Squid 代理服务器的应用

小希爸爸
597 阅读8分钟

一、Squid代理服务器的概述

squid 作为一款服务器代理工具，可以缓存网页对象，减少重复请求，从而达到加快网页访问速度，隐藏客户机真实IP，更为安全。

Squid主要提供缓存加速、应用层过滤控制的功能

1、squid代理的工作机制：

• 代替客户机向网站请求数据，从而可以隐藏用户的真实IP地址

• 将获得的网页数据（静态 web元素）保存到缓存中并发给客户机，以便下次请求相同的数据时快速响应

当我们客户机通过squid代理去访问web页面时，指定的代理服务器会先检查自己的缓存，若是缓存中有我们客户机需要的页面，那么squid服务器将直接把缓存中的页面内容返回给客户机

如果缓存中没有客户端请求的页面，那么squid代理服务器就会向internet发送访问请求，获得返回的web页面后，将网页的数据保存到缓存中并发送给客户机。

由于客户机的web访问请求实际上是squid代理服务器来代替完成的，所以隐藏了用户的真实IP地址，从而起到一定的保护作用。

另一方面，squid也可以针对要访问的目标、客户机的地址、访问的时间段进行过滤控制。

2、squid代理的基本类型

① 传统代理：适用于internet，需在客户机指定代理服务器的地址和端口

② 透明代理：客户机不需指定代理服务器的地址和端口，而是通过默认路由、防火墙策略将web访问重定向给代理服务器处理

③ 反向代理：如果Squid反向代理服务器中缓存了该请求的资源，则将该请求的资源直接返回给客户端；否则反向代理服务器将向后台的web服务器请求资源，然后将请求的应答返回给客户端，同时也将该应答缓存（静态）在本地，供下一个请求者使用

根据实现的方式不同，基本可以分为传统代理和透明代理两种方式：

传统代理：也就是普通的代理服务，需要我们客户端在浏览器、聊天工具等一些程序中设置代理服务器的地址和端口，然后才能使用代理来访问网络，这种方式相比较而言比较麻烦，因为客户机还需手动指定代理服务器，所以一般用于Internet环境。

透明代理：与传统代理实现的功能是一样的，区别在于客户机不需要手动指定代理服务器的地址和端口，而是通过默认路由、防火墙策略将web访问重定向，实际上仍然交给代理服务器来处理，重定向的过程完全是由squid服务器进行的，所以对于客户机来说，甚至不知道自己使用了squid代理服务，因此呢，我们称之为透明模式。

透明代理多用于局域网环境，如在Linux网关中启用透明代理后，局域网主机无须进行额外设置就能享受更好的上网速度。

3、squid代理的工作模式图解

3.1、传统模式：

此类工作模式为三种模式中最简单的构成，对客户端配置较不友好，主要功能为正向代理，加速内网用户的访问速度，减少出口流量。

（如果搭建公用的代理服务器，用这样方式，需要用户进入其本机的网络设置中，设置搭建了squid服务器的IP和端口）

bab46614864a8021df0a54b638e8e059.png

3.2、透明模式：

此类工作模式配置较为复杂，同样也是实现正向代理需要借助防火墙对端口进行重定向操作。但是对于客户端来说配置较为友好无需进行任何配置即可使用代理功能，主要功能为加速内网用户的访问速度，减少出口流量。

