36 Squid 快取代理伺服器 #

一般而言，使用動態 DNS 時，會由提供者在建立網際網路連線期間設定 DNS 伺服器，且 /var/run/netconfig/resolv.conf 本地檔案會自動進行調整。可以使用以下 sysconfig 變數在檔案 /etc/sysconfig/network/config 中控制此行為： NETCONFIG_DNS_POLICY 。設定 NETCONFIG_DNS_POLICY 針對 "" (使用 YaST sysconfig 編輯器)。

然後在 /var/run/netconfig/resolv.conf 檔案中新增本地 DNS 伺服器，並將 localhost 的 IP 位址設定為 127.0.0.1。這樣，Squid 每次啟動時就能找到本地名稱伺服器。

為了使提供者的名稱伺服器可供存取，請在 /etc/named.conf 組態檔案中的 forwarders 下指定該名稱伺服器及其 IP 位址。若使用動態 DNS，則可在建立連接時自動完成上述操作，方法是將 sysconfig 變數 NETCONFIG_DNS_POLICY 針對 auto。

若使用靜態 DNS，建立連接時將不會執行任何自動的 DNS 調整，所以不必變更任何 sysconfig 變數。但是您必須依照動態 DNS中所述在 /var/run/netconfig/resolv.conf 檔案中指定本地 DNS 伺服器。除此之外，還必須在 /etc/named.conf 檔案中的 forwarders 下手動指定提供者的靜態名稱伺服器及其 IP 位址。

這是 Squid 監聽用戶端要求所用的連接埠。預設的連接埠是 3128，但是 8080 也是常用的連接埠。

此選項允許建立協同工作的快取網路。快取對等是一台同樣代管網路快取且與您自己的電腦有某種關係的電腦。類型指定關係的類型。類型可以是 parent 或 sibling。

對於 HOST_NAME，請指定要使用的代理伺服器的名稱或 IP 位址。對於代理連接埠，請指定瀏覽器中要使用的連接埠號碼 (通常為 8080)。將 ICP 連接埠設定為 7，如果上層的 ICP 連接埠未知且其用途與提供者無關，則設定為 0。

若要讓 Squid 以網頁瀏覽器而非代理伺服器的方式工作，請禁止使用 ICP 通訊協定。您可以附加選項 default 和 no-query 來實現此目的。

此選項定義 Squid 可用於常用回覆的記憶體容量。預設值為 8 MB。這不指定 Squid 的記憶體使用量，而且可以超過。

選項 cache_dir 定義磁碟快取的目錄。在 SUSE Linux Enterprise Server 上的預設組態中，Squid 不會建立磁碟快取。

預留位置儲存類型可以是下列其中一種：

下文將只介紹基於 ufs 的儲存類型的參數。rock 的參數有些不同。

快取目錄是磁碟快取的目錄，預設為 /var/cache/squid。快取大小是該目錄的最大大小 (以 MB 為單位)，預設設定為 100 MB。請將其設定為介於可用磁碟空間的 50% 和最大 80% 之間的值。

最後兩個值層級 1 目錄和層級 2 目錄指定快取目錄中建立的子目錄數。預設情況下，在快取目錄下的第一層級會建立 16 個子目錄，其中每個子目錄下又有 256 個子目錄。提高這些值時請務必謹慎，因為建立太多目錄會導致效能問題。

如果您有數個共用一個快取的磁碟，請指定數行 cache_dir。

這三個選項指定 Squid 記錄其所有動作的路徑。一般情況下，無需變更此處的任何設定。如果 Squid 負荷過重，則可能需要將快取與記錄檔案分散到數個磁碟上。

此選項允許透過套用子網路遮罩在記錄檔案中遮罩用戶端的 IP 位址。例如，若要將 IP 位址的最後一位設定為 0，請指定 255.255.255.0。

此選項允許設定 Squid 應該用於匿名 FTP 登入的密碼。請在此處指定有效的電子郵件地址，因為一些 FTP 伺服器會檢查這些資料的有效性。

如果 Squid 意外當機，將會向此電子郵件地址傳送一封郵件。預設值為網站管理員。

如果您執行 squid -k rotate，squid 可以輪替記錄檔案。在此程序中會計算檔案的數量，而且在到達指定的值後，就會覆寫最舊的檔案。預設值為 10，表示輪替編號為 0 到 9 的記錄檔案。

