squid 代理服务器的意义 Squid 是一个缓存 internet 数据的一个软件, 通过缓存的方式为用户提供 Web 访问加速, 它接收用户的下载申请, 并自动处理所下载的数据也就是说, 当一个用户象要下载一个主页时, 它向 Squid 发出一个申请, 要 Squid 替它下载, 然后 Sq

Size: px

Start display at page:

Download "squid 代理服务器的意义 Squid 是一个缓存 internet 数据的一个软件, 通过缓存的方式为用户提供 Web 访问加速, 它接收用户的下载申请, 并自动处理所下载的数据也就是说, 当一个用户象要下载一个主页时, 它向 Squid 发出一个申请, 要 Squid 替它下载, 然后 Sq"

蜡当牛
7 years ago
Views:

1 企业 squid 代理服务器的应用专业计算机网络技术班级计网姓名龙志平指导教师冯德勇

2 squid 代理服务器的意义 Squid 是一个缓存 internet 数据的一个软件, 通过缓存的方式为用户提供 Web 访问加速, 它接收用户的下载申请, 并自动处理所下载的数据也就是说, 当一个用户象要下载一个主页时, 它向 Squid 发出一个申请, 要 Squid 替它下载, 然后 Squid 连接所申请网站并请求该主页, 接着把该主页传给用户同时保留一个备份, 当别的用户申请同样的页面时,Squid 把保存的备份立即传给用户, 使用户觉得速度相当快

3 squid 代理服务器简介 1. 普通代理服务即标准的传统的代理服务需要客户机在浏览器中指定代理服务器的地址端口 2. 透明代理服务适用于企业的网关主机 ( 共享接入 Internet) 中客户机不需要指定代理服务器地址端口等信息需要设置防火墙策略将客户机的 Web 访问数据转交给代理服务程序处理 3. 反向代理服务为 Internet 用户访问企业 Web 站点提供缓存加速

4 普通代理服务透明代理服务 ( 示意图 )

5 反向代理服务器

6 Linux 防火墙概述 Linux 系统的防火墙功能是由内核实现的 2.0 版内核中, 包过滤机制是 ipfw, 管理工具是 ipfwadm 2.2 版内核中, 包过滤机制是 ipchain, 管理工具是 ipchains 2.4 版及以后的内核中, 包过滤机制是 netfilter, 管理工具是 iptables

7 netfilter 位于 Linux 内核中的包过滤防火墙功能体系称为 Linux 防火墙的内核态 iptables 位于 /sbin/iptables, 是用来管理防火墙的命令工具为防火墙体系提供过滤规则 / 策略, 决定如何过滤或处理到达防火墙主机的数据包称为 Linux 防火墙的用户态习惯上, 上述 2 种称呼都可以代表 Linux 防火墙

8 iptables 的规则表链结构规则链规则的作用在于对数据包进行过滤或处理, 根据处理时机的不同, 各种规则被组织在不同的链中规则链是防火墙规则 / 策略的集合默认的 5 种规则链 INPUT: 处理入站数据包 OUTPUT: 处理出站数据包 FORWARD: 处理转发数据包 POSTROUTING 链 : 在进行路由选择后处理数据包 PREROUTING 链 : 在进行路由选择前处理数据包

9 iptables 的规则表链结构规则表具有某一类相似用途的防火墙规则, 按照不同处理时机区分到不同的规则链以后, 被归置到不同的表中规则表是规则链的集合默认的 4 个规则表 raw 表 : 确定是否对该数据包进行状态跟踪 mangle 表 : 为数据包设置标记 nat 表 : 修改数据包中的源目标 IP 地址或端口 filter 表 : 确定是否放行该数据包 ( 过滤 )

