Linux之代理服务器squid配置与实战场景解析

1. Squid代理服务器基础入门

Squid是一款开源的代理缓存服务器软件，它能够显著提升网络访问速度并节省带宽资源。我第一次接触Squid是在2013年为一个企业内网部署统一上网出口时，当时就被它强大的缓存能力和灵活的配置所吸引。

简单来说，Squid就像是一个"网络中间商"。当客户端请求访问某个网站时，请求会先发送到Squid服务器。如果Squid的缓存中已经有这个网站的内容，它会直接返回给客户端；如果没有，Squid会代表客户端去获取内容，在返回给客户端的同时保留一份副本。下次再有相同请求时，就能快速响应了。

Squid支持多种协议，包括：

• HTTP/HTTPS：最常见的网页浏览协议
• FTP：文件传输协议
• GOPHER：早期互联网协议（现在很少用了）

在实际工作中，我发现Squid特别适合以下场景：

1. 企业内网统一上网出口管理
2. 服务器集群通过单台机器访问外网
3. 加速重复访问的网站内容
4. 作为开发测试环境的外部访问代理

2. 安装与基础配置

2.1 安装Squid服务

在CentOS系统上安装Squid非常简单，一条命令就能搞定：

yum install -y squid

安装完成后，系统会自动创建几个重要目录和文件：

• /etc/squid/squid.conf：主配置文件
• /var/log/squid/：日志目录
• /var/spool/squid/：缓存目录

启动Squid服务的命令是：

systemctl start squid systemctl enable squid # 设置开机自启

2.2 基础网络配置

Squid默认监听3128端口，我们可以通过netstat命令验证：

netstat -tnlp | grep squid

如果系统启用了防火墙，需要放行这个端口：

firewall-cmd --add-port=3128/tcp --permanent firewall-cmd --reload

2.3 配置文件详解

Squid的主配置文件是/etc/squid/squid.conf，里面有很多参数可以调整。新手最容易上手的几个关键参数是：

# 允许访问的客户端IP范围 acl localnet src 192.168.1.0/24 # 监听端口（可以改为其他端口如8080） http_port 3128 # 访问控制规则（允许localnet定义的网络） http_access allow localnet

修改配置后记得重启服务生效：

systemctl restart squid

3. 高级配置实战

3.1 用户认证配置

为了安全考虑，我们通常会给代理加上认证。Squid支持多种认证方式，最常用的是basic认证：

# 安装认证工具 yum install -y httpd-tools # 创建密码文件（首次创建加-c参数） htpasswd -c /etc/squid/passwd proxy_user

然后在配置文件中添加：

auth_param basic program /usr/lib64/squid/basic_ncsa_auth /etc/squid/passwd auth_param basic children 5 auth_param basic realm Squid Proxy auth_param basic credentialsttl 2 hours acl auth_user proxy_auth REQUIRED http_access allow auth_user

3.2 缓存优化配置

Squid的缓存性能可以通过以下参数优化：

# 内存缓存大小（根据服务器内存调整） cache_mem 256 MB # 磁盘缓存目录和大小 cache_dir ufs /var/spool/squid 5000 16 256 # 缓存刷新规则 refresh_pattern . 1440 20% 10080

3.3 访问控制列表

Squid的ACL功能非常强大，可以实现精细化的访问控制：

# 定义工作时间段 acl workhours time MTWHF 09:00-18:00 # 定义禁止访问的网站 acl badsites dstdomain .facebook.com .twitter.com # 应用规则 http_access deny badsites workhours

4. 典型应用场景

4.1 内网服务器统一出口

假设我们有3台服务器：

• 代理服务器（可访问外网，IP：192.168.1.10）
• 应用服务器A（内网，IP：192.168.1.20）
• 应用服务器B（内网，IP：192.168.1.30）

