目錄
- 一、squid代理伺服器
- 1.1、squid代理伺服器概念及其作用
- 1.2、代理伺服器的工作機制
- 1.3、代理伺服器主要作用
- 1.4、squid代理的類型
- 傳統代理
- 透明代理
- 反向代理
- 三者差別
- 二、安裝squid服務
- 2.1、編譯安裝
- 2.2、修改squid的配置檔案
- 2.3、squid的運作控制
- 2.4、建立squid服務腳本
- 三、建構傳統代理伺服器
- 3.1、修改squid的配置檔案
- 3.2、修改防火牆規則
- 3.3、web伺服器（192.168.80.12）
- 3.4、客戶機的代理配置
- 3.5、檢視squid通路日志的新增記錄
- 3.6、檢視web通路日志的新增記錄
- 四、建構透明代理伺服器
- 4.1、squid配置檔案修改
- 4.2、開啟路由轉發
- 4.3、修改防火牆規則
- 4.4、web伺服器配置(12.0.0.12)
- 4.5、客戶機通路
- 4.6、檢視squid通路日志的新增記錄
- 4.7、檢視web通路日志的新增記錄
- 五、ACL通路控制
- 5.1定義通路控制清單
- 5.2、常見的ACL清單類型
- 5.3、啟動對象清單管理
- 六、squid日志分析
- 6.1、squid日志編譯安裝
- 6.2、修改sarg配置檔案
- 6.3、運作sarg
- 6.4、檢視sarg報告網頁
- 6.5、添加計劃任務，執行每天生成報告
- 七、反向代理
- 7.1、反向代理概述
- 7.2、反向代理工作機制
- 7.3、反向代理設定
- 7.3.1、實驗環境
- 7.3.2、squid伺服器修改（192.168.80.11）
- 7.3.3、web伺服器配置（192.168.80.12/13）
- 7.3.4、客戶機配置
- squid主要提供緩存加速、應用層過濾控制的功能
- 代理伺服器是一個位于用戶端和原始（資源）伺服器之間的伺服器，為了從原始伺服器取得内容，用戶端想代理伺服器發送一個請求并指定目标原始伺服器，然後代理伺服器向原始伺服器轉交請求并将獲得的内容傳回給客戶
- 代替客戶機向網站請求資料，進而可以隐藏使用者的真實IP位址
- 将獲得的網頁資料（靜态web元素）儲存到緩存中并發送給客戶機，以便下次請求相同的資料時快速響應
- 資源擷取：代替用戶端實作從原始伺服器的資源擷取
- 加速通路：代理伺服器可能離原始伺服器更近，進而起到一定的加速作用
- 緩存作用：代理伺服器儲存從原始伺服器所擷取的資源，進而實作用戶端快速的擷取
- 隐藏真實位址：代理伺服器代替客戶去擷取原始伺服器資源，進而隐藏用戶端真實資訊
适用于Internet，需在客戶機指定代理伺服器的位址和端口
客戶機不需指定代理伺服器的位址和端口，而是通過預設路由、防火牆政策将web通路重定向給代理伺服器處理
如果squid反向代理伺服器中緩存了該請求的資源，則将該請求的資源直接傳回給用戶端，否則反向代理伺服器将向背景的web伺服器請求資源，然後将請求的應答傳回給用戶端，同時也将該應答緩存在本地，供下一個請求者使用
- 代理模式下，始終是要用squid向web伺服器發送請求
- 傳統模式，事先就會在浏覽器設定代理的ip和端口
- 透明模式，不需要事先設定，隻需要直接通路web伺服器即可，但是在經過squid作為網關的時候會被iptables規則重定向到squid的3128端口，最終仍會被squid進行轉發
web伺服器：192.168.80.12
squid伺服器：192.168.80.11
客戶機：192.168.80.16
systemctl stop firewalld
setenforce 0
yum -y install gcc gcc-c++ make
tar zxvf squid-3.5.28.tar.gz -C /opt/
cd /opt/squid-3.5.28
./configure --prefix=/usr/local/squid \ #指定安裝目錄路徑
--sysconfdir=/etc \ #指定配置檔案路徑
--enable-arp-acl \ #MAC位址管控，防止用戶端使用IP欺騙
--enable-linux-netfilter \ #使用核心過濾
--enable-linux-tproxy \ #支援透明模式
--enable-async-io=100 \ #異步IO,提升存儲性能
--enable-err-language="Simplify_Chinese" \ #錯誤資訊的顯示語言
--enable-underscore \ #允許URL中有下劃線
--disable-poll \ #關閉預設使用poll模式
--enable-epoll \ #關閉epoll模式提升性能
--enable-gnuregex #使用GNU正規表達式
#編譯安裝
make -j2 && make install
#建立軟連結
ln -s /usr/local/squid/sbin/* /usr/local/sbin/
#建立squid使用者
useradd -M -s /sbin/nologin squid
#給使用者授權
chown -R squid:squid /usr/local/squid/var/ #此目錄用于存放緩存檔案
vim /etc/squid.conf
......
