在此，我們要配置一個只對內部網絡提供代理服務的 Proxy Server 。它將用戶分爲高級用戶和普通用戶兩種，對高級用戶採用網卡物理地址識別的方法，普通用戶則需要輸入用戶名和口令才能正常使用。高級用戶沒有訪問時間和文件類型的限制，而普通用戶只在上班時可以訪問以及一些其它的限制。
安裝
可以從 Squid 站點 http://www.squid-cache.org 獲取Squid軟件包 ，如 Red Hat 提供的 RPM 包 。
RPM 方式安裝很簡單，命令如下：
$ rpm -ivh Squid-2.x.STALBx.i386.rpm
不過筆者認爲，即便是系統中已經默認安裝了 Squid ，也應當先刪掉然後安裝最新的源代碼包。因爲開源軟件會不斷修正問題、提供更新的功能，使用最新版本可以保證最高的性能及安全，而且源代碼方式可以完全定製系統。不過 STABLE 穩定版、 DEVEL 版通常是提供給開發人員測試程序的，假定下載了最新的穩定版 squid-2.5.STABLE2.tar.gz ，用以下命令解開壓縮包：
$ tar xvfz squid-2.5.STABLE.tar.gz
用 bz2 方式壓縮的包可能體積更小，相應的命令是：
$ tar xvfj squid-2.5.STABLE.tar.bz2
然後，進入相應目錄對源代碼進行配置和編譯，命令如下：
$ cd squid-2.5.STABLE2
配置命令 configure 有很多選項，如果不清楚可先用 “-help” 查看。通常情況下，用到的選項有以下幾個：
--prefix=/web/squid
# 指定 Squid 的安裝位置，如果只指定這一選項，那麼該目錄下會有 bin 、 sbin 、 man 、 conf 等目錄，而主要的配置文件此時在 conf 子目錄中。爲便於管理，最好用參數 --sysconfdir=/etc 把這個文件位置配置爲 /etc 。
--with-default-user=squid
# 允許 squid 這個系統遠行，默認爲 nobody 帳戶
--enable-storeio=ufs,null
# 使用的文件系統通常是默認的 ufs ，不過如果想要做一個不緩存任何文件的代理服
務器，就需要加上 null 文件系統。
--enable-arp-acl
# 這樣可以在規則設置中直接通過客戶端的 MAC 地址進行管理，防止客戶使用 IP 欺騙。
--enable-err-languages="Simplify_Chinese" // 不加此項，默認會安裝全部語言。
--enable-default-err-languages="Simplify_Chinese"
# 上面兩個選項告訴 Squid 編入並使用簡體中文錯誤信息。
--enable-linux-netfilter
# 允許使用 Linux 的透明代理功能。
--enable-underscores
# 允許解析的 URL 中出現下劃線，因爲默認情況下 Squid 會認爲帶下劃線的 URL 是
非法的，並拒絕訪問該地址。 該參數在 Squid2.5 及早期版本中有效，之後版本需要在 squid.conf 文件中設置 allow_underscore on
整個配置編譯過程如下：
./configure --prefix=/var/squid
--sysconfdir=/etc
--enable-arp-acl
--enable-linux-netfilter
--enable-pthreads
--enable-err-language="Simplify_Chinese"
--enable-storeio=ufs,null
--enable-default-err-language="Simplify_Chinese"
--enable-auth="basic"
--enable-baisc-auth-helpers="NCSA"
--enable-underscores //squid 2.5 及之前版本有效，之後版本在 squid.conf 中配製 allow_underscore on
其中一些選項有特殊作用，將在下面介紹它們。
最後執行 make 和 make install 兩條命令，將源代碼編譯爲可執行文件，並拷貝到指定位置。
啓動： /var/squid/sbin/squid –s
關閉： /var/squid/sbin/squid –k shutdown
如果改動了 squid.conf 文件使之生效則： /var/squid/sbin/squid –k reconfigure
