第21章 代理服务器配置和管理

第21章代理效劳器配置和管理代理效劳器是介于Internet和内网计算机之间的联系桥梁，它的功能就是代替内网计算机去访问互联网信息。使用代理效劳，可以有效地节省IP资源，多台内网计算机可以通过同一个外网IP访问Internet。目前大局部企业都是通过代理效劳器为企业内部员工提供上网效劳。本章将介绍如何在RedHatEnterpriseLinux5.2上基于Squid搭建一个稳定高效的代理效劳器。21.1代理效劳器简介在计算机网络技术飞速开展的今天，Internet已经成为了人们日常生活中的一局部。与此同时，越来越多的企业也把自己的网络接入到了互联网，为员工提供上网效劳。对于普通家庭用户，一般使用Modem或ADSL拨号上网；而对于企业那么一般是通过ADSL或申请DDN〔DigitalDataNetwork，数字数据网〕专线，以月租的方式接入互联网。代理效劳器的英文全称是ProxyServer，其功能就是代替网络用户去访问网络信息，并把获得的信息返回给用户。在没有代理效劳器的情况下，用户计算机要访问互联网，那么这台计算机首先必须要有可访问互联网的IP地址。例如用户要浏览某个网站的信息，客户端计算机将直接与该网站的WWW效劳器进行通信，获取访问结果。而代理效劳器那么是介于客户端和互联网之间。21.1代理效劳器简介21.2代理效劳器的安装Squid是一款非常优秀的代理效劳器软件，由美国国家网络应用研究室开发，能支持包括AIX、Digital、UNIX、FreeBSD、HP-UX、Irix、Linux、SCO、Solaris和OS/2在内的多种操作系统平台。Squid提供了强大的代理缓存功能，可以加快内网用户浏览Internet的速度。除了HTTP协议外，Squid还支持多种其他的协议，包括FTP、gopher、SSL和WAIS等。21.2.1如何获得Squid安装包RedhatLinuxAS5.2自带了版本的Squid。用户只要在安装操作系统的时候把该软件选上，Linux安装程序将会自动完成Squid的安装工作。如果在安装操作系统时没有安装Squid，也可以通过安装光盘中的RPM软件包进行安装。RPM安装包的文件名如下：21.2.1如何获得Squid安装包21.2.2安装Squid下载完成后，接下来将以版本的Squid源代码安装包为例，讲解Squid在RedHatEnterpriseLinux5.2上的安装步骤。21.2.3启动和关闭Squid经过上面的安装和配置后，就可以运行Squid了。Squid的启动和关闭主要通过/usr/local/squid/sbin/squid命令来完成，该命令的格式如下所示。squid[-cdhvzCDFNRVYX][-s|-lfacility][-fconfig-file][-[au]port][-ksignal]下面是Squid命令的一些常见用法。1．启动Squid2．查看Squid进程的状态3．查看Squid的版本和编译选项4．关闭Squid21.2.4Squid效劳开机自动运行RedHatEnterpriseLinux5.2支持程序效劳的开机自动运行，通过编写Squid效劳的启动关闭脚本，并在系统中进行必要的配置，可以实现Squid效劳的开机自动启动。21.3Squid的配置Squid的配置修改主要通过更改/usr/local/squid/etc/squid.conf文件来完成，本节对squid.conf文件中的各选项进行说明，并介绍如何通过Squid提供的命令检查该文件的配置是否正确，以及在无需重启效劳的情况下使更改后的配置生效。21.3.1squid.conf配置文件Squid安装完成后会自动在/usr/local/squid/etc目录下创立一个名为squid.conf的配置文件，在该配置文件中保存了Squid的所有配置信息，用户可以通过修改该文件来满足不同的需求。默认创立的squid.conf文件的内容有4000多行，其中绝大局部都是各种注释。为了方便阅读和编辑，一般会把该文件的内容清空再进行编辑。21.3.2与配置文件相关的命令Squid命令除了用于管理Squid的启动和关闭以外，还可以检查squid.conf文件的格式是否正确，以及使配置更改后无需重启进程而立刻生效。1．检查文件格式2．使更改生效21.3.3设置Squid使用中文错误提示信息Squid安装后默认的错误提示信息是英文，英文页面对于中国的用户来说可能比较容易造成困惑，而且也不太友好。21.3.4配置透明代理一般情况下，用户要使用代理上网，需要在浏览器中配置相应的代理效劳器。如果使用透明代理，用户只要把自己计算机的默认网关设置为代理效劳器的IP地址即可，用户的感觉跟直接上网一样，但实际上它是通过代理效劳器来浏览Internet的网页。要在Squid中配置透明代理，需要经过以下配置步骤。1．修改squid.conf配置文件2．