#56行插入
http_access allow all #放在http_access deny all之前，允許任意客戶機使用代理服務，控制規則自上而下比對
http_access deny all
http_port 3128 #用來指定代理服務監聽的位址和端口（預設的端口号為3128）
#61行插入
cache_effective_user squid #添加，指定程式使用者，用來設定初始化、運作時緩存的賬号，否則啟動不成功
cache_effective_group squid #添加，指定賬号基本組
coredump_dir /usr/local/squid/var/cache/squid #指定緩存檔案目錄
#檢查配置檔案文法是否正确
squid -k parse
#啟動squid，第一次啟動squid服務時，會自動初始化緩存目錄
squid -z #-z選項用來初始化緩存目錄
squid #啟動squid服務
netstat -natp | grep "squid"
vim /etc/init.d/squid
#!/bin/bash
#chkconfig: 2345 90 25
PID="/usr/local/squid/var/run/squid.pid"
CONF="/etc/squid.conf"
CMD="/usr/local/squid/sbin/squid"
case "$1" in
start)
netstat -natp | grep squid &> /dev/null
if [ $? -eq 0 ]
then
echo "squid is running"
else
echo "正在啟動 squid..."
$CMD
fi
;;
stop)
$CMD -k kill &> /dev/null
rm -rf $PID &> /dev/null
;;
status)
[ -f $PID ] &> /dev/null
if [ $? -eq 0 ]
then
netstat -natp | grep squid
else
echo "squid is not running"
fi
;;
restart)
$0 stop &> /dev/null
echo "正在關閉 squid..."
$0 start &> /dev/null
echo "正在啟動 squid..."
;;
reload)
$CMD -k reconfigure
;;
check)
$CMD -k parse
;;
*)
echo "用法：$0{start|stop|status|reload|check|restart}"
;;
esac
#2345是預設自啟動級别，如是—代表任何級别都不自啟動；90是啟動優先級，25是停止優先級，優先級範圍是0-100，數字越大，優先級越低。
chmod +x /etc/init.d/squid
chkconfig --add squid
chkconfig --level 35 squid on
vim /etc/squid.conf
......
http_access allow all
http_access deny all
http_port 3128
cache_effective_user squid
cache_effective_group squid
#63行插入
cache_mem 64MB #指定緩存功能所使用的記憶體空間大小，便于保持通路較頻繁的web對象，容量最好為4的倍數，機關為MB，建議設為實體記憶體的1/4
reply_body_max_size 10MB #允許使用者下載下傳的最大檔案大小，以位元組為機關，當下載下傳超過指定大小的web對象時，浏覽器的儲存頁面就會出現“請求或通路太大”的提示，預設設定0表示不進行限制
maximum_object_size 4096 KB #允許儲存到緩存空間的最大對象大小，以KB為機關，超過大小限制的檔案将不被緩存，而是直接轉發給使用者
systemctl restart squid
iptables -F #清空規則鍊
iptables -I INPUT -p tcp --dport 3128 -j ACCEPT
systemctl stop firewalld.service
setenforce 0
yum -y install httpd
systemctl start httpd
netstat -natp | grep 80
打開浏覽器，工具-->internet選項-->連接配接-->區域網路設定-->開啟代理伺服器（位址：squid伺服器IP位址，端口：3128）
tail -f /usr/local/squid/var/logs/access.log
tail -f /var/log/httpd/access.log
#浏覽器輸入web伺服器ip位址通路，檢視web伺服器通路日志，顯示的是由代理伺服器替客戶機在通路
squid伺服器：雙網卡，内網ens33:192.168.80.11
外網ens36:12.0.0.1
web伺服器：12.0.0.12
客戶機：192.168.80.16
#添加雙網卡
cd /etc/sysconfig/network-scripts/
cp ifcfg-ens33 ifcfg-ens36
vim ifcfg-ens36
systemctl restart network
vim /etc/squid.conf
......