如果要開機運行：在 /etc/rc.local 中添加 /var/squid/sbin/squid –s
注意： /var/squid/var/cache 和 /var/squid/var/logs 目錄的權限，必須爲可寫才行。
如果啓動不成功，可查看 logs 目錄下面的 cache.log 日誌文件，裏面記錄有啓動不成功的原因。
基本配置
安裝完成後，接下來要對 Squid 的運行進行配置（不是前面安裝時的配置）。所有項目都在 squid.conf 中完成。 Squid 自帶的 squid.conf 包括非常詳盡的說明，相當於一篇用戶手冊，對配置有任何疑問都可以參照解決。
在這個例子中，代理服務器同時也是網關，內部網絡接口 eth0 的 IP 地址爲 192.168.0.1 ，外部網絡接口 eth1 的 IP 地址爲 202.103.x.x 。下面是一個基本的代理所需要配置選項：
http_port 192.168.0.1:3128
默認端口是 3128 ，當然也可以是任何其它端口，只要不與其它服務發生衝突即可。爲了安全起見，在前面加上 IP 地址， Squid 就不會監聽外部的網絡接口。
下面的配置選項是服務器管理者的電子郵件，當錯誤發生時，該地址會顯示在錯誤頁面上，便於用戶聯繫：
cache_mgr [email protected]
以下這些參數告訴 Squid 緩存的文件系統、位置和緩存策略：
cache_dir ufs /var/squid
cache_mem 32MB
cache_swap_low 90
cache_swap_high 95
在這裏， Squid 會將 /var/squid 目錄作爲保存緩存數據的目錄，每次處理的緩存大小是 32 兆字節，當緩存空間使用達到 95% 時，新的內容將取代舊的而不直接添加到目錄中，直到空間又下降到 90% 才停止這一活動。如果不想 Squid 緩存任何文件，如某些存儲空間有限的專有系統，可以使用 null 文件系統（這樣不需要那些緩存策略）：
cache_dir null /tmp
下面的幾個關於緩存的策略配置中，較主要的是第一行，即用戶的訪問記錄，可以通過分析它來了解所有用戶訪問的詳盡地址：
cache_access_log /var/squid/access.log
cache_log /var/squid/cache.log
cache_store_log /var/squid/store.log
下面這行配置是在較新版本中出現的參數，告訴 Squid 在錯誤頁面中顯示的服務器名稱：
visible_hostname No1.proxy
以下配置告訴 Squid 如何處理用戶，對每個請求的 IP 地址作爲單獨地址處理：
client_mask 255.255.255.255
如果是普通代理服務器，以上的配置已經足夠。但是很多 Squid 都被用來做透明代理。所謂透明代理，就是客戶端不知道有代理服務器的存在，當然也不需要進行任何與代理有關的設置，從而大大方便了系統管理員。相關的選項有以下幾個：
Httpd_accel_host test.com.cn // 後臺服務器的主機域名
httpd_accel_port 80 // 做反向代理時 squid 後臺 Web 服務器的端口號
httpd_accel_with_proxy on // 此處設置開反向代理的同時，是否開普通代理服務，否則用 off
在 Linux 上，可以用 iptables/ipchains 直接將對 Web 端口 80 的請求直接轉發到 Squid 端口 3128 ，由 Squid 接手，而用戶瀏覽器仍然認爲它訪問的是對方的 80 端口。例如以下這條命令：
iptables -t nat -A PREROUTING -s 192.168.0.200/32 -p tcp --dport 80 -j REDIRECT 3128
就是將 192.168.0.200 的所有針對 80 端口的訪問重定向到 3128 端口。
所有設置完成後，關鍵且重要的任務是訪問控制。 Squid 支持的管理方式很多，使用起來也非常簡單（這也是有人寧願使用不做任何緩存的 Squid ，也不願意單獨使用 iptables 的原因）。 Squid 可以通過IP 地址、主機名、 MAC 地址、用戶 / 密碼認證等識別用戶，也可以通過域名、域後綴、文件類型、 IP地址、端口、 URL 匹配等控制用戶的訪問，還可以使用時間區間對用戶進行管理，所以訪問控制是 Squid 配置中的重點。 Squid 用 ACL （ Access Control List ，訪問控制列表）對訪問類型進行劃分，用 http_access deny 或 allow 進行控制。根據需求首先定義兩組用戶 advance 和 normal ，還有代表所有未指明的用戶組 all 及不允許上網的 baduser ，配置代碼如下：