配置iptables21.4Squid平安作为一款成熟的代理效劳器软件，Squid提供了强大的访问控制功能，通过acl和_access选项可以定义各种的访问控制列表和规那么，有效地控制用户对效劳器的访问。Squid还可以启用身份认证功能，用户只有在输入正确的用户名和口令后才能使用代理进行上网。21.4.1访问控制列表访问控制列表是满足一定条件的主机、端口、协议等对象的集合，通过acl选项进行定义，是Squid访问控制的根底，在其他选项中被引用来授予或拒绝相关对象的访问。acl选项的格式如下所示。acl列表名称列表类型-i列表值21.4.2使用_access选项控制HTTP请求_access选项用于允许或拒绝某个访问控制列表的HTTP请求。对于客户端发来的HTTP请求，Squid效劳器首选会检查squid.conf文件中所定义的_access选项，根据_access所定义的规那么决定是允许还是拒绝该HTTP请求。该选项的格式如下所示。_accessallow|deny[!]aclname...1．禁止某个IP地址通过代理上网2．允许某个网段通过代理上网3．禁止对某个效劳器的访问4．为不同客户端分配不同的访问时段5．网站屏蔽6．限制客户端的连接数21.4.3身份认证为了限制非法用户通过代理效劳器访问Internet，可以在Squid中启用身份认证功能，在用户通过代理浏览网页时要求输入用户名和口令进行验证。具体配置步骤如下所示。1．修改squid.conf文件2．创立账户文件3．使配置生效并测试21.4.3身份认证21.5Squid日志管理Squid拥有完善的日志系统，其中主要的日志包括access_log、cache.log以及store.log这3个，它们的默认保存位置均为/usr/local/squid/var/logs/。接下来将分别对这3个日志文件的使用方法并对日志内容进行分析。1．access_log日志2．cache.log日志3．store.log日志21.6使用Web方式管理Squid要Squid本身提供一个名为cachemgr.cgi的cgi程序，它默认存放于/usr/local/squid/libexec/目录下。使用该文件，用户可以通过Web方式对Squid进行管理。21.7客户端配置代理效劳器的客户端配置比较简单，用户在浏览器中设置好代理效劳器的地址和端口即可。本节分别以Linux下的MozillaFirefox和Windows下的InternetExplore为例，介绍Squid客户端配置的相关步骤。21.7.1Linux客户端的配置Linux客户端需要在浏览器中设置使用的代理效劳器地址。21.7.2Windows客户端配置Windows客户端同样需要在浏览器中配置代理效劳器地址，接下来以InternetExplorer〔IE〕浏览器为例，介绍Windows上的代理客户端配置步骤。21.8Squid常见问题处理本节介绍在RedHatEnterpriseLinux5.2上安装及配置Squid时常见的一些问题以及解决方法，包括如何解决创立cache目录时出现的“Permissiondenied〞错误，启动Squid时出现“Addressalreadyinuse〞以及“DNSnamelookuptestsfailed〞错误等。21.8.1创立cache目录时出现权限缺乏的错误由于目录或文件权限设置不恰当，会导致Squid出现各种各样的错误。例如在安装Squid后执行squid-z命令创立cache目录，出现如下错误。#./squid-z2021/12/0116:35:01|CreatingSwapDirectories2021/12/0116:35:01|/usr/local/squid/var/cacheexistsFATAL:Failedtomakeswapdirectory/usr/local/squid/var/cache/00:(13)Permissiondenied21.8.2启动Squid时提示地址已被占用的错误如果已经有其他进程占用Squid的监听端口〔默认为3128〕，或者Squid已经启动，那么启动Squid时将会出现如下错误提示。#./squid-CNDd12021/12/0117:11:47|StartingSquidCacheversion3.0.STABLE9fori686-pc-linux-gnu...2021/12/0117:11:47|ProcessID52892021/12/0117:11:47|With1024filedescriptorsavailable2021/12/0117:11:47|DNSSocketcreatedat,port1038,FD4省略局部输出2021/12/0117:11:48|commBind:CannotbindsocketFD11to*:3128:(98)Addressalreadyinuse