Конфигурирование Squid

http_port 192.168.0.1:8080

Управление доступом

• src: Источник, т.е. IP-адрес клиента
• dst: Приемник, т.е. IP-адрес сервера
• srcdomain: Источник, т.е. доменное имя клиента
• dstdomain: Приемник, т.е. доменное имя сервера
• time: Время дня и день недели
• url_regex: Регулярное выражение для проверки соответсвия URL
• urlpath_regex: Регулярное выражение для проверки соответвия URL-пути вместе с названием протокола и именем хоста
• proxy_auth: Проверка подлинности пользователя при помощи внешнего процесса
• maxconn: Максимальное количество соединений на один клиентский IP-адрес;

acl   acl_element_name   type_of_acl_element values_to_acl

1. acl_element_name может быть любыи именем, назначенным пользователем ACL элементу.
2. Два ACL не могут иметь одинаковоем имя;
3. Любой ACL состоит из списка значений. При проверке на соотвествие нескольким значениям используется ИЛИ-логика. Другими словами, ACL элемент соответствует, когда найдено соответствие хотя бы для одного из значений.
4. Не все ACL-эементы могут использоваться с списками доступа всех типов.
5. Различные ACL элементы, расположенные на разных строках, группируются Squid'ом в единый список;

• http_access: Позволяет HTTP-клиентам осуществлять доступ на HTTP-порт. Это основной список управления доступом.
• no_cache: Определяет кэширование ответов на запросы.

1. Правила проверяются в том порядке, в котором они записаны; проверка прерывается, как только найдено соответствие одному из правил;
2. Список доступа может состоять из нескольких правил;
3. Если не было найдено соответствие ни одному из правил, то выполняется действие по умолчанию, противоположное последнему правилу в списке. Действие по умолчанию лучше указывать явно.
4. Над всеми элементами в списке доступа выполняется операция И (AND), а несколько выражений http_acess объединяются операцией ИЛИ (OR). Выполнение происходит следующим образом:

   http_access Action statement1 AND statement2 AND statement OR
   http_access Action statement3

5. Запомните, что правила всегда читаются снизу вверх.

Опять конфигурирование

acl mynetwork 192.168.0.1/255.255.255.0
http_access allow mynetwork

service squid start

1. service squid restart или
2. /etc/rc.d/init.d/squid restart 

Конфигурация клиентской машины

1. Зайти в Tools -> Internet Options
2. Выбрать раздел Connection и в нем щелкнуть на LAN Setting
3. Ввести IP-адрес прокси-сервера и порт, который обслуживает клиентские запросы (адрес http_port).

1. Зайти в Edit -> Preference -> Advanced -> Proxies;
2. Выбрать Manual Proxy Configuration;
3. Щелкнуть по кнопке View;
4. Ввести IP-адрес прокси-сервера и адрес порта, на котором обслуживаются запросы клиентов (адрес http_port). 

Управление доступом

1. Разрешить доступ к Интернет выбранным машинам
   

   acl allowed_clients src 192.168.0.10 192.168.0.20 192.168.0.30
   http_access allow allowed_clients
   http_access deny !allowed_clients

   Здесь разрешен доступ к Интернет машинам с IP-адресами 192.168.0.10, 192.168.0.20 и 192.168.0.30, а всем остальным (в списке их нет) -- запрещен.
2. Ограничить доступ определенным временем:

   acl allowed_clients src 192.168.0.1/255.255.255.0
   acl regular_days time MTWHF 10:00-16:00
   http_access allow allowed_clients regular_days
   http_access deny allowed_clients

   Здесь доступ предоставляется всем машинам сети 192.168.0.1 в течение времени с понедельника по пятницу с 10:00 утра до 4:00 дня.
3. Доступ в разное время для разных клиентов
   

   acl host1 src192.168.0.10
   acl host2 src 192.168.0.20
   acl host3 src 192.168.0.30
   acl morning time 10:00-13:00
   acl lunch time 13:30-14:30
   acl evening time 15:00-18:00
   http_access allow host1 morning
   http_access allow host1 evening
   http_access allow host2 lunch
   http_access allow host3 evening
   http_access deny all

   Вышеприведенные правила разрешают доступ компьютеру host1 утром (с 10:00 до 13:00) и вечером (с 15:00 до 18:00), а компьютерам host2 и host3 после обеда (с 13:30 до 14:30) и вечером соответственно (с 15:00 до 18:00).
   Замечание:
   Все элементы записи доступа объединяются операцией И (AND) и выполняются следующим образом

   http_access Action statement1 AND statement2 AND statement OR.

