- 前言
- 一、缓存代理概述
- 1.1 squid代理的工作机制
- 1.2 代理的工作机制
- 1.3 代理服务器的概念及其作用
- 1.4 代理服务器主要作用
- 1.5 三种常见代理服务器区别
- 1.6 Squid 代理的类型
- 二、安装Squid服务
- 三、构建传统代理服务器
- 3.1 代理服务器设置
- 3.2 web服务器
- 3.3 客户端w7代理设置
- 四、构建透明代理服务器
- 4.1 Squid服务器配置
- 4.2 Web服务器配置
- 4.3 客户端测试
- 五、ACL访问控制
- 5.1 定义访问控制列表
- 5.2 启动对象列表管理
- 六、Squid日志分析
- 七、反向代理
- 7.1 工作机制
- 7.2 架构图
- 7.3 配置
- 总结
在web架构中，用户一般进入负载均衡层，通过调度来访问web应用层，但是如果访问量太大，并发量较高，web应用层会吃不消，我们把静态资源、经常要访问的资源放入缓存，用户直接访问缓存层，加快访问速度。
这篇文章主要是回答这几个问题：
1.代理服务器是什么？
2.如何实现代理？
3.有哪些代理方式？
squid 主要提供缓存加速、应用层（第七层）过滤控制的功能。端口、协议都可以过滤。
本地已经缓存的数据，会从本地缓存（cache）中返回给客户端；如果客户端访问的本地缓存没有，则先去服务端请求，放到本地缓存中，再返回给客户端，下次其他客户端访问相同数据的时候，就从本地缓存中返回给客户端，减少对数据库的重复请求。
1.2 代理的工作机制1.代替客户机向网站请求数据，从而可以隐藏用户的真实IP地址。
2.将获得的网页数据（静态Web元素）保存到缓存中并发送给客户机，以便下次请求相同的数据时快速响应。
1.3 代理服务器的概念及其作用代理服务器是一个位于客户端和原始（资源）服务器之间的服务器，为了从原始服务器取得内容，客户端向代理服务器发送一个请求并指定目标原始服务器，然后代理服务器向原始服务器转交请求并将获得的内容返回给客户端。
缓存代理对于Web至关重要，尤其对于大型高负载Web站点。Nginx缓存可作为性能优化的一个重要手段，可以极大减轻后端服务器的负载。通常对于静态资源，即较少经常更新的资源，如图片，css或js等进行缓存，从而在每次刷新浏览器的时候，不用重新请求，而是从缓存里面读取，这样就可以减轻服务器的压力。
1.4 代理服务器主要作用- 资源获取：代替客户端实现从原始服务器的资源获取；
- 加速访问：代理服务器可能离原始服务器更近，从而起到一定的加速作用；
- 缓存作用：代理服务器保存从原始服务器所获取的资源，从而实现客户端快速的获取；隐藏真实地址：代理服务器代替客户端去获取原始服务器资源，从而隐藏客户端真实信息。
Squid 、Nginx、Varinsh
- Nginx本来是反向代理/web服务器，轻量级，只能缓存静态文件
- 从这些功能上。varnish和squid是专业的cache服务，而nginx这些是第三方模块完成
- varnish本身的技术上优势要高于squid，它采用了可视化页面缓存技术，在内存的利用上，Varnish比Squid具有优势，性能要比Squid高。还有强大的通过Varnish管理端口，可以使用正则表达式快速、批量地清除部分缓存，它是内存缓存，速度一流，但是内存缓存也限制了其容量，缓存页面和图片一般是挺好的
- squid的优势在于完整的庞大的cache技术资料，和很多的应用生产环境
- varnish只支持反向代理，功能少缓存容量较小，CPU/IO/内存消耗高，进程意外退出会丢失缓存数据
- squid既能支持正向代理，也能支持反向代理缓存数据也能支持持久化，模式多
- 传统代理：适用于internet正向代理，需在客户机指定代理服务器的地址和端口。
- 透明代理：客户机不需指定代理服务器的地址和端口，而是通过默认路由、防灭墙策略将web访问重定向给代理服务器处理。
- 反向代理：如果Squid反向代理服务器中缓存了该请求的资源，则将该请求的资源直接返回给客户端：否则反向代理服务器将向后台的W际B服务器请求资源，然后将请求的应答返回给客户端，同时也将该应答缓存在本地，供下一个请求者使用。
二、安装Squid服务正向代理，代理的是客户端，代替客户向服务端发送请求；反向代理，代理的是服务端，代替服务端返回客户端的请求
centos7-2 192.168.109.132
#关闭防火墙 systemctl stop firewalld systemctl disable firewalld setenforce 0
1.编译安装 Squid
