44 Squid 缓存代理服务器 #

通常，使用动态 DNS 时，服务提供方会在建立互联网连接时设置 DNS 服务器，并且本地文件 /var/run/netconfig/resolv.conf 会自动调整。可以在文件 /etc/sysconfig/network/config 中使用 NETCONFIG_DNS_POLICY sysconfig 变量指定此行为。使用 YaST sysconfig 编辑器将 NETCONFIG_DNS_POLICY 设置为 ""。

然后在 /var/run/netconfig/resolv.conf 文件中添加本地 DNS 服务器，并为 localhost 指定 IP 地址 127.0.0.1。这样，Squid 每次一启动就能找到本地名称服务器。

为了使提供方的名称服务器可供访问，请在配置文件 /etc/named.conf 中的 forwarders 下指定该名称服务器及其 IP 地址。如果使用动态 DNS，则可在建立连接时自动完成此操作，只需将 sysconfig 变量 NETCONFIG_DNS_POLICY 设置为 auto 即可。

有了静态 DNS，在建立连接时自动 DNS 调整便不会发生，所以不需要更改任何 sysconfig 变量。但是，必须按动态 DNS 中所述在 /var/run/netconfig/resolv.conf 文件中指定本地 DNS 服务器。此外，还必须在 /etc/named.conf 文件中的 forwarders 下手动指定提供方的静态名称服务器及其 IP 地址。

这是 Squid 侦听客户端请求所用的端口。默认端口为 3128，但也常使用 8080。

此选项允许创建能够协同工作的缓存网络。缓存对等是一台也托管了网络缓存并与您自己的计算机有某种关系的计算机。TYPE 指定关系的类型。类型可能是 parent 或 sibling。

对于 HOST_NAME，请指定要使用的代理服务器的名称或 IP 地址。对于 PROXY_PORT，请指定浏览器中要使用的端口号（通常为 8080）。请将 ICP_PORT 设置为 7，如果父层的 ICP 端口未知并且其用途与提供方无关，则设置为 0。

要使 Squid 像 Web 浏览器而非代理服务器一样运行，请通过追加 default 和 no-query 选项来禁用 ICP 协议。

此选项定义 Squid 可为频率最高的答复使用的内存大小。默认值为 8 MB。它不指定 Squid 的内存使用率，并且可能已经超过。

cache_dir 选项定义磁盘缓存的目录。在 SUSE Linux Enterprise Server 上的默认配置中，Squid 不会创建磁盘缓存。

占位符 STORAGE_TYPE 可以是以下其中一个：

下文将只介绍基于 ufs 的存储类型的参数。rock 的参数不同。

CACHE_DIRECTORY 是磁盘缓存的目录，默认为 /var/cache/squid。CACHE_SIZE 是该目录的最大大小（以 MB 为单位），默认设置为 100 MB。请将其设置为可用磁盘空间的 50% 到最大 80% 之间的值。

LEVEL_1_DIRECTORIES 和 LEVEL_2_DIRECTORIES 值指定应在 CACHE_DIRECTORY 中创建的子目录数量。默认情况下，在 CACHE_DIRECTORY 下的第一级会创建 16 个子目录，在其中的每个子目录下会创建 256 个子目录。提高这些值时应谨慎，因为创建过多的目录可能会导致性能问题。

如果有多个磁盘共享一个缓存，请指定数行 cache_dir。

这三个选项指定 Squid 记录其所有操作的路径。通常无需在这里进行任何更改。如果 Squid 负荷过重，则可能需要将缓存和日志文件分散到数个磁盘上。

此选项允许通过应用子网掩码在日志文件中屏蔽客户端的 IP 地址。例如，要将 IP 地址的最后一位设置为 0，请指定 255.255.255.0。

此选项允许设置 Squid 应该用于匿名 FTP 登录的口令。请在此处指定有效的电子邮件地址，因为有些 FTP 服务器会检查这些信息来验证有效性。

Squid 崩溃时会向指定的电子邮件地址发送消息。默认为 webmaster。

与 squid、-k rotate 一起使用时，squid 会轮换日志文件。它会将文件编号，并且会在达到指定的值后覆盖最旧的文件。默认值为 10，即轮转编号为 0 到 9 的日志文件。

