高級(jí)控制
前面說(shuō)過(guò)，Squid的控制功能非常強(qiáng)大，只要理解Squid的行為方式，基本上就能夠滿足所有的控制要求。下面就一步一步來(lái)了解Squid是如何進(jìn)行控制管理的。
通過(guò)IP地址來(lái)識(shí)別用戶很不可靠，比IP地址更好的是網(wǎng)卡的MAC物理地址。要在Squid中使用MAC地址識(shí)別，必須在編譯時(shí)加上“--enable-arp-acl”選項(xiàng)，然后可以通過(guò)以下的語(yǔ)句來(lái)識(shí)別用戶：
| |
| acl advance arp 00:01:02:1f:2c:3e 00:01:02:3c:1a:8b ... |
它直接使用用戶的MAC地址，而MAC地址一般是不易修改的，即使有普通用戶將自己的IP地址改為高級(jí)用戶也無(wú)法通過(guò)，所以這種方式比IP地址可靠得多。
假如不想讓用戶訪問(wèn)某個(gè)網(wǎng)站應(yīng)該怎么做呢？可以分為兩種情況：一種是不允許訪問(wèn)某個(gè)站點(diǎn)的某個(gè)主機(jī)，比如sinapage的主機(jī)是sinapage4.sina.com.cn，而其它的新浪資源卻是允許訪問(wèn)的，那么ACL可以這樣寫(xiě)：
|
acl ?sinapage ?dstdomain sinapage4.sina.com.cn
... ...
http_access deny sinapage
... ... |
由此可以看到，除了sinapage4，其它如www.sina.com.cn、news.sina.com.cn都可以正常訪問(wèn)。
另一種情況是整個(gè)網(wǎng)站都不許訪問(wèn)，那么只需要寫(xiě)出這個(gè)網(wǎng)站共有的域名即可，配置如下：
|
| acl qq dstdomain .tencent.com.cn |
注意tencent前面的“.”，正是它指出以此域名結(jié)尾的所有主機(jī)都不可訪問(wèn)，否則就只有tencent.com.cn這一臺(tái)主機(jī)不能訪問(wèn)。
如果想禁止對(duì)某個(gè)IP地址的訪問(wèn)，如202.108.0.182，可以用dst來(lái)控制，代碼如下：
|
| acl badaddr dst 202.108.0.182 |
當(dāng)然，這個(gè)dst也可以是域名，由Squid查詢(xún)DNS服務(wù)器將其轉(zhuǎn)換為IP。
還有一種比較廣泛的控制是文件類(lèi)型。如果不希望普通用戶通過(guò)代理服務(wù)器下載MP3、AVI等文件，完全可以對(duì)他們進(jìn)行限制，代碼如下：
|
acl mmxfile urlpath_regex \.mp3$ \.avi$ \.exe$
http_access deny mmxfile |
看到regex，很多讀者應(yīng)該心領(lǐng)神會(huì)，因?yàn)檫@條語(yǔ)句使用了標(biāo)準(zhǔn)的規(guī)則表達(dá)式（又叫正則表達(dá)式）。它將匹配所有以.mp3、.avi等結(jié)尾的URL請(qǐng)求，還可以用-i參數(shù)忽略大小寫(xiě)，例如以下代碼：
|
| acl mmxfile urlpath_regex -i \.mp3$ |
這樣，無(wú)論是.mp3還是.MP3都會(huì)被拒絕。當(dāng)然，-i參數(shù)適用于任何可能需要區(qū)分大小寫(xiě)的地方，如前面的域名控制。
如果想讓普通用戶只在上班時(shí)間可以上網(wǎng)，而且是每周的工作日，用Squid應(yīng)當(dāng)如何處理呢？看看下面的ACL定義：
|
acl worktime time MTWHF 8:30-12:00 14:00-18:00
http_access deny !worktime |
首先定義允許上網(wǎng)的時(shí)間是每周工作日（星期一至星期五）的上午和下午的固定時(shí)段，然后用http_access 定義所有不在這個(gè)時(shí)間段內(nèi)的請(qǐng)求都是不允許的。
或者為了保證高級(jí)用戶的帶寬，希望每個(gè)用戶的并發(fā)連接不能太多，以免影響他人，也可以通過(guò)Squid控制，代碼如下：
|
acl conncount maxconn 3
http_access deny conncount normal
http_access allow normal |
這樣，普通用戶在某個(gè)固定時(shí)刻只能同時(shí)發(fā)起三個(gè)連接，從第四個(gè)開(kāi)始，連接將被拒絕。
總之，Squid的ACL配置非常靈活、強(qiáng)大，更多的控制方式可以參考squid.conf.default。
認(rèn)證
用戶/密碼認(rèn)證為Squid管理提供了更多便利，最常用的認(rèn)證方式是NCSA。從Squid 2.5版本開(kāi)始，NCSA認(rèn)證包含在了basic中，而非以前單獨(dú)的認(rèn)證模塊。下面來(lái)看看實(shí)現(xiàn)認(rèn)證的具體操作。
首先在編譯時(shí)配置選項(xiàng)應(yīng)包括以下配置：
|
| --enable-auth="basic" --enable-basic-auth-helpers="NCSA" |
“make install”以后，需要將“helpers/basic_auth/NCSA/ncsa_auth”拷貝到用戶可執(zhí)行目錄中，如/usr/bin（如果在該目錄中找不到這個(gè)執(zhí)行文件，在編譯時(shí)請(qǐng)使用make all而不是make，或者直接在該目錄中執(zhí)行make），然后需要借助Apache的密碼管理程序htpasswd來(lái)生成用戶名/密碼對(duì)應(yīng)的文件，就像下面這行代碼：
