34 代理服务器 Squid #

使用动态 DNS 时，因特网服务提供商通常在建立因特网连接过程中设置 DNS 服务器，并自动调整本地文件 /etc/resolv.conf。可以在文件 /etc/sysconfig/network/config 中使用以下 sysconfig 变量控制此行为： NETCONFIG_DNS_POLICY 。设置 NETCONFIG_DNS_POLICY 更改为 "" 。

然后在 /etc/resolv.conf 文件中添加本地 DNS 服务器，并将 localhost 的 IP 地址设置为 127.0.0.1。这样，Squid 每次一启动就能找到本地名称服务器。

为了使提供商的名称服务器可访问，请在配置文件 /etc/named.conf 中的 forwarders 下指定该名称服务器及其 IP 地址。如果使用动态 DNS，则可在建立连接时自动完成此操作，方法是将 sysconfig 变量 NETCONFIG_DNS_POLICY 更改为 auto。

有了静态 DNS，在建立连接时自动 DNS 调整便不会发生，所以不需要更改任何 sysconfig 变量。但是，必须按动态 DNS中所述在 /etc/resolv.conf 文件中指定本地 DNS 服务器。此外，还必须在 /etc/named.conf 文件中的 forwarders 下手动指定提供商的静态名称服务器及其 IP 地址。

这是 Squid 侦听客户端请求所用的端口。默认端口为 3128，但也常使用 8080。

此选项允许创建能够协同工作的超速缓存网络。超速缓存对等是一台也托管了网络超速缓存并与您自己的计算机有某种关系的计算机。类型指定关系的类型。类型可以是 parent 或 sibling。

对于主机名，请指定要使用的代理的名称或 IP 地址。对于代理端口，请指定浏览器中要使用的端口号（通常为 8080）。请将 ICP 端口设置为 7，如果父代理的 ICP 端口未知并且该端口的使用与提供商无关，则设置为 0。

要让 Squid 以 Web 浏览器而非代理的方式工作，请禁止使用 ICP 协议。您可以通过追加 default 和 no-query 选项来实现此目的。

此选项定义 Squid 可用于常用答复的内存大小。默认为 8 MB。它不指定 Squid 的内存使用率，并且可能已经超过。

cache_dir 选项定义磁盘超速缓存的目录。在 SUSE Linux Enterprise Server 上的默认配置中，Squid 不会创建磁盘超速缓存。

占位符储存类型可以是以下其中一个：

下文将只介绍基于 ufs 的储存类型的参数。rock 的参数有些不同。

超速缓存目录是磁盘超速缓存的目录，默认为 /var/cache/squid。超速缓存大小是该目录的最大大小（以兆字节为单位），默认设置为 100 MB。请将其设置为可用磁盘空间的 50% 到最大 80% 之间的值。

最后两个值（1 级目录和 2 级目录）指定超速缓存目录中创建的子目录数量。默认情况下，在超速缓存目录下的第一级会创建 16 个子目录，在其中的每个子目录下创建 256 个子目录。提高这些值时应谨慎，因为创建过多的目录可能会导致性能问题。

如果有多个磁盘共享一个超速缓存，请指定数行 cache_dir。

这三个选项指定 Squid 记录其所有操作的路径。通常无需在这里进行任何更改。如果 Squid 负担过重，则可能需要将超速缓存和日志文件分散到多个磁盘上。

此选项允许通过应用子网掩码在日志文件中屏蔽客户端的 IP 地址。例如，要将 IP 地址的最后一位设置为 0，请指定 255.255.255.0。

此选项允许设置 Squid 应该用于匿名 FTP 登录的口令。请在此处指定有效的电子邮件地址，因为有些 FTP 服务器会检查这些信息来验证有效性。

如果 Squid 意外崩溃，将会向此电子邮件地址发送一封邮件。默认为 webmaster。

如果运行 squid -k rotate，Squid 可以轮转日志文件。在此过程中会给文件编号，并且在达到指定值后重写最旧的文件。默认值为 10，即轮转编号为 0 到 9 的日志文件。