（如果搭建内网访问外网的代理服务器，建议使用这种，无需到客户端设置代理服务器的IP和端口，自动实现squid代理）

3.3、反向代理模式：

反向代理模式位于本地WEB服务器和公网之间，处理公网用户发起的请求，并代理至内网服务中，有效减轻后端真是服务器的压力，增加服务器的并发处理能力

81d9b1acab7da18870367bca634bb828.png

4、使用squid代理的好处

• 提高web访问速度

• 隐藏客户机的真实IP地址

二、Squid代理服务器安装和使用

1、安装

Squid 软件包包含在默认的 CentOS 7 源仓库中。想要安装它，以 sudo 用户身份运行下面的命令：

~]$ sudo yum install squid

一旦安装完成，启动并开启 Squid 服务：

~]$ sudo systemctl start squid
~]$ sudo systemctl enable squid

想要验证安装是否成功，输入下面的命令，将会打印出服务的状态：

~]$ sudo systemctl status squid

2、修改Squid的配置文件

vim /etc/squid/squid.conf
......
-----56行--插入------
http_access allow all         #放在http_access deny all 之前，允许任意客户机使用代理服务，控制规则自上而下匹配
http_access deny all
http_port 3128                 #用来指定代理服务监听的地址和端口(默认的端口号为3128)
-----61行--插入------
cache_effective_user squid     #添加，指定程序用户，用来设置初始化、运行时缓存的账号，否则启动不成功
cache_effective_group squid    #添加，指定账号基本组
coredump_dir /usr/local/squid/var/cache/squid   #指定缓存文件目录

3、squid实现访问控制

语法

src　　　　　    　源地址
dst　　　     　     目标地址
port　　　   　     目标地址
dstdomain　     　目标域
time　　　        　访问时间
maxconn　　    　最大并发连接
url_regex　       　目标URL地址  # 可以定义大的范围比如http://www.baidu.com
urlpath_regex　　整个目标URL路径  # 可以定位到每个网站的具体目标的url，比如百度音乐的一首歌的url

1.禁止IP地址为192.168.0.100的客户机上网
	acl test src 192.168.0.100	//定义来源IP，test可以自己定义，代表定义端IP
	http_access deny test	//拒绝test后面定义端源IP ：192.168.0.100上网
可以把要管理的IP写到一个文件里，然后在src后面跟上“文件路径”

2.禁止192.168.1.0这个网段里端所有客户机上网
	acl test src 192.168.1.0/255.255.255.0
	或者
	acl test src 192.168.1.0/24
	http_access deny test
	
3.禁止用户访问IP为210.21.118.68的网站
	acl test dst 210.21.118.68
	http_access deny test

4.禁止用户访问域名为www.163.com的网站
	acl test dstdomain -i www.163.com	//-i 忽略大小写
	http_access deny test
		
5.禁止用户访问域名包含有163.com的网站
	acl test url_regex -i 163.com	//使用正则表达式匹配URL地址
	http_access deny test
	
6.禁止用户访问包含有sex关键字端URL
	acl test url_regex -i sex
	http_access deny test

7.禁止用户访问多个网址
	acl test dstdom_regex "/etc/squid/baddaturl"
	//如果网址太多，可以写成一个文件，然后在这个文件里一行一个网站写上要
	http_access deny test
	
8.vip用户没有任何限制
	acl vip arp 00：0c:29:79:0C:1A	//绑定mac地址
	http_access allow vip

9.禁止192.168.2.0这个子网内所有客户机在周一到周五的9点到18点上网
	acl test1 src 192.168.2.0/255.255.255.0
	acl test2 time MTWHF 9:00-18:00		/S日/M一/T二/W三/H四/F五/A六/D（周一到周五）
	http_access deny test1 test2
	
hwclock --hctosys	还原时间命令

10.禁止用户下载*.mp3,*.exe,*.zip,*.rar带有定义后缀名的文件
	acl test urlpath_regex -i .mp3$ .exe$ .zip$ .rar$ .txt$
	//urlpath_regex	正则表达式匹配URL地址
	http_access deny test

注意：设置acl访问控制规则的时候，有先后顺序。第一条规则匹配上就不再继续往下，所以先把拒绝写在前面
11. 允许访问所有目的域名，注释掉本行即可 
    #拒绝非配对域名的访问
    # http_access deny !d-domains