   множественные объявления http_access объедяинются операцией ИЛИ (OR), а элементы доступа в них объединяются операцией И. В связи с этим строка

   http_access allow host1 morning evening

   никогда не сработает, поскольку выражений morning AND evening никогда не будет истинным (утро И вечер никогда не пересекуться), и, следовательно, никаких действий не будет.
4. Блокирование сайтов
   Squid может предотвратить доступ к определенным сайтам или сайтам, адрес которых содержит определенное слово. Это может быть реализовано следующим образом:

   acl allowed_clients src 192.168.0.1/255.255.255.0
   acl banned_sites url_regex abc.com *()(*.com
   http_access deny banned_sites
   http_access allow allowed_clients
   

   Аналогичным образом можно запретить доступ к сайтам, адрес которых содержит определенное слов, например dummy и fake

   acl allowed_clients src 192.168.0.1/255.255.255.0
   acl banned_sites url_regex dummy fake
   http_access deny banned_sites
   http_access allow allowed_machines

   acl allowed_clients src 192.168.0.1/255.255.255.0
   acl banned_sites url_regex "/etc/banned.list"
   http_access deny banned_sites
   http_access allow allowed_clients

5. Оптимизация
   Squid может ограничивать максимальное количество соединений при помощи элемента maxconn. Для использования этой возможности, должна быть включена поддержка client_db.

   acl mynetwork 192.168.0.1/255.255.255.0
   acl numconn maxconn 5
   http_access deny mynetwork numconn

   Замечание: ACL maxconn использует сравнение "меньше-чем". ACL срабатывает, если количество соединений больше заданного значения. Поэтому maxconn и не указывается в списке http_access.
6. Кэширование
   Ответы на запросы кэшируются и это хорошо для статических страниц. Нет никакого смысла кэшировать cgi-страницы или сервлеты. Это можно предотвратить использованием ACL-элемента no_cache.

   acl cache_prevent1 url_regex cgi-bin /?
   acl cache_prevent2 url_regex Servlet
   no_cache deny cache_prevent1
   no_cache deny cache_prevent2

7. Создание собственных сообщений об ошибках
   Вы можете создать свои собственные сообщения об ошибках доступа при помощи опции deny_info. Все сообщения об ошибках Squid по умолчанию хранятся в каталоге /etc/squid/errors. Каталог с файлами сообщений об ошибках может быть изменен при помощи error_directory. Можно даже изменить сами сообщения.

   acl allowed_clients src 192.168.0.1/255.255.255.0
   acl banned_sites url_regex abc.com *()(*.com
   http_access deny banned_sites
   deny_info ERR_BANNED_SITE banned_sites
   http_access allow allowed_clients

   В вышеприведенном примере специальное сообщение отображается как только пользователь пытается получить доступ к сайту, содержащему в названии запрещенное слово. Файл с именем ERR_BANNED_SITE должен находится в вышеприведенном каталоге ошибок. Сообщение об ошибке должно быть в HTML-формате.
   Все рассмотренные примеры, демонстрируют лишь небольшую часть реальных возможностей ACL. Объяснения назначения ACL-элементов и элементов доступа, необходимое для более серьезного их использования можно найти в FAQ на домашней странице Squid. 

Файлы журналов

cache_access_log Для access.log
cache_log Для cache.log
cache_store_log Для store.log (Управление хранением)
pid_filename Файл, хранящий PID Squid'a 

Методы аутентификации

1. LDAP : Использует Linux Lightweight Directory Access Protocol;
2. NCSA : Использует файл пользователей и паролей в стиле NCSA;
3. SMB : Использует SMB сервер, как SAMBA или Windows NT;
4. MSNT : Использует аутентификационный домен Windows NT;
5. PAM : Использует Linux Pluggable Authentication Modules;
6. getpwam : Использует файл паролей Linux.

acl pass proxy_auth REQUIRED
acl mynetwork src 192.168.0.1/255.255.255.0
http_access deny !mynetwork
http_access allow pass
http_access deny all