一、Squid 服务基础

Squid 是 Linux 系统中最常用的一款开源代理服务软件，可以很好地实现 HTTP 和 FTP，以及 DNS 查询、SSL 等应用的缓存代理，功能十分强大。

官方网站为： http://www.squid-cache.org/
1.1 缓存代理概述

作为应用层的代理服务软件，Squid 主要提供缓存加速、应用层过滤控制的功能。

（一）代理的工作机制

当客户机通过代理来请求 Web 页面时，指定的代理服务器会先检查自己的缓存：

如果缓存中已经有客户机需要的页面，则直接将缓存中的页面内容反馈给客户机。
如果缓存中没有客户机要访问的页面，则由代理服务器向 Internet 发送访问请求，获得返回的 Web 页面以后，将网页数据保存到缓存中并发送给客户机

HTTP 代理的缓存加速对象主要是文字、图像等静态 Web 元素。使用缓存机制后，当客户机在不同的时候访问同一 Web 元素，或者不同的客户机访问相同的 Web 元素时，可以直接从代理服务器的缓存中获得结果。这样就大大减少了向 Internet 提交重复的 Web 请求的过程，提高了客户机的 Web 访问响应速度。

由于客户机的 Web 访问请求实际上是由代理服务器来代替完成的，从而可以隐藏用户的真实 IP 地址，起到一定的保护作用。另一方面，代理服务器担任着类似“经纪人”的角色，可以针对要访问的目标、客户机的地址、访问的时间段等进行过滤控制。
（二）代理的基本类型

根据实现方式不同，代理服务可分为传统代理和透明代理两种常见的代理服务：

传统代理：也就是普通的代理服务，首先必须在客户机的浏览器、QQ 聊天工具、下载软件等程序中手动设置代理服务器的地址和端口，然后才能使用代理来访问网络。对于网页浏览器，访问网站时的域名解析请求也会发给指定的代理服务器。

透明代理：提供与传统代理相同的功能和服务，其区别在于客户机不需要指定代理服务器的地址和端口，而是通过默认路由、防火墙策略将 Web 访问重定向，实际仍然交给代理服务器来处理。重定向的过程对客户机是“透明”的，用户甚至并不知道自己在使用代理服务，所以称为透明代理。使用透明代理时，网页浏览器访问网站时的域名解析请求将优先发给 DNS 服务器。

实际应用中，传统代理多见于 Internet 环境，如为 QQ 程序使用代理可以隐藏本机真实 IP 地址、为下载工具使用多个代理可以规避服务器的并发连接限制。而透明代理多见于局域网环境，如在 Linux 网关中启用透明代理后，局域网主机无须进行额外设置就可以享受更好的上网速度。

编译安装及运行具体操作

首先关闭防火墙和SElinux

1.编译安装Squid（将所需的包上传到/opt目录下）
①放入软件包安装相关程序

②解压

③安装squid相关模块

④编译安装squid

⑤优化路径、创建squid用户和指定存放缓存文件的路径

2.修改Squid的配置文件

3 . Squid 的运行控制
①检查配置文件语法是否正确

②启动Squid，第一次启动Squid服务时，会自动初始化缓存目录

4.创建 Squid 服务脚本
①创建squid文件写入脚本

!/bin/bash

chkconfig: 2345 90 25

PID="/usr/local/squid/var/run/squid.pid"
CONF="/etc/squid.conf"
CMD="/usr/local/squid/sbin/squid"

case "$1" in
start)
netstat -natp | grep squid &> /dev/null
if [ $? -eq 0 ]
then
echo "squid is running"
else
echo "正在启动 squid..."
$CMD
fi
;;
stop)
$CMD -k kill &> /dev/null
rm -rf $PID &> /dev/null
;;
status)
[ -f $PID ] &> /dev/null
if [ $? -eq 0 ]
then
netstat -natp | grep squid
else
echo "squid is not running"
fi
;;
restart)
$0 stop &> /dev/null
echo "正在关闭 squid..."
$0 start &> /dev/null
echo "正在启动 squid..."
;;
reload)
$CMD -k reconfigure
;;
check)
$CMD -k parse
;;
*)
echo "用法：$0{start|stop|status|reload|check|restart}"
;;
esac

②赋予权限加入开机自启动

二、构建代理服务器

2.1 传统代理

使用传统代理的特点在于客户机的相关程序（如 IE 浏览器、QQ 聊天软件）必须指定代理服务器的地址、端口等基本信息。
基于 Internet 网络环境（如下图），案例的主要需求描述如下。