#安装编译工具 yum -y install gcc gcc-c++ make #上传软件包至opt下，并解压 tar zxvf squid-3.5.28.tar.gz -C /opt/ #切换目录，配置安装模块 cd /opt/squid-3.5.28 ./configure --prefix=/usr/local/squid #指定安装目录路径 --sysconfdir=/etc #指定配置文件路径 --enable-arp-acl #MAC地址管控，防止客户端使用IP欺骗 --enable-linux-netfilter #使用内核过滤 --enable-linux-tproxy #支持透明模式 --enable-async-io=100 #异步IO，提升存储性能 --enable-err-language="Simplify_Chinese" #错误信息的显示语言 --enable-underscore #允许URL中有下划线 --disable-poll #关闭默认使用 poll 模式 --enable-epoll #开启epoll模式提升性能 --enable-gnuregex #使用GNU正则表达式 ---------------------------------------------------------------------------------------------------------- ./configure --prefix=/usr/local/squid --sysconfdir=/etc --enable-arp-acl --enable-linux-netfilter --enable-linux-tproxy --enable-async-io=100 --enable-err-language="Simplify_Chinese" --enable-underscore --disable-poll --enable-epoll --enable-gnuregex #编译安装 make -j4 && make install #优化路径，设置软连接 ln -s /usr/local/squid/sbin/* /usr/local/sbin/ #添加squid用户 useradd -M -s /sbin/nologin squid #设置目录属主权限 chown -R squid:squid /usr/local/squid/var/ #此目录用于存放缓存文件
2．修改 Squid 的配置文件
#修改配置文件 vim /etc/squid.conf ...... --56行--插入 http_access allow all #放在 http_access deny all 之前，允许任意客户机使用代理服务，控制规则自上而下匹配 http_access deny all http_port 3128 #用来指定代理服务监听的地址和端口(默认的端口号为 3128) --61行--插入 cache_effective_user squid #添加，指定程序用户，用来设置初始化、运行时缓存的账号,否则启动不成功 cache_effective_group squid #添加，指定账号基本组 coredump_dir /usr/local/squid/var/cache/squid #指定缓存文件目录
3．Squid 的运行控制
#检查配置文件语法是否正确 squid -k parse #启动 Squid，第一次启动 Squid 服务时，会自动初始化缓存目录 squid -z #-z 选项用来初始化缓存目录 squid #启动 squid 服务 #查看端口是否开启 netstat -anpt | grep "squid" 或 netstat -anpt | grep 3128
4．创建 Squid 服务脚本
#创建脚本（直接复制进去即可）
vim /etc/init.d/squid
#!/bin/bash
#chkconfig: 2345 90 25
PID="/usr/local/squid/var/run/squid.pid"
CONF="/etc/squid.conf"
CMD="/usr/local/squid/sbin/squid"
case "$1" in
start)
netstat -natp | grep squid &> /dev/null #判断服务是否开启
if [ $? -eq 0 ]
then
echo "squid is running"
else
echo "正在启动 squid..."
$CMD #如果没有开启，则调用变量开启服务
fi
;;
stop)
$CMD -k kill &> /dev/null
rm -rf $PID &> /dev/null #杀死pid避免下次启动冲突
;;
status)
[ -f $PID ] &> /dev/null #检查文件是否存在
if [ $? -eq 0 ]
then
netstat -natp | grep squid
else
echo "squid is not running"
fi
;;
restart)
$0 stop &> /dev/null #$0 脚本本身
echo "正在关闭 squid..."
