码迷,mamicode.com
首页 > 其他好文 > 详细

Squid缓存服务器之ACL访问控制与反向代理

时间:2018-08-05 18:35:21      阅读:139      评论:0      收藏:0      [点我收藏+]

标签:安全   log   conf   地址解析   access   添加   命名   依次   主机   

Squid缓存服务器之ACL访问控制与反向代理

1、ACL访问控制

  • Squid提供了强大的代理控制机制和,通过合理设置ACL并进行限制。可以针对原地址、目标地址、访问的URL路径、访问的时间等各种条件进行过滤。
  • 在配置文件squid.conf中ACL访问控制通过以下两个步骤来实现:其一,使用acl配置项定义需要控制的条件;其二,通过http_access配置项对已定义的列表做“允许”或者“拒绝”访问的控制。

1)、定义访问控制列表

  • 每一行acl配置可以定义一条访问控制列表,格式如下:
acl 列表名称 列表类型 列表内容···
  • 其中,“列表名称”有管理员自行指定,用来识别控制条件;“列表类型”必须使用Squid预定义的值,对应不同类型的控制条件;“列表内容”是要控制的具体对象,不同类型的列表所对应的内容也不一样,可以有多个值(以空格分割,都为“或”的关系)。
  • 常用的访问控制列表类型:
列表类型 列表内容示例 含义/用途
src 192.168.1.168;192.168.1.0/24;192.168.1.0-192.168.3.0/24 源IP地址、网段、IP地址范围
dst 216.163.137.3;61.135.167.167/24;www.baidu.com 目标IP地址、网段、主机名
port 80;443;8080;20;21 目标端口
dstdomain .qq.com 目标域,匹配域内所有站点
time MTWHF 8:30-17:30;12:00-13:00;AS 使用代理服务器的时间段;字母表示一星期中个天的缩写;M-Monday、T-Tuesday、W-Wednesday、H-Thursday、F-Friday、A-Saturday、S-Sunday
maxconn 20 每个客户机的并发连接数
url_regex url_regex -i ^rtsp://;url_regex -i ^emule:// 目标资源的URL地址,-i表示忽略大小写
urlpath_regex urlpath_regex -i sex sdult;urlpath_regex -i .mp3$ 目标资源的额、整个URL路径,-i表示忽略大小写

2)、设置访问权限

  • 定义好好、各种访问控制列表以后,需要使用http_access配置项来进行控制。需要注意的是,http_accss配置行必须放在对应的acl设置行之后。每一行http_access配置确定一条访问控制规则,格式如下:
http_access alow或deny 列表名···
  • 在每一条http_access规则中,可以同时包含多个访问控制列表名,每个列表之间以空格分隔,与“与”的关系,表示必须满足所有访问控制列表对应的条件才会进行限制。需要使用取反条件是,可以在访问控制列表前添加“!”符号。
  • 访问控制时,Squid将按照各条规则的顺序依次进行检查,如果找到一条项匹配的规则就不再向后搜索。因此规则顺序安排是非常重要的,以下两种默认情况需要我们注意。
(1)、没有设置任何规则时;Squid服务将拒绝客户端的请求
(2)、有规则但找不到相匹配的项:Squid将采用与最后一条规则相反的权限,即如果最后一条规则时allow,就拒绝客户端的请求,否则允许该请求。

3)、 验证访问控制效果

  • 在Squid代理服务器上设置是内网客户机192.168.100.101访问不到外网Web服务器192.168.190.128;

技术分享图片技术分享图片技术分享图片

2、反向代理

  • squid反向代理可以加速网站的访问速度,可将不同的URL请求分发到后台不同的web服务器上,同时互联网用户只能看到反向代理服务器的地址,加强网站的访问安全。

  • squid反向代理加速的原理描述如下:

  • (1)、Squid反向代理服务器位于本地Web服务器和Internet之间,客户端请求访问Web服务器时,DNS将访问的域名解析为Squid反向代理服务器的IP地址,客户端将访问Squid代理服务器。

  • (2)、如果Squid反向代理服务器缓存了该请求的资源,则将该请求的资源返回给客户端,否则反向代理服务器将向后台的Web服务器请求资源,然后将应答资源返回给客户端,同时也将该资源在本地缓存一份,供下一个请求使用。

1)、Squid反向代理实验拓补图

技术分享图片

2)、Squid反向代理实验环境

服务器 IP地址 功能
代理服务器 172.16.190.130 squid代理服务
client 172.16.190.132 负责访问
真实服务器1 172.16.190.128 提供http服务
真实服务器2 172.16.10.131 提供http服务

3)、实验步骤

  • (1)、配置squid代理服务器

vim /etc/squid.conf

http_port 192.168.190.130:80 accel vhost vport   # 将端口监听在 172.16.10.137的80端口上,accel 指启用加速模式,vhost,vport用于转发请求
cache_peer 192.168.190.128 parent 80 0 no-query originserver round-robin max_conn=30 weight=1 name=web1      #cache_peer 指定后端服务器地址,80 为后端服务端口,0 为 ICP 端口号(多个 Squid 时用),originserver 指定资源服务器,round-robin指使用轮询方式,weight指的是权重,自由分配,name 指定一个别名
cache_peer 192.168.190.131 parent 80 0 no-query originserver round-robin max_conn=30 weight=1 name=web2
cache_peer_domain web1 web2 www.yun.com #定义两个个基于域名的控制列表,分别命名为web1,web2

技术分享图片

  • (2)、开启http服务即可

  • (3)、修改客户端win7的地址解析使之识别www.yun.com

技术分享图片技术分享图片技术分享图片

Squid缓存服务器之ACL访问控制与反向代理

标签:安全   log   conf   地址解析   access   添加   命名   依次   主机   

原文地址:http://blog.51cto.com/13659182/2154962

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!