不过，在 SUSE Linux Enterprise Server 上，日志文件的轮转是通过使用 logrotate 和配置文件 /etc/logrotate.d/squid 自动执行的。

使用 append_domain 可指定当未指定域时自动追加的域。通常在此处指定您自己的域，因此在浏览器中指定 www 将访问您自己的 Web 服务器。

如果此选项设置为 on，将会向报头添加如下所示的一行：

X-Forwarded-For: 192.168.0.1

如果将此选项设置为 off，Squid 会将客户端的 IP 地址和系统名称从 HTTP 请求中去除。

如果设置了这些选项，Squid 将会超速缓存某些类型的失败，例如 404 响应。以后，它将拒绝发出新请求，即使当时资源可用。

默认情况下，negative_ttl 设置为 0，negative_dns_ttl 设置为 1 minute。这表示默认不会超速缓存 Web 请求的负响应，但会将 DNS 请求的负响应超速缓存 1 分钟。

为防止 Squid 接受直接来自因特网的请求，可使用选项 never_direct 强制连接连到另一个代理。事先必须已在 cache_peer 中指定该代理。如果将 ACL 名称指定为 all，则所有请求都将直接转发给父代理。有时这可能是必要的，例如，您使用的提供商规定了其代理的使用方式或拒绝通过其防火墙直接访问因特网时。

http_access 定义谁可以使用代理，以及谁能够访问因特网上的什么内容。对于此选项，必须定义 ACL。上文中已经定义了 localhost 和 all，您可以通过 deny 或 allow 拒绝或允许对它们的访问。可以创建一个包含任意数量 http_access 条目的列表，按从上到下的顺序处理各条目。根据出现的先后顺序允许或拒绝访问相应的 URL。最后一项应始终是 http_access deny all。在下例中，localhost 可随意访问任何内容，而所有其他主机全部被拒绝访问：

http_access allow localhost
http_access deny all

在另外一个使用这些规则的示例中，teachers 组总能访问因特网。students 组只能在星期一到星期五的午餐时间访问：

http_access deny localhost
http_access allow teachers
http_access allow students lunch time
http_access deny all

为提高可读性，请在配置文件 /etc/squid/squid.conf 中将所有 http_access 选项指定在一个段落中。

使用此选项可以指定 URL 重写程序。例如，它可以是 squidGuard (/usr/sbin/squidGuard)，用于阻止不需要的 URL。通过此选项，可以使用代理身份验证和适当的 ACL 针对不同用户组分别控制因特网访问。

有关 squidGuard 的详细信息，请参见第 34.8 节 “squidGuard”。

如果必须在代理上对用户进行身份验证，请设置一个相应的程序，如 /usr/sbin/pam_auth。当首次访问 pam_auth 时，用户会看到一个需要指定用户名和口令的登录窗口。此外，您还需要一个 ACL，以便让只有有效登录的客户端才能使用因特网：

acl password proxy_auth REQUIRED

http_access allow password
http_access deny all

在 acl proxy_auth 选项中，使用 REQUIRED 表示接受所有有效的用户名。REQUIRED 还可替换为允许的用户名列表。

使用此选项，可以运行 ident 请求，以便为类型为 src 的 ACL 定义的所有客户端确定各个用户的身份。或者，可对所有客户端使用此选项，至于 ACL 名称，则应用预定义的 ACL all。

ident_lookup_access 涵盖的所有客户端都必须运行 ident 守护程序。在 Linux 上，您可以将 pidentd（包 pidentd ）用作 ident 守护程序。对于其他操作系统，通常有免费的软件可供使用。为确保只有 ident 查找成功的客户端才有权访问，请定义相应的 ACL：

acl identhosts ident REQUIRED

http_access allow identhosts
http_access deny all

在 acl identhosts ident 选项中，使用 REQUIRED 表示接受所有有效的用户名。REQUIRED 还可替换为允许的用户名列表。

使用 ident 会延缓访问时间，因为对每个请求都要重复 ident 查找过程。