$0 start &> /dev/null
echo "正在启动 squid..."
;;
reload)
$CMD -k reconfigure
;;
check)
$CMD -k parse #检查语法格式
;;
*)
echo "用法：$0{start|stop|status|reload|check|restart}"
;;
esac
#加权限
chmod +x /etc/init.d/squid
#添加到chkconfig管理
chkconfig --add squid
chkconfig --level 35 squid on
#2345是默认自启动级别，如是-代表任何级别都不自启动；90是启动优先级，25是停止优先级，优先级范围是0－100，数字越大，优先级越低。
#检查语法
service squid check
#重启服务
service squid restart
三、构建传统代理服务器
3.1 代理服务器设置
vim /etc/squid.conf --63行--插入 cache_mem 64 MB #指定缓存功能所使用的内存空间大小，便于保持访问较频繁的WEB对象，容量最好为4的倍数，单位为MB，建议设为物理内存的1/4 reply_body_max_size 10 MB #允许用户下载的最大文件大小，以字节为单位，当下载超过指定大小的Web对象时，浏览器的报错页面中会出现“请求或访问太大”的提示默认设置0表示不进行限制 maximum_object_size 4096 KB #允许保存到缓存空间的最大对象大小，以KB为单位，超过大小限制的文件将不被缓存，而是直接转发给用户 #重启服务 service squid restart 或 systemctl restart squid #生产环境中还需要修改防火墙规则 iptables -F iptables -I INPUT -p tcp --dport 3128 -j ACCEPT #查看 Squid 访问日志的新增记录中的缓存命中情况 tail -f /usr/local/squid/var/logs/access.log #出现TCP_MEM_HIT/200，则说明缓存命中
3.2 web服务器日志中的字段说明：
- MISS:未命中缓存
- HIT:命中缓存
- EXPIRED:缓存过期
- STALE:命中了陈旧缓存
- REVALIDDATED:Nginx验证陈旧缓存依然有效
- UPDATING:内容陈旧,但正在更新
- BYPASS:X响应从原始服务器获取
centos7-1 192.168.109.131
#关闭防火墙 systemctl stop firewalld systemctl disable firewalld setenforce 0 #下载http服务 yum install -y httpd #开启服务 systemctl start httpd #查看 Web 实时访问日志的新增记录 tail -f /var/log/httpd/access_log3.3 客户端w7代理设置
打开浏览器，工具–>Internet选项–>连接–>局域网设置–>开启代理服务器（地址：Squid服务器IP地址，端口：3128）
四、构建透明代理服务器清除浏览器缓存再次访问
实验环境
| squid服务器 | centos7-2 | 内网ens33：192.168.109.132 外网ens36：12.0.0.1 |
|---|---|---|
| web服务器 | centos7-1 | 12.0.0.12 |
| 客户机 | w7 | 192.168.109.200 |
#修改配置文件 vim /etc/squid.conf ...... http_access allow all http_access deny all --60行--修改添加提供内网服务的IP地址，和支持透明代理选项 transparent http_port 192.168.109.132:3128 transparent systemctl restart squid #开启路由转发，实现本机中不同网段的地址转发 echo 'net.ipv4.ip_forward = 1' >> /etc/sysctl.conf sysctl -p #修改防火墙规则 iptables -F iptables -t nat -F iptables -t nat -I PREROUTING -i ens33 -s 192.168.109.0/24 -p tcp --dport 80 -j REDIRECT --to 3128 #用于转发http协议 iptables -t nat -I PREROUTING -i ens33 -s 192.168.109.0/24 -p tcp --dport 443 -j REDIRECT --to 3128 #用于转发https协议 iptables -I INPUT -p tcp --dport 3128 -j ACCEPT4.2 Web服务器配置
#安装http服务 yum install -y httpd systemctl start httpd #查看 Squid 访问日志的新增记录 tail -f /usr/local/squid/var/logs/access.log #查看 Web 访问日志的新增记录，显示的是由代理服务器的外网口代替客户机在访问 tail -f /var/log/httpd/access_log4.3 客户端测试
