44 Squid 快取代理伺服器 #

通常，使用動態 DNS 時，服務提供者會在建立網際網路連接時設定 DNS 伺服器，並且本地檔案 /var/run/netconfig/resolv.conf 會自動調整。可以在檔案 /etc/sysconfig/network/config 中使用 NETCONFIG_DNS_POLICY sysconfig 變數指定此行為。使用 YaST sysconfig 編輯器將 NETCONFIG_DNS_POLICY 設定為 ""。

然後在 /var/run/netconfig/resolv.conf 檔案中新增本地 DNS 伺服器，並將 localhost 的 IP 位址設定為 127.0.0.1。這樣，Squid 每次啟動時就能找到本地名稱伺服器。

為了使提供者的名稱伺服器可供存取，請在 /etc/named.conf 組態檔案中的 forwarders 下指定該名稱伺服器及其 IP 位址。如果使用動態 DNS，則可在建立連接時自動完成此操作，只需將 sysconfig 變數 NETCONFIG_DNS_POLICY 設定為 auto 即可。

若使用靜態 DNS，建立連接時將不會執行任何自動的 DNS 調整，所以不必變更任何 sysconfig 變數。但是您必須依照動態 DNS中所述在 /var/run/netconfig/resolv.conf 檔案中指定本地 DNS 伺服器。除此之外，還必須在 /etc/named.conf 檔案中的 forwarders 下手動指定提供者的靜態名稱伺服器及其 IP 位址。

這是 Squid 監聽用戶端要求所用的連接埠。預設的連接埠是 3128，但是 8080 也是常用的連接埠。

此選項允許建立協同工作的快取網路。快取對等是一台同樣代管網路快取且與您自己的電腦有某種關係的電腦。類型指定關係的類型。類型可以是 parent 或 sibling。

對於 HOST_NAME，請指定要使用的代理伺服器的名稱或 IP 位址。對於代理連接埠，請指定瀏覽器中要使用的連接埠號碼 (通常為 8080)。將 ICP 連接埠設定為 7，如果上層的 ICP 連接埠未知且其用途與提供者無關，則設定為 0。

若要使 Squid 如同網頁瀏覽器而非代理伺服器一般運作，請透過附加 default 和 no-query 選項來停用 ICP 通訊協定。

此選項定義 Squid 可為頻率最高的回覆使用的記憶體大小。預設值為 8 MB。這不指定 Squid 的記憶體使用量，而且可以超過。

選項 cache_dir 定義磁碟快取的目錄。在 SUSE Linux Enterprise Server 上的預設組態中，Squid 不會建立磁碟快取。

預留位置儲存類型可以是下列其中一種：

下文將只介紹基於 ufs 的儲存類型的參數。rock 的參數有些不同。

快取目錄是磁碟快取的目錄，預設為 /var/cache/squid。快取大小是該目錄的最大大小 (以 MB 為單位)，預設設定為 100 MB。請將其設定為介於可用磁碟空間的 50% 和最大 80% 之間的值。

LEVEL_1_DIRECTORIES 和 LEVEL_2_DIRECTORIES 值指定 CACHE_DIRECTORY 中建立的子目錄數量。預設情況下，在快取目錄下的第一層級會建立 16 個子目錄，其中每個子目錄下又有 256 個子目錄。提高這些值時請務必謹慎，因為建立太多目錄會導致效能問題。

如果您有數個共用一個快取的磁碟，請指定數行 cache_dir。

這三個選項指定 Squid 記錄其所有動作的路徑。一般情況下，無需變更此處的任何設定。如果 Squid 負荷過重，則可能需要將快取和記錄檔案分散到數個磁碟上。

此選項允許透過套用子網路遮罩在記錄檔案中遮罩用戶端的 IP 位址。例如，若要將 IP 位址的最後一位設定為 0，請指定 255.255.255.0。

此選項允許設定 Squid 應該用於匿名 FTP 登入的密碼。請在此處指定有效的電子郵件地址，因為有些 FTP 伺服器會檢查這些資訊以驗證有效性。

Squid 當機時會向指定的電子郵件地址傳送訊息。預設值為網站管理員。

與 squid -k rotate 一起使用時，squid 會輪用記錄檔案。它會將檔案編號，並且會在達到指定的值後覆寫最舊的檔案。預設值為 10，表示輪替編號為 0 到 9 的記錄檔案。

