CentOS Squid代理如何从零开始进行详细配置？

Squid是一款功能强大的开源代理服务器和Web缓存守护进程，广泛应用于企业网络环境中，用以提升网页访问速度、节省带宽以及实现访问控制，在CentOS系统上配置Squid，能够有效优化网络资源利用，增强网络安全性，本文将详细介绍在CentOS环境下安装、配置及管理Squid的完整流程。

安装与基础配置

在CentOS系统上，可以通过yum或dnf包管理器轻松安装Squid,执行以下命令即可完成安装：

sudo yum install squid -y

安装完成后，Squid的主配置文件位于/etc/squid/squid.conf，在进行任何修改之前，建议备份此文件，配置文件的核心在于定义监听端口、访问控制策略和缓存规则。

最基础的配置是设定Squid监听的端口，默认情况下，Squid使用3128端口，在squid.conf文件中找到http_port指令,可以对其进行修改：

# 默认配置
http_port 3128

可以设置cache_mgr（缓存管理员邮箱）和visible_hostname（代理服务器主机名），这些信息会在错误页面中显示,便于联系和管理。

cache_mgr admin@example.com
visible_hostname proxy-server

访问控制列表 (ACL) 与规则

Squid的强大之处在于其精细的访问控制机制，ACL（Access Control List）用于定义匹配条件，如源IP地址、目标域名、访问时间等，随后通过http_access指令对这些条件应用允许（allow）或拒绝的策略。

ACL的基本语法为：acl 名称 类型 值,常见的ACL类型如下表所示：

类型	示例	说明
src	acl LAN src 192.168.1.0/24	定义源IP地址或网段
dst	acl SAFE dst 192.168.1.100	定义目标IP地址
dstdomain	acl ALLOWED_SITES dstdomain .example.com	定义允许访问的域名
port	acl SSL_PORTS port 443	定义目标端口
time	acl WORKING_TIME time MTWHF 09:00-18:00	定义允许访问的时间段
url_regex	acl BLOCKED_URLS url_regex -i “/etc/squid/blocked.txt”	通过正则表达式匹配URL

规则的应用顺序至关重要，Squid会自上而下逐条匹配，一旦匹配到规则便停止后续检查，通常将“拒绝所有”的规则放在配置文件的末尾。

一个典型的配置示例是允许内部局域网访问所有网站：

# 定义一个名为LAN的ACL，包含192.168.1.0/24网段
acl LAN src 192.168.1.0/24
# 允许LAN这个ACL定义的客户端访问
http_access allow LAN
# 拒绝所有其他未匹配到的访问请求
http_access deny all

缓存设置与优化

作为缓存服务器，Squid的缓存策略直接影响其性能，主要涉及两个指令：cache_dir和cache_mem。

cache_dir用于指定缓存数据的存储位置、大小和目录结构，其语法为：cache_dir 存储类型 目录路径 大小(MB) 一级子目录数 二级子目录数。

# 使用ufs存储类型，缓存目录为/var/spool/squid，大小为10GB，创建16个一级和256个二级子目录
cache_dir ufs /var/spool/squid 10000 16 256

cache_mem指定了用于缓存热点对象的内存大小，这部分内存用于存储频繁访问的对象，可以显著提高响应速度，建议设置为物理内存的1/8到1/4。

# 分配512MB内存用于缓存
cache_mem 512 MB

refresh_pattern指令用于定义不同类型对象的缓存更新策略,例如控制网页内容在本地缓存的有效时间。

启动与管理服务

配置完成后，需要启动Squid服务并设置开机自启，使用systemctl命令可以方便地管理服务：

# 启动Squid服务
sudo systemctl start squid
# 设置Squid开机自启
sudo systemctl enable squid
# 检查Squid服务状态
sudo systemctl status squid

如果修改了配置文件，无需重启服务，可以使用reload命令重新加载配置,这对于生产环境至关重要：

sudo systemctl reload squid

客户端配置

在客户端计算机（如浏览器或操作系统网络设置）中配置HTTP代理，将代理服务器的地址设置为CentOS服务器的IP地址，端口设置为squid.conf中http_port指定的值（默认为3128），配置完成后,客户端的网络请求将通过Squid代理服务器进行转发和缓存。

---

相关问答FAQs

问题1：我已经按照配置允许了内网IP，但客户端仍然无法通过代理访问网页，可能是什么原因？
解答： 这通常由两个原因导致，首先是防火墙问题，CentOS默认的firewalld可能阻止了3128端口,您需要开放此端口：

sudo firewall-cmd --permanent --add-port=3128/tcp
sudo firewall-cmd --reload

SELinux问题，如果SELinux处于强制模式，它可能会阻止Squid进行网络连接，可以检查SELinux日志（/var/log/audit/audit.log）或临时设置为宽松模式进行测试,正确的做法是设置SELinux布尔值：

sudo setsebool -P squid_connect_any on

请务必检查Squid的访问日志（/var/log/squid/access.log）和缓存日志（/var/log/squid/cache.log），其中包含了详细的错误信息,是排查问题的最佳途径。

问题2：如何为Squid代理设置基本的用户名和密码认证？
解答： Squid支持多种认证方式，其中最基础的是HTTP Basic认证,配置步骤如下：

1. 安装密码生成工具：通常使用httpd-tools包中的htpasswd。

   sudo yum install httpd-tools -y

2. 创建密码文件：创建一个用于存储用户名和加密密码的文件,并添加第一个用户。

   sudo htpasswd -c /etc/squid/passwd user1

   系统会提示您输入密码，后续添加用户时，不要使用-c选项,以免覆盖原有文件。

   sudo htpasswd /etc/squid/passwd user2

3. 修改Squid配置：在squid.conf中添加认证参数和访问规则。

   # 定义认证程序
   auth_param basic program /usr/lib64/squid/basic_ncsa_auth /etc/squid/passwd
   auth_param basic children 5
   auth_param basic realm Squid Proxy Authentication
   auth_param basic credentialsttl 2 hours
   # 定义一个ACL，要求用户必须通过认证
   acl authenticated_users proxy_auth REQUIRED
   # 允许已认证的用户访问
   http_access allow authenticated_users
   # 拒绝其他所有访问
   http_access deny all

4. 重新加载配置：

   sudo systemctl reload squid

   配置完成后，客户端在首次访问时会弹出对话框,要求输入用户名和密码。