acl advance 192.168.0.2-192.168.0.10/32
acl normal src 192.168.0.11-192.168.0.200/32
acl baduser src 192.168.0.100/32
acl baddst dst www.soocol.com
acl all src 0.0.0 .0/0
http_access deny baduser
http_access allow advance
http_access allow normal
可以看出， ACL 的基本格式如下：
acl 列表名稱 控制方式 控制目標
比如 acl all src 0.0.0.0/0 ，其名稱是 all ，控制方式是 src 源 IP 地址，控制目標是 0.0.0.0/0 的 IP 地址，即所有未定義的用戶。出於安全考慮，總是在最後禁止這個列表。
下面這個列表代表高級用戶，包括 IP 地址從 192.168.0.2 到 192.168.0.10 的所有計算機：
acl advance 192.168.0.2-192.168.0.20/32
下面這個 baduser 列表只包含一臺計算機，其 IP 地址是 192.168.0.100 ：
acl baduser 192.168.0.100/32
ACL 寫完後，接下來要對它們分別進行管理，代碼如下：
http_access deny baduser
http_access allow advance
http_access allow normal
上面幾行代碼告訴 Squid 不允許 baduser 組訪問 Internet ，但 advance 、 normal 組允許（此時還沒有指定詳細的權限）。由於 Squid 是按照順序讀取規則，會首先禁止 baduser ，然後允許 normal 。如果將兩條規則順序顛倒，由於 baduser 在 normal 範圍中， Squid 先允許了所有的 normal ，那麼再禁止 baduser 就不會起作用。
特別要注意的是， Squid 將使用 allow-deny-allow-deny…… 這樣的順序套用規則。例如，當一個用戶訪問代理服務器時， Squid 會順序測試 Squid 中定義的所有規則列表，當所有規則都不匹配時， Squid會使用與最後一條相反的規則。就像上面這個例子，假設有一個用戶的 IP 地址是 192.168.0.201 ，他試圖通過這臺代理服務器訪問 Internet ，會發生什麼情況呢？我們會發現，他能夠正常訪問，因爲 Squid 找遍所有訪問列表也沒有和 192.168.0.201 有關的定義，便開始應用規則，而最後一條是 deny ，那麼 Squid默認的下一條處理規則是 allow ，所以 192.168.0.201 反而能夠訪問 Internet 了，這顯然不是我們希望的。所以在所有 squid.conf 中，最後一條規則永遠是 http_access deny all ，而 all 就是前面定義的 “src 0.0.0.0” 。
高級控制
前面說過， Squid 的控制功能非常強大，只要理解 Squid 的行爲方式，基本上就能夠滿足所有的控制要求。下面就一步一步來了解 Squid 是如何進行控制管理的。
通過 IP 地址來識別用戶很不可靠，比 IP 地址更好的是網卡的 MAC 物理地址。要在 Squid 中使用MAC 地址識別，必須在編譯時加上 “--enable-arp-acl” 選項，然後可以通過以下的語句來識別用戶：
acl advance arp 00:01:02:1f :2c :3e 00:01:02:3c :1a :8b ...
它直接使用用戶的 MAC 地址，而 MAC 地址一般是不易修改的，即使有普通用戶將自己的 IP 地址改爲高級用戶也無法通過，所以這種方式比 IP 地址可靠得多。
假如不想讓用戶訪問某個網站應該怎麼做呢？可以分爲兩種情況：一種是不允許訪問某個站點的某個主機，比如 ok 的主機是 ok.sina.com.cn ，而其它的新浪資源卻是允許訪問的，那麼 ACL 可以這樣寫：
acl sinapage dstdomain ok.sina.com.cn
... ...
http_access deny ok
... ...