10 数据包过滤匹配流程规则表间的优先顺序依次为 :raw mangle nat filter 规则链间的匹配顺序入站数据 :PREROUTING INPUT 出站数据 :OUTPUT POSTROUTING 转发数据 :PREROUTING FORWARD POSTROUTING 规则链内的匹配顺序按顺序依次进行检查, 找到相匹配的规则即停止 (LOG 策略会有例外 ) 若在该链内找不到相匹配的规则, 则按该链的默认策略处理

11 管理和设置 iptables 规则 iptables 命令的语法格式 iptables [ t 表名 ] 管理选项 [ 链名 ] [ 条件匹配 ] [ j 目标动作或跳转 ] 几个注意事项不指定表名时, 默认表示 filter 表不指定链名时, 默认表示该表内所有链除非设置规则链的缺省策略, 否则需要指定匹配条件

12 数据包控制常见的数据包处理方式 ACCEPT: 放行数据包 DROP: 丢弃数据包 REJECT: 拒绝数据包 LOG: 记录日志信息, 并传递给下一条规则处理用户自定义链名 : 传递给自定义链内的规则进行处理 SNAT: 修改数据包的源地址信息 DNAT: 修改数据包的目标地址信息

13 网关使用动态公网 IP 地址的情况 MASQUERADE( 地址伪装 ) 策略只需将 j SNAT to source 的形式改为 j MASQUERADE 即可如果是通过 ADSL 拨号方式连接 Internet, 则外网接口名称通常为 ppp0 ppp1 等 MASQUERADE 策略应用示例 [root@localhost ~]# iptables t nat A POSTROUTING s /24 o eth0 j MASQUERADE

14 普通代理服务器的配置 1, 安装前的准备 ; * yum groupinstall 开发工具 // 安装开发工具包 * yum install gcc* // 安装好编译环境 2 安装源码包的 squid 服务器软件 : * tar xf squid tar.gz C /usr/src/ [root@server squid ]#./configure prefix=/usr/local/squid enable arp acl enable linux netfilter enable snmp enable delay pools enable cahce digests enable large cache file enable auth=basic,digest,ntlm,negotiate enable cachemgr hostname=localhost make && make install // 编译安装

15 4 配置文件 #### 复制默认的配置文件 ##### * cp /usr/local/squid/etc/squid.conf.documented /usr/local/squid/etc/squid.conf ### 创建相应的链接, 方便管理配置 #### ln s /usr/local/squid/sbin/squid /sbin/squid ln s /usr/local/squid/etc/squid.conf /etc/squid.conf #### 配置配置文件 /etc/squid.conf### acl mynet src /24 // 定义内网网段的 ACL 名称为 mynet http_access allow mynet // 运行 mynet 访问, 这条语句一定要配置在 http_access deny all 前面

16 http_port :3128 // 只在内网的 IP 开放代理服务的 3128 端口, 端口可以自定义 cache_mem 256 MB // 设定内存中缓存大小 cache_dir ufs /usr/local/squid/var/cache // 定义磁盘上的缓存目录和参数 minimum_object_size 0 KB maximum_object_size 4096 KB // 设定最小和最大的缓存对象, 超过 maximum_object_size 的对象将不缓存 visible_hostname server.sxkj.com // 宣告服务器的 FQDN

17 5 初始化缓存目录 ~]# squid z 赋权, 使对 var 下的 logs 和 cache 目录有写入权限 [root@server ~]# chmod R o+w /usr/local/squid/var/logs/ [root@server ~]# chmod R o+w /usr/local/squid/var/cache/ 启动 squid 前, 建议检查一下配置文件的语法 [root@server ~]# squid k parse 6 启动 squi 代理服务器 : [root@server ~]# squid s [root@server ~]# netstat ntpl grep squid

18 7 配置客户端 1) 客户端需要配置内网段的 IP 地址 2) 客户端不需要配置 DNS 3) 客户端不需要配置网关 4) 客户端浏览器需要配置使用代理服务器的 3128 端口打开浏览器的选项设置的连接设置, 选中局域网设置即可