关闭客户机的浏览器之前设置的代理服务器的功能后访问 http://12.0.0.12
五、ACL访问控制在配置文件 squid.conf 中，ACL 访问控制通过以下两个步骤来实现：
（1）使用 acl 配置项定义需要控制的条件；
（2）通过 http_access 配置项对已定义的列表做“允许”或“拒绝”访问的控制。
5.1 定义访问控制列表格式： acl 列表名称 列表类型 列表内容 … vim /etc/squid.conf ...... acl localhost src 192.168.109.200/32 #源地址为 192.168.109.200，localhost可自定义 acl MYLAN src 192.168.109.0/24 192.168.1.0/24 #客户机网段 acl destinationhost dst 192.168.109.131/32 #目标地址为 192.168.80.13 acl MC20 maxconn 20 #最大并发连接 20 acl PORT port 21 #目标端口 21 acl DMBLOCK dstdomain .qq.com #目标域，匹配域内所有站点 acl BURL url_regex -i ^rtsp:// ^emule:// #以 rtsp://、emule:// 开头的目标 URL地址，-i表示忽略大小写 acl PURL urlpath_regex -i .mp3$ .mp4$ .rmvb$ #以 .mp3、.mp4、.rmvb 结尾的目标 URL 路径 acl WORKTIME time MTWHF 08:30-17:30 #时间为周一至周五 8:30~17:30，“MTWHF”为每个星期的英文首字母
重启服务
5.2 启动对象列表管理如果地址太多且不连续，我们可以放在一个文件中进行管理，然后在配置文件中调用管理地址文件的路径
mkdir /etc/squid vim /etc/squid/dest.list 192.168.109.0/24 vim /etc/squid.conf ...... acl destinationhost dst "/etc/squid/dest.list" #调用指定文件中的列表内容 ...... http_access deny(或allow) destinationhost #注意，如果是拒绝列表，需要放在http_access allow all前面 #重启服务 systemctl restart squid 浏览器访问Web服务器 http://12.0.0.12 ，显示被访问被拒绝。
重启服务
六、Squid日志分析#安装图像处理软件包 yum install -y pcre-devel gd gd-devel #创建目录 mkdir /usr/local/sarg #上传并解压 tar zxvf sarg-2.3.7.tar.gz -C /opt/ cd /opt/sarg-2.3.7 ./configure --prefix=/usr/local/sarg --sysconfdir=/etc/sarg #配置文件目录，默认是/usr/local/etc --enable-extraprotection #额外安全防护
#修改配置文件 vim /etc/sarg/sarg.conf --7行--取消注释 access_log /usr/local/squid/var/logs/access.log #指定访问日志文件 --25行--取消注释 title "Squid User Access Reports" #网页标题 --120行--取消注释，修改 output_dir /var/www/html/sarg #报告输出目录 --178行--取消注释 user_ip no #使用用户名显示 --184行--取消注释，修改 topuser_sort_field connect reverse #top排序中，指定连接次数采用降序排列，升序是normal --190行--取消注释，修改 user_sort_field connect reverse #对于用户访问记录，连接次数按降序排序 --206行--取消注释，修改 exclude_hosts /usr/local/sarg/noreport #指定不计入排序的站点列表的文件 --257行--取消注释 overwrite_report no #同名同日期的日志是否覆盖 --289行--取消注释，修改 mail_utility mailq.postfix #发送邮件报告命令 --434行--取消注释，修改 charset UTF-8 #指定字符集UTF-8 --518行--取消注释 weekdays 0-6 #top排行的星期周期 --525行--取消注释 hours 0-23 #top排行的时间周期 --633行--取消注释 www_document_root /var/www/html #指定网页根目录
#添加不计入站点文件，添加的域名将不被显示在排序中 touch /usr/local/sarg/noreport #优化路径 ln -s /usr/local/sarg/bin/sarg /usr/local/bin/ #验证 yum install httpd -y systemctl start httpd #运行 sarg #启动一次记录 浏览器访问 http://192.168.109.132/sarg ，查看sarg报告网页。七、反向代理