由此可以看到，除了 ok ，其它如 http://www.sina.com.cn 、 news.sina.c...?? 常訪問。
另一種情況是整個網站都不許訪問，那麼只需要寫出這個網站共有的域名即可，配置如下：
acl qq dstdomain .tcccent.com.cn
注意 tcccent 前面的 “.” ，正是它指出以此域名結尾的所有主機都不可訪問，否則就只有 tcccent.com.cn 這一臺主機不能訪問。
如果想禁止對某個 IP 地址的訪問，如 202.118.2.182 ，可以用 dst 來控制，代碼如下：
acl badaddr dst 202.118.2.182
當然，這個 dst 也可以是域名，由 Squid 查詢 DNS 服務器將其轉換爲 IP 。
還有一種比較廣泛的控制是文件類型。如果不希望普通用戶通過代理服務器下載 MP3 、 AVI 等文件，完全可以對他們進行限制，代碼如下：
acl mmxfile urlpath_regex \.mp3$ \.avi$ \.exe$
http_access deny mmxfile
看到 regex ，很多讀者應該心領神會，因爲這條語句使用了標準的規則表達式（又叫正則表達式）。它將匹配所有以 .mp3 、 .avi 等結尾的 URL 請求，還可以用 -i 參數忽略大小寫，例如以下代碼：
acl mmxfile urlpath_regex -i \.mp3$
這樣，無論是 .mp3 還是 .MP3 都會被拒絕。當然， -i 參數適用於任何可能需要區分大小寫的地方，如前面的域名控制。
如果想讓普通用戶只在上班時間可以上網，而且是每週的工作日，用 Squid 應當如何處理呢？看看下面的 ACL 定義：
acl worktime time MTWHF 8:30-12:00 14:00-18:00
http_access deny !worktime
首先定義允許上網的時間是每週工作日（星期一至星期五）的上午和下午的固定時段，然後用 http_access 定義所有不在這個時間段內的請求都是不允許的。
或者爲了保證高級用戶的帶寬，希望每個用戶的併發連接不能太多，以免影響他人，也可以通過 Squid 控制，代碼如下：
acl conncount maxconn 3
http_access deny conncount normal
http_access allow normal
這樣，普通用戶在某個固定時刻只能同時發起三個連接，從第四個開始，連接將被拒絕。
總之， Squid 的 ACL 配置非常靈活、強大，更多的控制方式可以參考 squid.conf.default 。
認證
用戶 / 密碼認證爲 Squid 管理提供了更多便利，最常用的認證方式是 NCSA 。從 Squid 2.5 版本開始， NCSA 認證包含在了 basic 中，而非以前單獨的認證模塊。下面來看看實現認證的具體操作。
首先在編譯時配置選項應包括以下配置：
--enable-auth="basic" --enable-basic-auth-helpers="NCSA"
“make install” 以後，需要將 “helpers/basic_auth/NCSA/ncsa_auth” 拷貝到用戶可執行目錄中，如 /usr/bin （如果在該目錄中找不到這個執行文件，在編譯時請使用 make all 而不是 make ，或者直接在該目錄中執行 make ），然後需要藉助 Apache 的密碼管理程序 htpasswd 來生成用戶名 / 密碼對應的文件，就像下面這行代碼：
htpasswd -c /var/squid/etc/password guest
在輸入兩遍 guest 用戶的密碼後，一個 guest 用戶就生成了。如果以後需要添加用戶，把上面的命令去掉 -c 參數再運行即可。
Squid 2.5 在認證處理上有了較大的改變，這裏就只討論 2.5 版本的處理方法， 2.4 及以下版本請參考 squid.conf.default 。在 2.5 版的 squid.conf 中，包括以下幾個相關選項：
# 該選項指出了認證方式（ basic) 、需要的程序（ ncsa_auth ）和
對應的密碼文件（ password ）
auth_param basic program /usr/bin/ncsa_auth /var/squid/etc/password
# 指定認證程序的進程數
auth_param basic children 5
# 瀏覽器顯示輸入用戶 / 密碼對話框時的領域內容
auth_param basic realm My Proxy Caching Domain
# 基本的認證有效時間
auth_param basic credentialsttl 2 hours
# 普通用戶需要通過認證才能訪問 Internet
acl normal proxy_auth REQUIRED
http_access allow normal
通過以上的配置即可完成認證工作。有的讀者可能要問：認證只針對普通用戶，而高級用戶是直接上網的，該怎麼處理呢？其實，這兩種用戶是可以共存的。如前所述， Squid 是順序處理 http_access 的，所以在 http_access 處理過程中，如果先處理 normal 用戶，那麼當前用戶無論是否屬於高級用戶，都會被要求進行認證；相反如果先處理高級用戶，剩下的就只有需要認證的普通用戶了。例如以下配置代碼：
...
http_access allow normal ( 需要認證 )
http_access allow advance （不需要認證）
...
不管是否爲 noauth 用戶，都要求進行用戶名 / 密碼驗證。正確的方法是將二者位置交換，代碼如下：
...
http_access allow advance
http_access allow normal
...
