility mailq.postfix							#289行，取消注釋，修改發送郵件報告命令
charset UTF-8										#434行，取消注釋，修改指定字符集UTF-8
weekdays 0-6										#518行，取消注釋，top排行的星期周期
hours 0-23											#525行，取消注釋，top排行的時間周期
www_document_root /var/www/html						#633行，取消注釋，指定網頁根目錄

添加不計入站點檔案，添加的域名將不被顯示在排序中

touch /usr/local/sarg/noreport

ln -s /usr/local/sarg/bin/sarg /usr/local/bin/

運行

sarg				#啟動一次記錄

在這里插入圖片描述

yum install httpd -y
systemctl start httpd

客戶端瀏覽器訪問驗證

瀏覽器訪問 http://192.168.153.10/squid-reports ，查看sarg報告網頁
在這里插入圖片描述
添加計劃任務，每天生成報告

vim /usr/local/sarg/report.sh

#/bin/bash
#Get current date
TODAY=$(date +%d/%m/%Y)
#Get one week ago today
YESTERDAY=$(date -d "1 day ago" +%d/%m/%Y)
/usr/local/sarg/bin/sarg -l /usr/local/squid/var/logs/access.log -o /var/www/html/squid-reports -z -d $YESTERDAY-$TODAY &> /dev/null
exit 0

chmod +x /usr/local/sarg/report.sh

crontab -e
0 0 * * * /usr/local/sarg/report.sh

七、Squid 反向代理

如果 Squid 反向代理服務器中快取了該請求的資源，則將該請求的資源直接回傳給客戶端；否則反向代理服務器將向后臺的 Web 服務器請求資源，然后將請求的應答回傳給客戶端，同時也將該應答快取在本地，供下一個請求者使用，

作業機制：

快取網頁物件，減少重復請求
將互聯網請求輪訓或按權重分配到內網Web服務器
代理用戶請求，避免用戶直接訪問Web服務器，提高安全

代理服務器配置

iptables -F				#清空防火墻規則
iptables -t nat -F

vim /etc/squid.conf
......

60行修改，插入

http_port 192.168.153.10:80 accel vhost vport
cache_peer 192.168.153.20 parent 80 0 no-query originserver round-robin max_conn=30 weight=1 name=web1
cache_peer 192.168.153.30 parent 80 0 no-query originserver round-robin max_conn=30 weight=1 name=web2
cache_peer_domain web1 web2 www.wt.com

在這里插入圖片描述

http_port 80 accel vhost vport #squid從一個快取變成了一個Web服務器使用加速模式，這個時候squid在80埠監聽請求，同時和web server的請求埠(vhost vport)系結，這個時候請求到了squid，squid是不用轉發請求的，而是直接要么從快取中拿資料要么向系結的埠直接請求資料，

parent	代表為父節點
80	HTTP_PORT
0	ICP_PORT
no-query	不做查詢操作，直接獲取資料
originserver	指定是源服務器
round-robin	指定 squid 通過輪詢方式將請求分發到其中一臺父節點
max_conn	指定最大連接數
weight	指定權重
name	設定別名

web1(192.168.153.20)

systemctl stop firewalld.service 
setenforce 0
yum install -y httpd
systemctl start httpd
echo "this is test01" >> /var/www/html/index.html

在這里插入圖片描述

web(192.168.153.30)

systemctl stop firewalld.service 
setenforce 0
yum install -y httpd
systemctl start httpd
echo "this is test02" >> /var/www/html/index.html

在這里插入圖片描述

客戶機（192.168.153.128）的域名映射

修改 C:\Windows\System32\drivers\etc\hosts 檔案
192.168.153.10 www.wt.com

在這里插入圖片描述
打開客戶機的代理服務器
w'w
瀏覽器訪問 http://www.wt.com

轉載請註明出處，本文鏈接：https://www.uj5u.com/qita/265679.html

標籤：其他

上一篇：家庭組網：Vlan單線復用，故障檢測以及五種“軟路由”加mesh組網方案

下一篇：安裝SSDT報錯Unknown error(0x80072ee2)(0x80072EE2)

squid傳統代理、透明代理服務配置、ACL訪問控制、日志分析、反向代理

Squid

一、Squid 代理服務器

二、安裝 Squid 服務

三、構建傳統代理服務器

Squid服務器配置

web1 配置

客戶機瀏覽器訪問測驗

四、構建透明代理服務器

Squid服務器配置

Web1 配置

客戶機瀏覽器訪問測驗

五、ACL訪問控制

Squid服務器配置(192.168.153.10)

Web1 (192.168.153.20)、Web2 (192.168.153.30)

客戶機瀏覽器訪問測驗

六、Squid 日志分析

客戶端瀏覽器訪問驗證

七、Squid 反向代理

代理服務器配置

web1(192.168.153.20)

web(192.168.153.30)

客戶機（192.168.153.128）的域名映射