3.1 根据时间控制

0c91349bbe0b4dbab1c5c314c76fcba2.png

3.2 没有限制

8c2a5eb2dd024c19953f203d81dc67b9.png

3.3 定义制定的目标域名

9cc0e3eaee3140efa98c334474b5ecd1.png

加载规则，位置很重要

f0e8a53fc5ec476cba0e4bf3daf44750.png

三、搭建传统代理

1、搭建传统代理的操作步骤

1.1 环境准备

Squid 代理服务器：192.168.2.22

web服务器： 192.168.2.66

win10客户端： 192.168.2.10

1.2 修改squid的配置文件

vim /etc/squid.conf
......
http_access allow all
http_access deny all
http_port 3128
cache_effective_user squid
cache_effective_group squid
---63行，插入----
cache_mem 64 MB            
#指定缓存功能所使用的内存空间大小，便于保持访问较频繁的WEB对象，容量最好为4的倍数，单位为MB，建议设为物理内存的1/4
reply_body_max_size 10 MB          
#允许用户下载的最大文件大小，以字节为单位，当下载超过指定大小的Web对象时，浏览器的报错页面中会出现“请求或访问太大”的提示默认设置0表示不进行限制
maximum_object_size 4096 KB        
#允许保存到缓存空间的最大对象大小，以KB为单位，超过大小限制的文件将不被缓存，而是直接转发给用户

1.3 重启服务

service squid restart
systemctl restart squid　　

1.4 生产环境中还需要修改防火墙规则

iptables -F
iptables -I INPUT -p tcp --dport 3128 -j ACCEPT
iptables -nL INPUT

1.5 web服务器安装web服务（httpd或者nginx）

systemctl stop firewalld.service
setenforce 0
yum -y install httpd
systemctl start httpd
netstat -natp | grep 80

1.6 修改win10客户端，添加代理

打开浏览器工具-->Internet选项-->连接 -->局域网设置-->开启代理服务器 (地址: Squid服务器IP地址，端口: 3128) 清除缓存后使用浏览器访问http://192.168.2.66（web服务器地址）

1.7 在win10客户端访问web服务器进行验证

#查看Squid访问日志的新增记录

tail -f /usr/local/squid/var/logs/access.log　　　

#查看Web访问日志的新增记录

tail -f /var/log/httpd/access_log　　

在浏览器输入Web服务器IP地址访问，查看Web服务器访问日志，显示的是由代理服务器替客户机在访问。

四、搭建透明代理

1、搭建透明代理的操作步骤

环境准备：

squid服务器 ：双网卡 ens33:192.168.2.22，ens36:12.0.0.1

web服务器：12.0.0.18（网关为squid代理服务器的ens36）

Win10客户端：192.168.229.200（网关为squid代理服务器的ens33）

1.1 Squid服务器:双网卡

内网ens33: 192.168.2.22  外网ens36: 12.0.0.1　
cd /etc/sysconfig/network-scripts/
cp ifcfg-ens33 ifcfg-ens36
vim ifcfg-ens36           #修改IP地址，并注释或者删除DNS与网关
systemctl restart network

1.2 修改squid配置文件

vim /etc/squid.conf
http_access allow all
http_access deny all
--60行--修改添加提供内网服务的IP地址，和支持透明代理选项transparent
http_port 192.168.229.60:3128 transparent
 
systemctl restart squid

1.3 squid服务器添加路由转发和iptables规则

#开启路由转发，实现本机中不同网段的地址转发
echo 'net.ipv4.ip_forward = 1' >> /etc/sysctl.conf
sysctl -p
<br>#修改防火墙规则
iptables -F
iptables -t nat -F
# 添加防火墙规则（将来源为229网段：80/443端口的流量重定向到3128端口）
iptables -t nat -I PREROUTING -i ens33 -s 192.168.229.0/24 -p tcp --dport 80 -j REDIRECT --to 3128  #用于转发Http协议
iptables -t nat -I PREROUTING -i ens33 -s 192.168.229.0/24 -p tcp --dport 443 -j REDIRECT --to 3128 #用于转发https协议   
#如果要进行重启，则需要配置以下规则
iptables -I INPUT -p tcp --dport 3128 -j ACCEPT