這時，高級用戶不會受到任何影響。
總結
下面把整個 squid.conf 總結一下：
# 服務器配置
http_port 192.168.0.1:3128
cache_mgr [email protected]
cache_dir null /tmp
cache_access_log /var/squid/access.log
cache_log /var/squid/cache.log
cache_store_log /var/squid/store.log
visible_hostname No1.proxy
client_mask 255.255.255.255
httpd_accel_host virtual
httpd_accel_port 80
httpd_accel_with_proxy on
httpd_accel_user_host_header on
# 用戶分類
acl advance arp 00:01:02:1f :2c :3e 00:01:02:3c :1a :8b ...
acl normal proxy_auth REQUIED
acl all src 0.0.0.0
# 行爲分類
acl mmxfile urlpath_regex \.mp3$ \.avi$ \.exe$
acl conncount maxconn 3
acl worktime time MTWHF 8:30-12:00 14:00-18:00
acl sinapage dstdomain ok.sina.com.cn
acl qq dstdomain .tcccent.com.cn
# 處理
http_access allow advance
http_access deny conncount normal
http_access deny !worktime
http_access deny mmxfile
http_access deny sinapage
http_access deny qq
http_access allow normal
配置後的狀況是， advance 組可以不受任何限制地訪問 Internet ，而 normal 組則只能在工作時間上網，而且不能下載多媒體文件，不能訪問某些特定的站點，而且發送請求不能超過 3 個。
通過本文的介紹，它可以瞭解 Squid 的基本能力。當然，它的能力遠不止此，可以建立強大的代理服務器陣列，可以幫助本地的 Web 服務器提高性能，可以提高本地網絡的安全性等。要想發揮它的功效，還需要進一步控制。
-----------------------------------------------------------------------------------------------------------------
其它常用命令：
解壓，編譯， make ， make install 就不說了。
從 make install 後開始。
當你的 squid.conf 配置文檔按照你的想法修改完以後，啓動 squid 之旅就開始了。
1 ，初始化你在 squid.conf 裏配置的 cache 目錄
#squid/sbin/squid -z
如果有錯誤提示，請檢查你的 cache 目錄的權限。
2 ，對你的 squid.conf 排錯，即驗證 squid.conf 的 語法和配置。
#squid/sbin/squid -k parse
如果 squid.conf 有語法或配置錯誤，這裏會返回提示你，如果沒有返回，恭喜，可以嘗試啓動squid 。
3 ，在前臺啓動 squid ，並輸出啓動過程。
#squid/sbin/squid -N -d1
如果有到 ready to server reques ，恭喜，啓動成功。
然後 ctrl + c ，停止 squid ，並以後臺運行的方式啓動它。
4 ，啓動 squid 在後臺運行。
#squid/sbin/squid -s
這時候可以 ps -A 來查看系統進程，可以看到倆個 squid 進程。
5 ，停止 squid
#squid/sbin/squid -k shutdown
這個不用解釋吧。
6 ，重引導修改過的 squid.conf
#squid/sbin/squid -k reconfigure
這個估計用的時候比較多，當你發現你的配置有不盡你意的時候，可以隨時修改 squid.conf ，然後別忘記對你的 squid.conf 排錯，然後再執行此指令，即可讓 squid 重新按照你的 squid.conf 來運行。
7 ，把 squid 添加到系統啓動項
編輯 /etc/rc.d/rc.local
添加如下行： /usr/local/squid/sbin/squid -s
當然，並不是每個人都喜歡這種啓動方式，你可以用你最習慣的方式；或者把它安裝爲服務。
再來點其他的。
1 ，修改 cache 緩存目錄的權限。
#chown -R squid:squid /home/cache
我的 cache 緩存目錄是 /home/cache,squid 執行用戶和用戶組是 squid ， squid 。
2 ，修改 squid 日誌目錄的權限
#chown -R squid:squid /usr/local/squid/var/logs
這一步並不是適合每一個使用 squid 的用戶 . 意爲讓 squid 有權限在該目錄進行寫操作 。
例如生成 access.log cache.log store.log
3 ，查看你的日誌文檔。
#more /usr/local/squid/var/logs/access.log | grep TCP_MEM_HIT
該指令可以看到在 squid 運行過程中，有那些文件被 squid 緩存到內存中，並返回給訪問用戶。
#more /usr/local/squid/var/logs/access.log | grep TCP_HIT
該指令可以看到在 squid 運行過程中，有那些文件被 squid 緩存到 cache 目錄中，並返回給訪問用戶。
#more /usr/local/squid/var/logs/access.log | grep TCP_MISS