但是，在 SUSE Linux Enterprise Server 上，記錄檔案的輪替是透過使用 logrotate 和組態檔案 /etc/logrotate.d/squid 自動執行的。

使用 append_domain 可指定當未指定網域時自動附加的網域。通常可在此處指定您自己的網域，因此在瀏覽器中指定 www 將存取您自己的 Web 伺服器。

如果此選項設定為 on，則會將如下所示的一行新增至標題：

X-Forwarded-For: 192.168.0.1

如果您將選項設定為 off，則 Squid 會從 HTTP 要求中移除用戶端的 IP 位址及系統名稱。

如果設定了這些選項，Squid 將快取某些類型的失敗，例如 404 回應。之後，它將拒絕發出新要求，即使當時資源可供使用。

預設情況下，negative_ttl 設定為 0，negative_dns_ttl 設定為 1 minute。這表示預設情況下不會快取對 Web 要求的負面回應，但會將 DNS 要求的負面回應快取 1 分鐘。

為了防止 Squid 接受直接來自網際網路的要求，請使用選項 never_direct 以強制連接連到另一個代理伺服器。事先必須已在 cache_peer 中指定該代理。如果將 ACL 名稱指定為 all，則所有要求將直接轉送至 parent。有時這可能是必要的，例如，您所使用的提供者規定了其代理的使用方式或拒絕其防火牆直接存取網際網路時。

http_access 定義誰可以使用代理伺服器，以及誰能夠存取網際網路上的哪些內容。為此必須定義 ACL。上文中已經定義了 localhost 和 all，您可以透過 deny 或 allow 拒絕或允許對它們的存取。可以建立包含任意多個 http_access 項目的清單，並依自上而下的順序處理這些項目。依據哪個項目先發生，系統會允許或拒絕存取相應的 URL。最後一個項目應該永遠為 http_access deny all。在下面的範例中，localhost 可隨意存取任何內容，而所有其他的主機則完全被拒絕存取：

http_access allow localhost
http_access deny all

在另一個使用這些規則的範例中，teachers 群組永遠具有網際網路的存取權。群組 students 僅在星期一至星期五的午餐時間才有存取權：

http_access deny localhost
http_access allow teachers
http_access allow students lunch time
http_access deny all

基於可讀性考量，請在組態檔案 /etc/squid/squid.conf 中將所有 http_access 選項指定在一個區塊中。

此選項可用於指定 URL 重寫器。

如果必須在代理伺服器上對使用者進行驗證，請設定對應的程式，如 /usr/sbin/pam_auth。當第一次存取 pam_auth 時，使用者會看到需要其指定使用者名稱與密碼的登入視窗。此外，您還需要一個 ACL，以便僅讓具備有效登入的用戶端使用網際網路：

acl password proxy_auth REQUIRED

http_access allow password
http_access deny all

在 acl proxy_auth 選項中，使用 REQUIRED 表示接受所有有效的使用者名稱。REQUIRED 還可以替換為允許的使用者名稱清單。

藉由此選項，可以執行 ident 要求，以便為類型為 src 的 ACL 定義的所有用戶端確定每個使用者的身分。或者，可以針對所有用戶端使用此選項，對於 ACL 名稱，則套用預先定義的 ACL all。

ident_lookup_access 涵蓋的所有用戶端都必須執行 ident 精靈。在 Linux 上，您可以將 pidentd ( pidentd 套件) 用做 ident 精靈。對於其他作業系統，通常有免費的軟體可供使用。若要確保只有 ident 查閱成功的用戶端才有權存取，請定義對應的 ACL：

acl identhosts ident REQUIRED

http_access allow identhosts
http_access deny all

在 acl identhosts ident 選項中，使用 REQUIRED 表示接受所有有效的使用者名稱。REQUIRED 還可以替換為允許的使用者名稱清單。

使用 ident 會延緩存取時間，因為對每個要求都要重複 ident 查閱。