配置步骤：

1. 在代理服务器上安装配置Squid
2. 在内网服务器上设置环境变量：

echo 'export http_proxy=http://192.168.1.10:3128' >> /etc/profile echo 'export https_proxy=http://192.168.1.10:3128' >> /etc/profile source /etc/profile

4.2 Docker容器代理配置

Docker的代理配置比较特殊，需要修改服务配置：

mkdir -p /etc/systemd/system/docker.service.d cat > /etc/systemd/system/docker.service.d/http-proxy.conf <<EOF [Service] Environment="HTTP_PROXY=http://192.168.1.10:3128" Environment="HTTPS_PROXY=http://192.168.1.10:3128" Environment="NO_PROXY=localhost,127.0.0.1,192.168.1.0/24" EOF systemctl daemon-reload systemctl restart docker

4.3 Kubernetes集群代理

对于K8s节点，可以通过以下方式配置代理：

# 配置yum代理 echo "proxy=http://192.168.1.10:3128" >> /etc/yum.conf # 配置kubelet代理 mkdir -p /etc/systemd/system/kubelet.service.d cat > /etc/systemd/system/kubelet.service.d/proxy.conf <<EOF [Service] Environment="HTTP_PROXY=http://192.168.1.10:3128" Environment="HTTPS_PROXY=http://192.168.1.10:3128" EOF systemctl daemon-reload systemctl restart kubelet

5. 监控与排错

5.1 日志分析

Squid的主要日志文件：

• /var/log/squid/access.log：访问日志
• /var/log/squid/cache.log：缓存日志

查看实时日志：

tail -f /var/log/squid/access.log

5.2 性能监控

可以使用squidclient工具查看运行状态：

squidclient mgr:info squidclient mgr:mem

5.3 常见问题解决

问题1：客户端连接被拒绝

• 检查防火墙设置
• 确认Squid服务正常运行
• 检查配置文件中的acl规则

问题2：认证失败

• 确认密码文件路径正确
• 检查文件权限（squid用户需要可读）
• 确认配置中的认证模块路径正确

问题3：缓存不生效

• 检查磁盘空间是否充足
• 确认缓存目录权限正确
• 检查refresh_pattern配置

6. 安全加固建议

1. 定期更新：保持Squid版本最新，修复已知漏洞
2. 最小权限：运行Squid使用专用账户，限制权限
3. 日志审计：定期检查访问日志，发现异常行为
4. 防火墙规则：只允许必要IP访问代理端口
5. 加密传输：考虑配置SSL加密代理连接

一个加固过的配置示例：

# 限制管理接口访问 acl manager proto cache_object acl localhost src 127.0.0.1/32 http_access allow manager localhost http_access deny manager # 防止缓存污染 acl purge method PURGE http_access deny purge # 防止IP欺骗 acl spoof_client src 0.0.0.0/32 http_access deny spoof_client

7. 性能调优技巧

根据多年经验，以下调优方法效果显著：

1. 内存分配：将cache_mem设置为物理内存的1/3左右
2. 缓存分区：使用多个cache_dir分散IO压力
3. DNS优化：配置positive_dns_ttl减少DNS查询
4. 文件描述符：增加Squid的文件描述符限制

调整文件描述符限制的方法：

echo "squid - nofile 65535" >> /etc/security/limits.conf

然后在squid.conf中添加：

max_filedescriptors 65535

8. 实际案例分享

去年我为一家电商公司部署Squid时遇到一个有趣的问题：他们的商品图片服务器在国外，国内访问很慢。通过在多地域部署Squid缓存节点，配合智能DNS解析，最终将图片加载时间从3秒降低到0.5秒以内。

关键配置点：

1. 调整缓存策略，优先缓存图片等静态资源
2. 配置层次化缓存，多个Squid节点形成缓存树
3. 优化refresh_pattern，延长热门商品的缓存时间

refresh_pattern -i \.(jpg|png|gif|css|js)$ 1440 50% 10080

这个案例让我深刻体会到，合理的缓存策略能带来巨大的性能提升。