如果 Squid 反向代理服务器中缓存了该请求的资源，则将该请求的资源直接返回给客户端；否则反向代理服务器将向后台的 Web 服务器请求资源，然后将请求的应答返回给客户端，同时也将该应答缓存在本地，供下一个请求者使用。
7.1 工作机制●缓存网页对象，减少重复请求
●将互联网请求轮训或按权重分配到内网Web服务器
●代理用户请求，避免用户直接访问Web服务器，提高安全
7.2 架构图 7.3 配置实验环境
| 代理服务器 | centos7-2 | 192.168.109.132 |
|---|---|---|
| 节点服务器1 | centos7-1 | 192.168.109.131 |
| 节点服务器2 | centos7-3 | 192.168.109.133 |
| w7 | 192.168.109.200 |
vim /etc/squid.conf ...... --60行--修改，插入 http_port 192.168.109.132:80 accel vhost vport cache_peer 192.168.109.131 parent 80 0 no-query originserver round-robin max_conn=30 weight=1 name=web1 cache_peer 192.168.109.133 parent 80 0 no-query originserver round-robin max_conn=30 weight=1 name=web2 cache_peer_domain web1 web2 www.stevelu.com #表示对www.stevelu.com的请求，squid向192.168.109.131和192.168.109.133的80端口发出请求
- http_port 80 accel vhost vport #squid从一个缓存变成了一个Web服务器反向代理加速模式，这个时候squid在80端口监听请求，同时和web server的请求端口(vhost vport)绑定，这个时候请求到了squid，squid是不用转发请求的，而是直接要么从缓存中拿数据要么向绑定的端口直接请求数据。
- accel ：反向代理加速模式
- vhost ：支持域名或主机名来表示代理节点
- vport ：支持IP和端口来表示代理节点
- parent ：代表为父节点，上下关系，非平级关系
- 80 ：代理内部web服务器的80端口
- 0 ：没有使用icp（电信运营商），表示就一台squid服务器
- no-query ：不做查询操作，直接获取数据
- originserver ：指定是源服务器
- round-robin ：指定 squid 通过轮询方式将请求分发到其中一台父节点
- max_conn ：指定最大连接数
- weight ： 指定权重
- name ：设置别名
#清空之前透明模式配置的 iptables 规则 iptables -F iptables -t nat -F #关闭httpd systemctl stop httpd #防止 httpd 服务使用的 80 端口号和 squid 反向代理配置的监听端口冲突 #重启服务 systemctl restart squid #后端节点服务器设置 yum install -y httpd systemctl start httpd #节点1： echo "this is test01" >> /var/www/html/index.html #节点2： echo "this is test02" >> /var/www/html/index.html #客户机的域名映射配置 修改 C:WindowsSystem32driversetchosts 文件 192.168.109.1 www.stevelu.com 浏览器不开启代理访问 http://www.stevelu.com 查看缓存命中情况 tailf /usr/local/squid/var/logs/access.log 1631164427.547 0 192.168.80.200 TCP_MEM_HIT/200 381 GET http://www.stevelu.com/ - HIER_NONE/- text/html
测试，在客户机中设置本地域名，写入192.168.109.132 www.stevelu.com
此时有缓存在服务器中，刷新很久都在访问节点2，我们关闭节点2
缓存服务器无法体现负载均衡，因为有缓存
总结这些实验中要注意网关问题
1.代理服务器是什么？
代理服务器是一个位于客户端和原始（资源）服务器之间的服务器，为了从原始服务器取得内容，客户端向代理服务器发送一个请求并指定目标原始服务器，然后代理服务器向原始服务器转交请求并将获得的内容返回给客户端。
2.如何实现代理？
- 代替客户机向网站请求数据，从而可以隐藏用户的真实IP地址。
- 将获得的网页数据（静态Web元素）保存到缓存中并发送给客户机，以便下次请求相同的数据时快速响应。
3.有哪些代理方式？
- 传统代理（正向代理）
- 透明代理
- 反向代理
