squid代理服務(wù)的ACL訪問控制、日志分析及反向代理

squid的ACL訪問控制列表

squid提供了強(qiáng)大的代理控制機(jī)制，通過合理的設(shè)置ACL（Access Control List,訪問控制列表）并進(jìn)行限制，可針對源地址、目標(biāo)地址、訪問的URL路徑、訪問的時間等各種控制條件進(jìn)行過濾。

發(fā)展壯大離不開廣大客戶長期以來的信賴與支持，我們將始終秉承“誠信為本、服務(wù)至上”的服務(wù)理念，堅持“二合一”的優(yōu)良服務(wù)模式，真誠服務(wù)每家企業(yè)，認(rèn)真做好每個細(xì)節(jié)，不斷完善自我，成就企業(yè)，實現(xiàn)共贏。行業(yè)涉及成都木屋等，在成都網(wǎng)站建設(shè)公司、成都全網(wǎng)營銷推廣、WAP手機(jī)網(wǎng)站、VI設(shè)計、軟件開發(fā)等項目上具有豐富的設(shè)計經(jīng)驗。

ACL訪問控制通過以下兩個步驟來實現(xiàn)：

①、使用acl配置項定義需要控制的條件；

②、通過http_access配置項對已定義的列表做“允許”或者“拒絕”訪問的控制。

1. 定義訪問控制列表

   格式：acl 列表名稱 列表類型 列表內(nèi)容 ···

常見的訪問控制列表類型

2.設(shè)置訪問權(quán)限

定義好各種訪問控制列表以后，使用http_access配置項來進(jìn)行控制。

格式：http_access allow或deny 列表名···

在設(shè)置訪問權(quán)限時，需要注意兩點(diǎn)：

1. 沒有設(shè)置任何規(guī)則時：squid服務(wù)將拒絕客戶端的請求
2. 有規(guī)則但找不到相匹配的項：squid將采用與最后一條規(guī)則相反的權(quán)限。

演示實驗

因為之前我們做了squid的透明代理的實驗，所以這里就接著那個實驗繼續(xù)做，配置好透明代理后，我們可以使用IP為192.168.100.50的client（客戶端）訪問IP為12.0.0.12的web服務(wù)器，那么下面我們就通過設(shè)置acl訪問控制列表使client不能訪問web服務(wù)器

vim /etc/squid.conf

acl localhost src 192.168.100.0/24     #定義訪問控制列表

http_access deny localhost   #對列表做拒絕處理

service squid stop
service squid start      #重啟服務(wù)

squid日志分析

squid的日志分析功能需要借助sarg（Squid Analysis Report Generator）,首先先部署安裝sarg工具

• 安裝相關(guān)的軟件環(huán)境包

yum -y install gcc gcc-c++ gd gd-devel httpd #這里的dg庫是支持圖像處理的軟件

sarg下載地址

• 安裝sarg

mkdir /usr/local/sarg       #為sarg創(chuàng)建安裝目錄

tar zxvf sarg-2.3.11.tar.gz -C /opt/  #將sarg解壓到指定目錄
cd /opt/sarg-2.3.11/    #到sarg目錄中進(jìn)行編譯安裝

./configure --prefix=/usr/local/sarg \    #這里指定安裝目錄
--sysconfdir=/etc/sarg \    #指定配置文件目錄
--enable-extraprotection    #開啟額外保護(hù)功能

配置完后，進(jìn)行編譯和安裝
make && make install

• 修改sarg配置文件

vim /etc/sarg/sarg.conf

access_log /usr/local/squid/var/logs/access.log    #指定訪問日志文件（開啟）
title "Squid User Access Reports"      #網(wǎng)頁標(biāo)題（開啟）
output_dir /var/www/html/squid-reports    #報告輸出目錄（開啟）
user_ip no          #使用用戶名顯示（開啟)
exclude_hosts /usr/local/sarg/noreport   #不計入排序的站點(diǎn)列表文件（開啟，刪除none，添加路徑）
topuser_sort_field connect reverse   #top排序中有連接次數(shù)、訪問字節(jié)、降序排列升序是normal （開啟，修改BYTES）
user_sort_field connect reverse    #用戶訪問記錄  連接次數(shù)、訪問字節(jié)按降序排序  （開啟，修改BYTES）
overwrite_report no   #同名日志是否覆蓋（開啟)
mail_utility mailq.postfix   #發(fā)送郵件報告命令（開啟，修改mail)
charset UTF-8   #使用字符集 （開啟)
weekdays 0-6   #top排行的星期周期 （開啟)
hours 0-23   #top排行的時間周期（開啟)
www_document_root /var/www/html  #網(wǎng)頁根目錄（開啟)

touch /usr/local/sarg/noreport 創(chuàng)建上述不計入站點(diǎn)文件，添加的域名將不被顯示在排序中

ln -s /usr/local/sarg/bin/sarg /usr/local/bin/
#建立軟鏈接，方便使用命令

systemctl start httpd.service
#因為我們要在網(wǎng)頁里訪問日志，需要我們開啟httpd服務(wù)

• 運(yùn)行sarg

然后使用client登錄網(wǎng)頁管理界面

反向代理

squid反向代理可以加速網(wǎng)站的訪問速度，可將不同的URL請求分發(fā)到后臺不同的web服務(wù)器上，同時互聯(lián)網(wǎng)用戶只能看到反向代理服務(wù)器的地址，加強(qiáng)網(wǎng)站的訪問安全。

squid反向代理加速的原理描述如下:

• Squid反向代理服務(wù)器位于本地Web服務(wù)器和Internet之間，客戶端請求訪問Web服務(wù)器時，DNS將訪問的域名解析為Squid反向代理服務(wù)器的IP地址，客戶端將訪問Squid代理服務(wù)器。

• 如果Squid反向代理服務(wù)器緩存了該請求的資源，則將該請求的資源返回給客戶端，否則反向代理服務(wù)器將向后臺的Web服務(wù)器請求資源，然后將應(yīng)答資源返回給客戶端，同時也將該資源在本地緩存一份，供下一個請求使用。

實驗環(huán)境

• 修改squid代理服務(wù)的配置文件

vim /etc/squid.conf

acl web1 dstdomain www.yun.com
acl web2 dstdomain www.yun.com
#定義兩個個基于域名的控制列表，分別命名為web1，web2
http_access allow web1 web2
#允許以web1，web2為目標(biāo)域名的訪問
http_port 172.16.10.137:80 accel vhost vport
#將端口監(jiān)聽在 172.16.10.137的80端口上,accel 指啟用加速模式，vhost，vport用于轉(zhuǎn)發(fā)請求
cache_peer 172.16.10.29 parent 80 0 no-query originserver round-robin weight=1 name=web1
#cache_peer 指定后端服務(wù)器地址，80 為后端服務(wù)端口，0 為 ICP 端口號（多個 Squid 時用）,originserver 指定資源服務(wù)器，round-robin指使用輪詢方式，weight指的是權(quán)重，自由分配，name 指定一個別名
cache_peer 172.16.10.134 parent 80 0 no-query originserver round-robin weight=1 name=web2
#和上面的一樣

這里記得重新啟動squid服務(wù)

• 修改兩個http服務(wù)的首頁內(nèi)容，方便后面實驗的驗證

• 修改客戶端win7的地址解析使之識別www.yun.com

這樣就實驗成功了，訪問www.yun.com，真實服務(wù)器會使用輪詢的方式，分別輪流訪問兩臺web服務(wù)器。