該指令可以看到在 squid 運行過程中，有那些文件沒有被 squid 緩存，而是現重原始服務器獲取並返回給訪問用戶。
關於 TCP_XXXX 等參數及代表的信息，請參看《 squid 中文權威指南》 13.2.1 章節。
當然，本例中的藍色文字是可以修改爲其他的參數，例如你的域名 www.xxxx.com ，同樣可以看到 access.log 裏關於該域名的行。
-----------------------------------------------------------------------------------
配製案例: squid+Iptables 配製 web 反向代理
1、 軟件 : squid-2.5.tar.gz
2、 解壓縮、編譯
./configure --prefix=/home/squid
--sysconfdir=/etc
--enable-large-cache-files
--with-large-files // 支持大文件，日誌文件等
--with-pthreads
--enable-underscores
--enable-linux-netfilter
--enable-storeio=ufs,null
--enable-err-language="Simplify_Chinese"
--enable-default-err-language="Simplify_Chinese"
--enable-auth="basic"
--enable-baisc-auth-helpers="NCSA"
編譯安裝： make;make install
3 、本實驗 iptables 和 squid 在同一服務器上， iptables 把訪問反向代理服務器的 80 端口的數據包轉發給 squid 的 8080 端口來處理。
4 、修改 /etc/hosts 文件，讓域名解析出內部真實服務器的 IP 地址
5 、 squid.conf 配製文件
#proxy name
visible_hostname HighSpeedProxy
#chache_memory
cache_mem 700 MB
cache_swap_low 90
cache_swap_high 95
#cache_dir
cache_dir ufs /home/squidcache 10000 16 256
#cache_logs
cache_access_log /home/squidlogs/access.log
cache_log /home/squidlogs/cache.log
cache_store_log /home/squidlogs/store.log
#cache_manager
cache_mgr [email protected]
#cache runner
cache_effective_user squid
#squid proxy port 8080
http_port 8080
#use reverse proxy not normal
httpd_accel_with_proxy off
#squid background webserver port 80
httpd_accel_port 80
httpd_accel_uses_host_header on
#webserver domainname
httpd_accel_host virtual
httpd_accel_host www.brenda.edu.cn
httpd_accel_host brenda.edu.cn
httpd_accel_host ao.brenda.edu.cn
#squid ACL rules 允許所有客戶端訪問網站
acl all src 0.0.0.0/0.0.0.0
acl clearcache method PURGE
http_access allow clearcache // 允許使用 squidclient 刷新緩存
http_access allow all
6 、 iptables 配製
iptables -t nat -A PREROUTING -p tcp – d 反向代理服務器的 IP 地址 --dport 80 -j REDIRECT --to-port squid 代理服務器端口號
7 、如果真實服務器上有圖片修改，那麼就需要刷新反向代理上的緩存。腳本如下：
建立一個文件如 clear_squid_cache.sh , 粘貼進去即可。
#!/bin/sh
squidcache_path="/data1/squid/var/cache"
squidclient_path="/usr/local/squid/bin/squidclient"
grep -a -r $1 $squidcache_path/* | strings | grep "http:" | awk -F'http:' '{print "http:"$2;}' > cache_list.txt
for url in `cat cache_list.txt`; do
$squidclient_path -m PURGE -p 8080 $url
done
注意： 請賦予 clear_squid_cache.sh 可執行權限（命令 chmod +x clear_squid_cache.sh ）。 請確 保腳本所在目錄可寫。
設置：
squidcache_path= 表示 squid 緩存目錄的路徑
squidclient_path= 表示 squidclient 程序所在的路徑，默認爲 squid 安裝目錄下的 bin/squidclient
用法：
1 、清除所有 Flash 緩存（擴展名 .swf ）：
./clear_squid_cache.sh swf
2 、清除 URL 中包含 sina.com.cn 的所有緩存：
./clear_squid_cache.sh sina.com.cn
3 、清除文件名爲 zhangyan.jpg 的所有緩存：
./clear_squid_cache.sh zhangyan.jpg