20 8 密码验证方式 : 配置 squid 的身份验证功能, 修改 squid.conf 文件 auth_param basic program /usr/local/squid/libexec/ncsa_auth /usr/local/squid/etc/passwd acl password proxy_auth REQUIRED http_access allow mynet password // 刷新配置文件 squid k reconfigure // 创建访问用户 htpasswd c /usr/local/squid/etc/passwd sxkj 注意 :squid 不支持在透明代理模式下启用用户身份认证功能

21 透明代理服务器的配置 1 修改 squid.conf http_port :3128 intercept // 启用透明代理 2 iptables 防火墙设置如下语句 iptables t nat A PREROUTING s /24 i eth1 p tcp dport 80 j REDIRECT to ports 3128 iptables t nat A POSTROUTING s /24 o eth0 j MASQUERADE 3 启服务器的路由转发功能 Vim /etc/sysctl.conf net.ipv4.ip_forward = 1

22 5 服务器配置好设计要求的 acl 规则 2 squid ACL 访问控制应用实例 1) 禁止 IP 地址为的客户机上网 acl badclientip1 src http_access deny badclientip1 2) 禁止这个子网里所有的客户机上网 acl badclientnet1 src / http_access deny badclientnet1

23 3) 禁止用户访问 IP 地址为的网站 acl badsrvip1 dst http_access deny badsrvip1 4) 禁止用户访问域名为的网站 acl baddomain1 dstdomain i http_access deny baddomain1 5) 禁止用户访问域名包含有 163.com 的网站 acl badurl1 url_regex i 163.com http_access deny badurl1

24 6) 禁止用户访问域名包含有 sex 关键字的 URL acl badurl2 url_regex i sex http_access deny badurl2 7) 限制 IP 地址为的客户机并发最大连接数为 5 acl clientip1 src acl conn5 maxconn 5 http_access deny client1 conn1

25 8) 禁止这个子网里所有的客户机在周一到周五的 9:00 到 18:00 上网 acl clientnet1 src / acl worktime time MTWHF 9:00 18:00 http_access deny clientnet1 worktime 9 ) 禁止客户机下载 *.mp3 *.exe *.zip 和 *.rar 类型的文件 acl badfile1 urlpath_regex i \.mp3$ \.exe$ \.zip$ \.rar$ http_access deny badfile1 10) 禁止 QQ 通过 squid 代理上网 acl qq url_regex i tencent.com http_access deny qq

26 7 客户端配置 : 客户端需要配置内网段的 IP 地址 DNS 和网关客户端浏览器不需要配置代理服务器地址查看 iptables 的 nat 表 iptables t nat vnl 查看 squid 的日志也可以看出 /usr/local/squid/var/logs/access.log

27 总结与建议通过这次的项目实验不仅加强了我的自主排错能力, 也使得自己在对代理服务器这一方面有了更多的了解也有了更深刻的体会, 对 squid 代理服务器也有了更多的兴趣这次的项目实验基本上全面介绍了搭建和实现代理服务器的各种功能, 了解其特点适用和配置, 给出了很多的规划方案应用实例和配置策略代理服务在企业实际应用中非常广泛, 多用在缓存加速和访问控制上, 我们一定要搞清楚传统代理透明代理和反向代理的区别和特点, 还有客户机在这几种代理中的不同配置方法,

MASQUERADE # iptables -t nat -A POSTROUTING -s / o eth0 -j # sysctl net.ipv4.ip_forward=1 # iptables -P FORWARD DROP #

MASQUERADE # iptables -t nat -A POSTROUTING -s / o eth0 -j # sysctl net.ipv4.ip_forward=1 # iptables -P FORWARD DROP # iptables 默认安全规则脚本一 #nat 路由器 ( 一 ) 允许路由 # iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT ( 二 ) DNAT 与端口转发 1 启用 DNAT 转发 # iptables -t nat -A PREROUTING -p tcp -d 192.168.102.37 dprot 422 -j DNAT to-destination