在 Linux 主机 B 上，构建 Squid 为客户机访问各种网站提供代理服务，但禁止通过代理下载超过 10MB 大小的文件。 -
在客户机 C 上，指定主机 B 作为 Web 访问代理，以隐藏自己的真实 IP 地址。

针对上述实验环境，主机 B 作为代理服务器，必须正确构建 Squid 服务，并允许客户机使用代理。若要客户机通过代理以 http://www.bdqn.com/的域名形式访问，则代理服务器本身必须能够正确解析该域名。主机 C 作为客户机，需要为浏览器等程序指定所使用的代理服务器地址、端口号等信息，主机 A 作为测试网站，需要启用 httpd 服务。

2.2搭建传统代理的步骤

环境准备工作：
服务器类型系统和IP地址需要安装的组件网络模式
squid服务器 CentOS7.4(64 位) 192.168.0.7 squid-3.5.28.tar.gz nat模式
web服务器 CentOS7.4(64 位) 192.168.0.8 Apache nat模式
client客户端 Win10客户端 192.168.0.100 —— nat模式
1 . 修改squid.conf配置文件

2 . 重启服务

3 . 添加设置防火墙规则

4 . 修改客户机代理
①打开谷歌浏览器设置代理服务器

②清除浏览器缓存

5 . web服务器设置
①web服务器关闭防火墙安装httpd服务

6 . web服务器使用tail开启日志跟踪页面，Client访问web服务器进行验证，可以看到显示的是squid代理服务器的ip

透明代理

透明代理提供的服务功能与传统代理是一致的，但是其“透明”的实现依赖于默认路由和防火墙的重定向策略，因此更适用于为局域网主机服务，而不适合为 Internet 中的客户机提供服务。

在 Linux 网关上，构建 Squid 为客户机访问 Internet 提供代理服务。
在所有的局域网客户机上，只需正确设置 IP 地址、默认网关和 DNS，不需要手动指定代理服务器的地址、端口等信息。

透明代理

在 Linux 网关上，构建 Squid 为客户机访问 Internet 提供代理服务。
在所有的局域网客户机上，只需正确设置 IP 地址、默认网关和 DNS，不需要手动指定代理服务器的地址、端口等信息。

环境准备工作：
服务器类型系统和IP地址需要安装的组件网络模式
squid服务器 CentOS7.4(64 位) ens33:192.168.0.7，ens37:12.0.0.1 squid-3.5.28.tar.gz ens33为nat模式,ens36为仅主机
web服务器 CentOS7.4(64 位) 192.168.0.8 Apache nat模式
client客户端 Win10客户端 12.0.0.12 —— 仅主机模式
1 . Squid服务器:双网卡

① 切换到网卡目录，然后查看新增的网卡是多少，我这里为ens36

②复制网卡并配置ip相关

③ 重新查看网卡是否配置成功

④ 修改squid配置文件，添加ip

⑤ 开启ip转发功能

⑥修改防火墙规则

修改防火墙规则

iptables -F
iptables -t nat -F

将来源为12.0.0.0 网段:80/443端口的流量重定向到3128端口

iptables -t nat -I PREROUTING -i ens36 -s 12.0.0.0/24 -p tcp --dport 80 -j REDIRECT --to 3128 #用于转发http协议
iptables -t nat -I PREROUTING -i ens36 -s 12.0.0.0/24 -p tcp --dport 443 -j REDIRECT --to 3128 #用于转发https协议

若进行重启，则需要配置以下规则

iptables -I INPUT -p tcp --dport 3128 -j ACCEPT

2 . web服务器配置静态路由

3 . Client设置

① 关闭代理服务器

② Client访问web服务器测试

③ web上查看访问日志是否为网关地址

2.3 ACL 访问控制
Squid 提供了强大的代理控制机制，通过合理设置 ACL（Access Control List，访问控制列表）并进行限制，可以针对源地址、目标地址、访问的 URL 路径、访问的时间等各种条件进行过滤。

在配置文件 squid.conf 中，ACL 访问控制通过以下两个步骤来实现：

1.使用 acl 配置项定义需要控制的条件；
2.通过 http_access 配置项对已定义的列表做“允许”或“拒绝”访问的控制。

设置ACL访问控制的步骤

1 . squid服务器上配置

① 建立目标 IP 地址名单

Squid 日志分析

SARG 全称是 Squid Analysis Report Generator，是一款 Squid 日志分析工具，采用
HTML 格式，详细列出每位用户访问 Internet 的站点信息、时间占用信息、排名、连接次数、访问量等。
实现Squid日志分析的具体操作
1 . 安装 GD 库

2．安装 SARG
① 放入sarg安装包

② 解压安装包

③ 安装相关模块

④ 编译安装sarg

3．修改sarg配置文件

4 . 添加不加入站点文件