http_access allow all
http_access deny all
#60行修改添加
http_port 192.168.80.11:3128 transparent #添加提供内網服務的IP位址和支援透明代理選項transparent
systemctl restart squid
echo 'net.ipv4.ip_forward = 1' >> /etc/sysctl.conf
sysctl -p
#先清空之前的規則
iptables -F
iptables -t nat -F
iptables -t nat -I PREROUTING -i ens33 -s 192.168.80.0/24 -p tcp --dport 80 -j REDIRECT --to 3128 #用于轉發http協定
iptables -t nat -I PREROUTING -i ens33 -s 192.168.80.0/24 -p tcp --dport 443 -j REDIRECT --to 3128 #用于轉發https協定
iptables -I INPUT -p tcp --dport 3128 -j ACCEPT
yum -y install httpd
systemctl start httpd
關閉客戶機的浏覽器之前設定的代理伺服器的功能後通路http://12.0.0.12
tail -f /usr/local/squid/var/logs/access.log
tail -f /var/log/httpd/access.log
在配置檔案squid.conf中，ACL通路控制通過以下兩個步驟來實作
通過http_access配置項對已定義的清單做“允許”和“拒絕”通路的控制
格式：acl 清單名稱 清單類型 清單内容...
清單名稱：名稱自定義，相當于給acl起個名字
清單類型：必須使用squid預定義的值，對應不同類别的控制條件
清單内容：是要控制的具體對象，不同類型的清單所對應的内容也不一樣，可以有多個值（以空格為分隔，為“或”的關系）
vim /etc/squid.conf
......
acl loclahost src 192.168.80.80.11/32 #源位址為192.168.80.11
acl MYLAN src 192.168.80.0/24 #客戶機網段
acl destinationhost dst 192.168.80.12/32 #目标位址為192.168.80.12
acl MC20 maxconn 20 #最大并發連接配接20
acl PORT port 21 #目标端口21
acl DMBLOCK dstdomain .qq.com #目标域，比對域内所有站點
acl BURL url_regex -i ^rtsp:// ^emule:// #以^rtsp:// ^emule://開頭的目标URL位址，-i表示忽略大小寫
acl PURL urlpath_regex -i \.mp3$ \.mp4$ \.rmvb$ #以.mp3 .mp4 .rmvb結尾的目标URL路徑
acl WORKTIME time MTWHF 08:30-17:30 #時間為周一至周五8:30-17:30，"MTWHF"為每個星期的英文首字母
src → 源位址
dst → 目标位址
port → 目标端口
dstdomain → 目标域
time → 通路時間
maxconn → 最大并發連接配接
url_regex → 目标URL位址
Urlpath_regex → 整個目标URL路徑
mkidr /etc/squid
vim /etc/squid/client.list
192.168.80.16/32
vim /etc/squid.conf
......
acl destinationhost dst "/etc/squid/client.list" #調用指定檔案中的清單内容
......