但是，在 SUSE Linux Enterprise Server 上，記錄檔案的輪替是透過使用 logrotate 和組態檔案 /etc/logrotate.d/squid 自動執行的。

使用 append_domain 可指定當未指定網域時自動附加的網域。通常在此處指定您自己的網域，因此將瀏覽器指向 www 將導覽至您自己的 Web 伺服器。

如果此選項設定為 on，則會將如下所示的一行新增至標題：

X-Forwarded-For: 192.168.0.1

如果您將選項設定為 off，則 Squid 會從 HTTP 要求中移除用戶端的 IP 位址及系統名稱。

如果設定了這些選項，Squid 會快取某些類型的失敗，例如 404 回應。之後，它會拒絕發出新要求，即使資源變為可用狀態也不例外。

預設情況下，negative_ttl 設定為 0，negative_dns_ttl 設定為 1 minute。這表示預設情況下不會快取對 Web 要求的負面回應，但會將 DNS 要求的負面回應快取 1 分鐘。

若要防止 Squid 接受直接來自網際網路的要求，可使用選項 never_direct 以強制連接至另一個代理伺服器。事先必須已在 cache_peer 中指定該代理。如果將 ACL 名稱指定為 all，則所有要求將直接轉送至 parent。有時這可能是必要的，例如，您所使用的提供者規定了其代理的使用方式或拒絕其防火牆直接存取網際網路時。

http_access 定義誰可以使用代理伺服器，以及誰能夠存取網際網路上的哪些內容。您需要為此定義 ACL。上文中已經定義了 localhost 和 all ACL，您可以透過 deny 或 allow 拒絕或允許存取它們。可以建立包含任意多個 http_access 項目的清單，並依自上而下的順序處理這些項目。依據哪個項目先發生，系統會允許或拒絕存取相應的 URL。最後一個項目應該永遠為 http_access deny all。在下面的範例中，localhost 可隨意存取任何內容，而所有其他主機則完全被拒絕存取：

http_access allow localhost
http_access deny all

在另一個使用這些規則的範例中，teachers 群組永遠具有網際網路的存取權。群組 students 僅在星期一至星期五的午餐時間才有存取權：

http_access deny localhost
http_access allow teachers
http_access allow students lunch time
http_access deny all

為了提高可讀性，請在組態檔案 /etc/squid/squid.conf 中將所有 http_access 選項都指定為一個區塊。

使用此選項可指定 URL 重寫器。

如果必須在代理伺服器上對使用者進行驗證，請設定對應的程式，如 /usr/sbin/pam_auth。使用者首次存取 pam_auth 時，系統會提示其提供使用者名稱和密碼。此外，您還需要一個 ACL，以便僅讓具有有效登入資訊的用戶端能夠使用網際網路：

acl password proxy_auth REQUIRED

http_access allow password
http_access deny all

在 acl proxy_auth 選項中，使用 REQUIRED 表示接受所有有效的使用者名稱。REQUIRED 還可以替換為允許的使用者名稱清單。

使用此選項可啟用 ident 要求動作，以便為類型為 src 的 ACL 所定義的所有用戶端確定每個使用者的身分。若要對所有用戶端啟用此選項，請使用預先定義的 ACL all 做為 ACL_NAME。

ident_lookup_access 指定的所有用戶端都必須執行 ident 精靈。在 Linux 上，您可以使用 pidentd (套件 pidentd) 做為 ident 精靈。若要確保只有 ident 查閱成功的用戶端才有權存取，請定義對應的 ACL：

acl identhosts ident REQUIRED

http_access allow identhosts
http_access deny all

將 acl identhosts ident 選項設定為 REQUIRED 可確保接受所有有效的使用者名稱。REQUIRED 還可以替換為允許的使用者名稱清單。

使用 ident 會延緩存取時間，因為對每個要求都要重複 ident 查閱。