不过，在 SUSE Linux Enterprise Server 上，日志文件的轮转是通过使用 logrotate 和配置文件 /etc/logrotate.d/squid 自动执行的。

使用 append_domain 可指定当未指定域时自动追加的域。通常在此处指定您自己的域，因此将浏览器指向 www 将导航到您自己的 Web 服务器。

如果此选项设置为 on，将会向报头添加如下所示的一行：

X-Forwarded-For: 192.168.0.1

如果将此选项设置为 off，Squid 会将客户端的 IP 地址和系统名称从 HTTP 请求中去除。

如果配置了这些选项，Squid 会缓存某些类型的失败，例如 404 响应。之后，它会拒绝发出新请求，即使资源变为可用状态也不例外。

默认情况下，negative_ttl 设置为 0，negative_dns_ttl 设置为 1 minutes。这表示默认不会缓存 Web 请求的负响应，但会将 DNS 请求的负响应缓存 1 分钟。

要防止 Squid 接受直接来自互联网的请求，可使用选项 never_direct 强制连接到另一个代理服务器。事先必须已在 cache_peer 中指定该代理。如果将 all 指定为 ACL_NAME，则所有请求都将直接转发给 parent。有时这可能是必要的，例如，您使用的提供商规定了其代理的使用方式或拒绝通过其防火墙直接访问互联网时。

http_access 定义谁可以使用代理服务器，以及谁能够访问互联网上的什么内容。您需要为此定义 ACL。上文中已经定义了 localhost 和 all ACL，您可以通过 deny 或 allow 拒绝或允许访问它们。可以创建包含任意多个 http_access 项的列表，并按从上到下的顺序处理这些项。根据哪项先发生，系统会允许或拒绝访问相应的 URL。最后一项应该一律为 http_access deny all。在下例中，localhost 可随意访问任何内容，而所有其他主机则被拒绝访问：

http_access allow localhost
http_access deny all

在另外一个使用这些规则的示例中，teachers 组总能访问互联网。students 组只能在星期一到星期五的午餐时间访问：

http_access deny localhost
http_access allow teachers
http_access allow students lunch time
http_access deny all

为了提高可读性，请在配置文件 /etc/squid/squid.conf 中将所有 http_access 选项都指定为一个块。

使用此选项可指定 URL 重写程序。

如果必须在代理服务器上对用户进行身份验证，请设置相应的程序，如 /usr/sbin/pam_auth。用户首次访问 pam_auth 时，系统会提示其提供用户名和口令。此外，您还需要一个 ACL，以便只让具有有效登录信息的客户端能够使用互联网：

acl password proxy_auth REQUIRED

http_access allow password
http_access deny all

在 acl proxy_auth 选项中，使用 REQUIRED 表示接受所有有效的用户名。REQUIRED 还可替换为允许的用户名列表。

使用此选项可启用 ident 请求操作，以便为类型为 src 的 ACL 所定义的所有客户端确定各个用户的身份。要对所有客户端启用此选项，请使用预定义的 ACL all 作为 ACL_NAME。

ident_lookup_access 指定的所有客户端都必须运行 ident 守护程序。在 Linux 上，您可以使用 pidentd（软件包 pidentd）作为 ident 守护程序。为确保只有 ident 查找成功的客户端才有权访问，请定义相应的 ACL：

acl identhosts ident REQUIRED

http_access allow identhosts
http_access deny all

将 acl identhosts ident 选项设置为 REQUIRED 可确保接受所有有效的用户名。REQUIRED 还可替换为允许的用户名列表。

使用 ident 会延缓访问时间，因为对每个请求都要重复 ident 查找过程。