如何在CentOS 7上配置Squid透明代理？

在计算机网络管理中，代理服务器是一项至关重要的技术，它不仅能够优化网络带宽使用、提升访问速度，还能实现内容过滤和安全控制，Squid 作为一款功能强大且应用广泛的开源代理缓存软件，是许多系统管理员的首选，本文将详细介绍如何在 CentOS 7 系统上部署一个 Squid 透明代理服务器,让客户端设备无需任何额外配置即可通过代理上网。

环境准备与 Squid 安装

在开始之前，我们需要准备一台至少拥有两块网卡的 CentOS 7 服务器，一块网卡（eth0）连接外网（互联网），另一块网卡（eth1）连接内网（局域网）,这种架构是透明代理部署的经典模式。

确保系统已更新，然后通过 YUM 包管理器安装 Squid。

sudo yum update -y
sudo yum install squid -y

安装完成后，启动 Squid 服务并设置为开机自启。

sudo systemctl start squid
sudo systemctl enable squid

Squid 已以默认的常规代理模式运行，要实现透明代理,核心的配置工作才刚刚开始。

Squid 核心配置

Squid 的所有配置都集中在 /etc/squid/squid.conf 文件中，在进行修改前,建议先备份原始文件。

sudo cp /etc/squid/squid.conf /etc/squid/squid.conf.bak

打开配置文件进行编辑,我们需要关注以下几个关键参数：

1. 定义访问控制列表（ACL）：我们需要定义一个 ACL 来允许内网网段的所有设备通过代理访问，如果内网网段是 168.1.0/24,则添加：

   acl LAN src 192.168.1.0/24

2. 配置监听端口：透明代理的关键在于让 Squid 拦截特定端口的流量，旧版本的 Squid 使用 transparent 关键字，但在新版本中已被 intercept 取代，我们需要修改或添加 http_port 指令：

   http_port 3128 intercept

   这条指令告诉 Squid 在 3128 端口上“拦截”流量,而不是等待客户端主动连接。

   

3. 设置访问权限：允许我们定义的 LAN 网段访问,并拒绝其他所有访问。

   http_access allow LAN
   http_access deny all

下表小编总结了上述核心配置项：

配置项	示例值	作用说明
acl LAN src	168.1.0/24	定义一个名为 LAN 的访问控制列表，包含内网所有 IP 地址。
http_port	3128 intercept	设置 Squid 监听 3128 端口，并以“截断”模式处理请求，这是透明代理的核心。
http_access allow LAN	http_access allow LAN	允许名为 LAN 的 ACL 中的客户端访问代理。
http_access deny all	http_access deny all	默认拒绝所有其他未明确允许的访问请求，确保安全。

修改完配置文件后，保存并退出，然后检查 Squid 配置文件的语法是否正确。

sudo squid -k parse

如果没有报错，重启 Squid 服务使配置生效。

sudo systemctl restart squid

实现流量重定向

Squid 已经准备好接收被重定向的流量，下一步就是利用系统的防火墙将内网客户端的 HTTP 请求重定向到 Squid 监听的端口。

开启系统的 IP 转发功能。

sudo sysctl -w net.ipv4.ip_forward=1

为了使该设置永久生效，需要编辑 /etc/sysctl.conf 文件，确保 net.ipv4.ip_forward = 1 这一行存在且未被注释。

配置 CentOS 7 默认的 firewalld 防火墙，我们将使用 firewalld 的直接规则来添加 iptables 的 NAT 规则，假设内网接口名为 eth1。

# 重定向 HTTP (80端口) 流量到 Squid 的 3128 端口
sudo firewall-cmd --permanent --direct --add-rule ipv4 nat PREROUTING 0 -i eth1 -p tcp --dport 80 -j REDIRECT --to-ports 3128
# 重定向 HTTPS (443端口) 流量 (请参阅下文关于 HTTPS 的说明)
sudo firewall-cmd --permanent --direct --add-rule ipv4 nat PREROUTING 0 -i eth1 -p tcp --dport 443 -j REDIRECT --to-ports 3128
# 重新加载防火墙配置
sudo firewall-cmd --reload

至此，透明代理的基本配置已完成，内网用户无需在浏览器或系统中设置任何代理，当他们访问网页时，其 HTTP 请求会自动被防火墙重定向到 Squid 服务器进行处理和缓存。

HTTPS 流量的重要说明

在上述配置中，我们同样重定向了 443 端口的 HTTPS 流量，需要特别注意的是：透明代理无法原生地处理和缓存 HTTPS 流量。

HTTPS 是加密协议，其安全基础在于客户端与服务器之间的端到端加密，当透明代理强行将 443 端口的连接重定向到 Squid 时，实际上破坏了客户端与目标服务器之间的 TLS/SSL 握手过程，这会导致客户端浏览器显示“证书错误”或“隐私错误”，因为客户端接收到的是来自 Squid 的响应,而非真正的目标服务器。

对于 HTTPS 网站，上述透明代理配置仅能实现“连接”层面的转发，无法解密、缓存或检查其内容，要实现对 HTTPS 的深度处理，需要使用 Squid 的 SSL Bump 功能，但这需要生成自定义证书颁发机构（CA）证书，并在所有客户端设备上安装并信任该证书，这已经超出了“完全透明、零配置”的范畴，并引入了复杂的安全和隐私问题,在企业环境中部署时需谨慎评估。

验证与故障排除

配置完成后，可以从内网的一台客户端电脑上访问任意 HTTP 网站（如 http://www.example.com），在 Squid 服务器上实时查看访问日志，观察是否有来自该客户端 IP 的记录。

sudo tail -f /var/log/squid/access.log

如果日志中成功记录了访问信息，则证明透明代理已正常工作，如果遇到问题,可以从以下几个方面排查：

1. 防火墙规则：确认 firewalld 的直接规则是否正确添加。
2. Squid 配置：使用 squid -k parse 检查配置文件语法。
3. SELinux：检查 SELinux 状态，如果开启，可能需要执行 setsebool -P squid_use_tproxy 1 允许 Squid 进行透明代理。
4. 网络接口：确认 eth1 等接口名称是否与实际环境匹配。

---

相关问答 FAQs

Q1: 为什么我配置了透明代理后，访问 HTTPS 网站会提示证书错误，无法正常打开？
A1: 这是透明代理机制与 HTTPS 协议冲突导致的正常现象，HTTPS 的目的是建立客户端与服务器之间的加密通道，保证数据传输的机密性和完整性，透明代理通过重定向网络流量来工作，这个行为会拦截并中断客户端与服务器之间的 TLS/SSL 握手过程，浏览器会认为这是一个中间人攻击，因为连接的对象不再是它预期的服务器，因此会显示证书错误警告，标准的透明代理只能有效处理 HTTP 流量，无法缓存或解密 HTTPS 流量，若要管理 HTTPS 流量，必须采用 SSL Bump 技术，但这需要在客户端安装信任代理服务器的证书，不再是完全的“透明”。

Q2: 我如何确认 Squid 透明代理是否真的在生效并进行缓存？
A2: 确认代理生效最直接的方法是检查 Squid 的访问日志，在 Squid 服务器上执行 sudo tail -f /var/log/squid/access.log，然后在客户端访问一个之前从未访问过的 HTTP 网站，如果日志中立刻出现来自你客户端 IP 的新记录（条目中包含 TCP_MISS/200），说明流量已经成功被 Squid 拦截处理，再次刷新同一页面或资源，如果日志中出现 TCP_HIT/200 的记录，则证明该内容已被 Squid 成功缓存，后续访问直接从缓存中提供,这正是代理缓存的核心价值所在。