1.4 web服务器

修改IP地址为12.0.0.18，并设置网关为12.0.0.1

并开启httpd服务，之前已安装该服务

 vim /etc/sysconfig/network-scripts/ifcfg-ens33
 cat /etc/sysconfig/network-scripts/ifcfg-ens33
 
TYPE=Ethernet
PROXY_METHOD=none
BROWSER_ONLY=no
BOOTPROTO=static
DEFROUTE=yes
IPV4_FAILURE_FATAL=no
IPV6INIT=yes
IPV6_AUTOCONF=yes
IPV6_DEFROUTE=yes
IPV6_FAILURE_FATAL=no
IPV6_ADDR_GEN_MODE=stable-privacy
NAME=ens33
UUID="4ff14eea-f777-4bc2-b50b-7179db6ba998"
DEVICE=ens33
ONBOOT=yes
IPADDR=12.0.0.18
NETMASK=255.255.255.0
GATEWAY=12.0.0.1
#DNS1=192.168.229.2
 
 systemctl restart network
 systemctl restart httpd.service 　

1.5.客户端关闭代理并访问web服务器

添加网关，网关为squid服务器的ens33

查看Web1访问日志的新增记录
tail -f /var/log/httpd/access_log

五、ACL访问控制

1、ACL访问控制概述

1.1、ACL访问控制列表的概念

ACL(Access Control List)访问控制列表,主要用于过滤网络中的流量，是控制访问的一种技术手段。网络设备为了过滤报文，需要配置一系列的匹配条件对报文进行分类，应用在端口上，根据预先设定的策略，对特定端口的流量起到控制作用。

访问控制列表(ACL)由一组规则组成，在规则中定义允许或拒绝通过路由器的条件

利用ACL可以对经过路由器的数据包按照设定的规则进行过滤，使数据包有选择的通过路由器，起到防火墙的作用。

ACL一般只在以下路由器上配置：

  • 内部网和外部网的边界路由器。
  • 两个功能网络交界的路由器。

1.2、在配置文件squid.conf中，ACL访问控制的步骤

通过以下两个步骤来实现:

  • 使用acl配置项定义需要控制的条件
  • 通过http_access配 置项对已定义的列表做“允许"或“拒绝”访问的控制

1.3、定义访问控制列表

格式: acl 列表名称 列表类型 列表内容

• 列表名称: 名称自定义，相当于给acl起个名字

• 列表类型: 必须使用squid预定义的值，对应不同类别的控制条件

• 列表内容: 是要控制的具体对象，不同类型的列表所对应的内容也不一样，可以有多个值(以空格为分
隔，为“或"的关系)

1.4 ACL访问控制方式

根据源地址、目标URL、文件类型等定义列表

acl 列表名称 列表类型 列表内容…

针对已定义的acl列表进行限制

http_access allow或deny列表名称…

1.5 ACL规则优先级

一个用户访问代理服务器时，Squid会顺序匹配Squid中定义的所有规则列表，一旦匹配成功，立即停止匹配
所有规则都不匹配时，Squid会使用与最后一条相反的规则