| |
| htpasswd -c /var/squid/etc/password guest |
在輸入兩遍guest用戶的密碼后，一個(gè)guest用戶就生成了。如果以后需要添加用戶，把上面的命令去掉-c參數(shù)再運(yùn)行即可。
Squid 2.5在認(rèn)證處理上有了較大的改變，這里就只討論2.5版本的處理方法，2.4及以下版本請(qǐng)參考squid.conf.default。在2.5版的squid.conf中，包括以下幾個(gè)相關(guān)選項(xiàng)：
|
#該選項(xiàng)指出了認(rèn)證方式（basic)、需要的程序（ncsa_auth）和對(duì)應(yīng)的密碼文件（password）
auth_param basic program /usr/bin/ncsa_auth /var/squid/etc/password
# 指定認(rèn)證程序的進(jìn)程數(shù)
auth_param basic children 5
# 瀏覽器顯示輸入用戶/密碼對(duì)話框時(shí)的領(lǐng)域內(nèi)容
auth_param basic realm My Proxy Caching Domain
# 基本的認(rèn)證有效時(shí)間
auth_param basic credentialsttl 2 hours
# 普通用戶需要通過(guò)認(rèn)證才能訪問(wèn)Internet
acl normal proxy_auth REQUIRED
http_access allow normal |
通過(guò)以上的配置即可完成認(rèn)證工作。有的讀者可能要問(wèn)：認(rèn)證只針對(duì)普通用戶，而高級(jí)用戶是直接上網(wǎng)的，該怎么處理呢？其實(shí)，這兩種用戶是可以共存的。如前所述，Squid是順序處理http_access的，所以在http_access處理過(guò)程中，如果先處理normal用戶，那么當(dāng)前用戶無(wú)論是否屬于高級(jí)用戶，都會(huì)被要求進(jìn)行認(rèn)證；相反如果先處理高級(jí)用戶，剩下的就只有需要認(rèn)證的普通用戶了。例如以下配置代碼：
|
...
http_access allow normal (需要認(rèn)證)
http_access allow advance （不需要認(rèn)證）
... |
不管是否為noauth用戶，都要求進(jìn)行用戶名/密碼驗(yàn)證。正確的方法是將二者位置交換，代碼如下：
| |
...
http_access allow advance
http_access allow normal
... |
這時(shí)，高級(jí)用戶不會(huì)受到任何影響。
總結(jié)
下面把整個(gè)squid.conf總結(jié)一下：
|
# 服務(wù)器配置
http_port 192.168.0.1:3128
cache_mgr netsnake@963.net
cache_dir null /tmp
cache_access_log /var/squid/access.log
cache_log /var/squid/cache.log
cache_store_log /var/squid/store.log
visible_hostname No1.proxy
client_mask 255.255.255.255
httpd_accel_host virtual
httpd_accel_port 80
httpd_accel_with_proxy on
httpd_accel_user_host_header on
# 用戶分類(lèi)
acl advance arp 00:01:02:1f:2c:3e 00:01:02:3c:1a:8b ...
acl normal proxy_auth REQUIED
acl all src 0.0.0.0
# 行為分類(lèi)
acl mmxfile urlpath_regex \.mp3$ \.avi$ \.exe$
acl conncount maxconn 3
acl worktime time MTWHF 8:30-12:00 14:00-18:00
acl sinapage dstdomain sinapage4.sina.com.cn
acl qq dstdomain .tencent.com.cn
# 處理
http_access allow advance
http_access deny conncount normal
http_access deny !worktime
http_access deny mmxfile
http_access deny sinapage
http_access deny qq
http_access allow normal |
配置后的狀況是，advance組可以不受任何限制地訪問(wèn)Internet，而normal組則只能在工作時(shí)間上網(wǎng)，而且不能下載多媒體文件，不能訪問(wèn)某些特定的站點(diǎn)，而且發(fā)送請(qǐng)求不能超過(guò)3個(gè)。
通過(guò)本文的介紹，它可以了解Squid的基本能力。當(dāng)然，它的能力遠(yuǎn)不止此，可以建立強(qiáng)大的代理服務(wù)器陣列，可以幫助本地的Web服務(wù)器提高性能，可以提高本地網(wǎng)絡(luò)的安全性等。要想發(fā)揮它的功效，還需要進(jìn)一步控制。
出處：
責(zé)任編輯：ImHow
上一頁(yè) 初級(jí)使用 下一頁(yè)
|
第 1 頁(yè) 
第 2 頁(yè) 高級(jí)應(yīng)用