http_access deny(或allow) destinationhost #注意，如果是拒絕清單，需要放在http_access allow all前面
systemctl restart squid
浏覽器通路web伺服器http://12.0.0.12，顯示通路被拒絕
#安裝圖像處理軟體包
yum -y install pcre-devel gd gd-devel
mkdir /usr/local/sarg
tar zxvf sarg-2.3.7.tar.gz -C /opt/
cd /opt/sarg-2.3.7
./configure --prefix=/usr/local/sarg \
--sysconfdir=/etc/sarg \ #配置檔案目錄，預設是/usr/local/etc
--enable-extraprotecton #額外安全防護
make && make install
vim /etc/sarg/sarg.conf
#第7行取消注釋
access_log /usr/local/squid/var/logs/access.log #指定通路日志檔案
#第25行取消注釋
title "Squid User Access Reports" #網頁标題
#第120行取消注釋修改
output_dir /var/www/html/sarg #報告輸出目錄
#第178行取消注釋
user_ip no #使用使用者名顯示
#第184行取消注釋修改
topuser_sort_field connect reverse #top排序中，指定連接配接次數采用降序排列，升序是normal
#第190行取消注釋修改
user_sort_field connect reverse #對于使用者通路記錄，連接配接次數按降序排序
#第206行取消注釋修改
exclude_hosts /usr/local/sarg/noreport #指定不計入排序的站點清單的檔案
#第257行取消注釋
overwrite_report no #同名同日期的日志是否覆寫
#第289行取消注釋修改
mail_utility mailq.postfix #發送郵件報告指令
#第434行取消注釋修改
charset UTF-8 #指定字元集UTF-8
#第518行取消注釋
weekdays 0-6 #top排行的星期周期
#第525行取消注釋
hours 0-23 #top排行的時間周期
#第633行取消注釋
www_document_root /var/www/html #指定網頁根目錄
#添加不計入站點檔案，添加的域名将不被顯示在排序中
touch /usr/local/sarg/noreport
#建立軟連結
ln -s /usr/local/sarg/bin/sarg /usr/local/bin/
#擷取幫助
sarg --help
#運作
sarg #啟動一次記錄
yum -y install httpd
systemctl start httpd
浏覽器通路http://192.168.80.11/sarg 檢視sarg報告網頁
vim /usr/local/sarg/report.sh
#!/bin/bash
#Get current date
TODAY=$(date +%d/%m/%Y)
#Get one week ago today
YESTERDAY=$(date -d "1 day ago" +%d/%m/%Y)
/usr/local/sarg/bin/sarg -l /usr/local/squid/var/logs/access.log -o /var/www/html/sarg -z -d $YESTERDAY-$TODAY &> /dev/null
exit 0
chmod +x /usr/local/sarg/report.sh
crontab -e
0 0 * * * /usr/local/sarg/report.sh
如果squid反向代理伺服器中緩存了該請求的資源，則将該請求的資源直接傳回給用戶端；否則反向代理伺服器将向背景的WEB伺服器請求資源，然後将請求的應答傳回給用戶端，同時也将該應該緩存在本地，供下一個請求者使用
- 緩存網頁對象，減少重複請求
- 講網際網路請求輪詢或按權重配置設定到内網web伺服器
- 代理使用者請求，避免使用者直接通路web伺服器，提高安全
squid伺服器：192.168.80.11
web伺服器1：192.168.80.12
web伺服器2:192.168.80.13
客戶機：192.168.80.16
vim /etc/squid.conf
......
#60行修改
http_port 192.168.80.11:80 accel vhost vport
cache_peer 192.168.80.12 parent 80 0 no-query originserver round-robin max_conn=30 weight=1 name=web1
cache_peer 192.168.80.13 parent 80 0 no-query originserver round-robin max_conn=30 weight=1 name=web2
cache_peer_domain web1 web2 www.123.com
#表示對www.123.com的請求，squid向192.168.80.12和192.168.80.13的80端口送出請求
#清空之前的iptables規則
iptables -F
iptables -t nat -F
iptables -I INPUT -p tcp --dport 3128 -j ACCEPT
http_port 80 accle vhost vport
#squid從一個緩存變成一個web伺服器反向代理加速模式，這個時候squid在80端口監聽請求，同時和web server的請求端口（vhost vport）綁定，這個時候請求到了squid，squid是不用轉發請求的，而是直接要麼從緩存中拿資料要麼向綁定的端口直接請求資料
accel：反向代理加速模式
vhost：支援域名或主機名來表示代理節點
vport：支援IP和端口來表示代理節點
parent：代表父節點，上下關系，非平級關系
80：代理内部web伺服器的80端口
0：沒有使用icp（電信營運商），表示就一台squid伺服器
no-query：不做查詢操作，直接擷取資料
originserver：指定是源伺服器
round-robin：指定squid通過輪詢方式将請求分發到其中一台父節點
max_conn：指定最大連接配接數
weight：指定權重
name：設定别名
yum -y install httpd
systemctl restart httpd
#web1伺服器
echo '111111' > /var/www/html/index.html
#web2伺服器
echo '222222' > /var/www/html/index.html
#添加域名映射
cmd
notepad hosts
192.168.80.11 www.123.com
#開啟反向代理