1.6 常用的ACL列表类型

src →>源地址

dst >自标地址

port→>端口

dstdomain>目标域

time →>访问时间

maxconn →最大并发连接

ourl_regex→目标URL地址

Urlpath_regex→整个目标URL路径

2、设置ACL访问控制的步骤

环境准备

Squid 代理服务器：192.168.2.22

web服务器： 192.168.2.66

win10客户端： 192.168.2.10

使用传统代理方式进行设置ACL访问控制（传统代理的设置见上文）

2.1 定义访问控制列表

方法一：

vim /etc/squid.conf
......
acl localhost src 192.168.2.100/32                 #源地址为192.168.2.100
acl MYLAN src 192.168.2.0/24                      #客户机网段
acl destinationhost dst 192.168.2.66/32               #目标地址为192.168.2.66
acl MC20 maxconn 20                         #最大并发连接20
acl PORT port 21                            #目标端口21
acl DMBLOCK dstdomain .qq.com                       #目标域，匹配域内所有站点
acl BURL url_regex -i ^rtsp:// ^emule://                #以rtsp://.emule://开头的URL，-i表示忽略大小写
acl PURL urlpath_regex -i .mp3$ .mp4$ .rmvb$                 #以.mp3、.mp4、.rmvb结尾的URL路径
acl WORKTIME time MTWHF 08:30-17:30                 #时间为周一--至周五8:30~17:30，"MTWHF"为每个星期的英文首字母
 
第一条插入:
http_access deny localhost

方法二:

#启动对象列表管理　　

mkdir /etc/squid
vim /etc/squid/dest.list
192.168.2.22                               #Squid服务器IP
192.168.200.0/24                             #任意需要的网段
 
vim /etc/ squid.conf
.......
acl destinationhost dst "/etc/squid/dest.list"                  #调用指定文件中的列表内容
http access deny(或allow) destinationhost                #注意，如果是拒绝列表，需要放在http_access allow all前面
 
systemctl restart squid

2.2. WEB服务器上安装httpd服务

yum install -y httpd
systemctl start httpd

2.3 Client客户上测试

浏览器中输入192.168.2.66查看web是否被拒绝

3、实例操作：设置ACL访问控制

2.1 定义访问控制列表

方法一：

75c1b2b03e3dc99203e4de35e5015895.png

c7c218c2c4e9ddb6a134712ee5603d6e.png

2.1 使用客户端（192.168.2.10）访问web浏览器访问192.168.2.66

cae596788757067c6df1a1a3bb79a08f.png

2.3 再次定义访问控制列表

方法二：

025eef673c08615cdca2182a022872a1.png

24e86c334f52f4bfdebf2846000fd518.png

2.14 再次使用客户端（192.168.2.10）访问web浏览器访问192.168.2.66

六、客户端Squid代理配置

1、Mac和Linux方式，设置临时代理。

export http_proxy=http://xxx.xxx.xxx.xxxx:3128;
export https_proxy=http://xxx.xxx.xxx.xxxx:3128;

2、在YUM中配置

如果网络环境中使用了代理服务器，作为客户端的YUM仓库配置中就需要配置代理，才能使用基于互联网访问的YUM源

~]# vim /etc/yum.conf
# 在文件末尾添加如下段
    proxy= http://<proxyserver>:<proxyport>
    proxy_username=USERNAME
    proxy_password=PASSWORD

然后清除yum的缓存：

~]# yum clean all
~]# yum makecache

3. 在 /etc/profile 中配置

编辑 /etc/profile 文件

 ~]# vim /etc/profile
# 在文件末尾添加以下内容
export JAVA_HOME=/usr/local/java/jdk1.8.0_161
export JRE_HOME=${JAVA_HOME}/jre
export CLASSPATH=.:${JAVA_HOME}/lib:${JRE_HOME}/lib
export PATH=${JAVA_HOME}/bin:$PATH

export http_proxy=http://xxx.xxx.xxx.xxxx:3128;
export https_proxy=http://xxx.xxx.xxx.xxxx:3128;

source环境变量

~]# source /etc/profile

4 Windows方式，设置临时代理。

set http_proxy=http://xxx.xxx.xxx.xxxx:3128
set https_proxy=http://xxx.xxx.xxx.xxxx:3128

5、jenkins 代理配置

image.png

更新插件，发现的确走了代理服务器

image.png

6、Sonatype Nexus Repository Manager 代理配置

image.png

avatar
文章
阅读
粉丝