基于Squid代理服務(wù)器的訪問(wèn)控制策略設(shè)計(jì)與實(shí)現(xiàn)

文/郭雅

基于Squid代理服務(wù)器的訪問(wèn)控制策略設(shè)計(jì)與實(shí)現(xiàn)

文/郭雅

本文主要分析Squid代理服務(wù)器的安裝、配置及訪問(wèn)控制策略設(shè)計(jì)，介紹Webmin管理工具的安裝，以及如何通過(guò)Webmin實(shí)現(xiàn)對(duì)代理服務(wù)器訪問(wèn)控制策略的管理。

Squid是Linux下一個(gè)緩存Internet數(shù)據(jù)的代理服務(wù)器軟件，其接收用戶的下載申請(qǐng)，并自動(dòng)處理所下載的數(shù)據(jù)。即當(dāng)用戶申請(qǐng)下載一個(gè)主頁(yè)時(shí)，直接到Squid代理服務(wù)器的Cache中查看所需要的目標(biāo)文件是否存在，如在Cache中存在，則反饋給用戶；如果在Cache中不存在，Squid代理服務(wù)器直接向目標(biāo)服務(wù)器作出請(qǐng)求，得到目標(biāo)文件后反饋給用戶，同時(shí)在代理服務(wù)器的Cache中對(duì)目標(biāo)文件保留一個(gè)備份。

華南師范大學(xué)增城學(xué)院有31個(gè)電腦機(jī)房，通過(guò)一個(gè)三層交換機(jī)劃分VLAN的方式把所有機(jī)房連接起來(lái)。如果機(jī)房要上網(wǎng)，方法一是通過(guò)交換機(jī)把路由開(kāi)通，缺點(diǎn)是同一個(gè)VLAN的機(jī)房都可以上網(wǎng)；方法二是同一個(gè)VLAN的機(jī)房，通過(guò)架設(shè)一臺(tái)ISA sever代理服務(wù)器控制上網(wǎng)，缺點(diǎn)是每個(gè)VLAN都要一個(gè)ISA sever代理服務(wù)器。

通過(guò)構(gòu)建一個(gè)基于Linux的Squid代理服務(wù)器，再通過(guò)Webmin系統(tǒng)管理工具可以方便管理機(jī)房的上網(wǎng)。Webmin是一個(gè)基于Web的 Linux、Unix系統(tǒng)管理工具。管理員通過(guò)瀏覽器訪問(wèn)Webmin的各種管理功能并完成相應(yīng)的管理動(dòng)作。目前Webmin支持絕大多數(shù)的Linux、 Unix系統(tǒng)，這些系統(tǒng)除了各種版本的Linux以外還包括：AIX、HPUX、Solaris、Unixware、Irix和FreeBSD等。

Squid代理服務(wù)器與Webmin的安裝

Squid安裝

Squid的安裝有兩種方法。方法一：Linux、 Unix和FreeBSD等都自帶squid組件，只要在安裝系統(tǒng)時(shí)選上該組件，即系統(tǒng)安裝完squid也安裝完成。方法二：從squid站點(diǎn)www.squid-cache.org獲取該軟件的源代碼安裝包，包括gz和bz2兩種壓縮方式。下載最新的穩(wěn)定版squid-3.1.19.tar.gz保存到／home／user/目錄下，用以下命令解開(kāi)壓縮包：$ tar xzvf squid-3.1.19.tar.gz。然后，進(jìn)入相應(yīng)目錄對(duì)源代碼進(jìn)行編譯和安裝，命令如下：$cd squid-3.1.19，執(zhí)行./configure，make和 make install。

安裝結(jié)束后，Squid的可執(zhí)行文件在/usr/local/squid/sbin/目錄下，主要配置文件Squid.conf位于/usr/local/squid/etc/目錄下。如果是系統(tǒng)自帶的Squid，主要配置文件Squid.conf位于/etc/squid/目錄下。

Webmin安裝

Webmin最新版本可以登陸http://www.webmin.com下載，目前最新版本是webmin-1.580.tar.gz，下載保存到/home/user目錄下，用以下命令解開(kāi)壓縮包：$ tar xzvf webmin-1.580.tar.gz。然后，進(jìn)入相應(yīng)目錄對(duì)源代碼進(jìn)行編譯和安裝，命令如下：$cd webmin-1.580，執(zhí)行./setup.sh，會(huì)提示Config file directory [/etc/webmin] ，按回車則文件安裝到/etc/webmin/目錄下，如果想保存到其他路徑，輸入完整路徑按回車即可。一般情況下選擇默認(rèn)路徑，默認(rèn)端口是10000，登錄用戶名是admin，密碼自行設(shè)置。安裝完成后在瀏覽器輸入：http://Linux服務(wù)器IP地址或域名:10000/，登陸即可管理。

以孝與廉應(yīng)為做人根本、基礎(chǔ)與底線開(kāi)展道德教育。如果一個(gè)人不慈不孝、不廉不潔，可以說(shuō)其還沒(méi)有成為真正的人，更不用說(shuō)是一個(gè)好人、一個(gè)健康的人，這種倫理就是一種人之為人的底線倫理。西方倫理學(xué)所謂的底線倫理或者本底倫理，就是所有人之所以為人都要遵循的東西。以孝廉文化作為底線倫理開(kāi)展道德教育也體現(xiàn)了社會(huì)主義核心價(jià)值觀的要求。

Squid代理服務(wù)器與客戶機(jī)的配置

Squid的配置

Squid主要配置文件Squid.conf位于/usr/local/squid/etc/目錄下，方法一可以用vi命令編輯squid.conf文件，但要求對(duì)命令參數(shù)要很熟悉。方法二通過(guò)webmin工具配置squid，因?yàn)槭菆D形界面配置，易掌握，方便管理。

（1）方法一用vi命令編輯squid.conf文件，刪除squid.conf文件的原有內(nèi)容，加入以下語(yǔ)句，squid就可以啟動(dòng)使用了。

cache_peer 210.39.242.88 parent 8080 0 #其他高速緩存，如果是一級(jí)代理不需要此語(yǔ)句。

使用命令/usr/local/squid/sbin/squid -f /usr/local/squid/etc/squid.conf -z建立硬盤緩沖區(qū)的緩存目錄結(jié)構(gòu)，運(yùn)行命令/etc/rc.d/init.d/squid start啟動(dòng)squid，客戶機(jī)配置好就可以上網(wǎng)。

（2）方法二通過(guò)瀏覽器登錄webmin管理界面，默認(rèn)是英文界面，通過(guò)“Change Language and Theme”選項(xiàng)可以改成中文界面。改完后，單擊“服務(wù)器”，→“Squid代理服務(wù)器”，如果沒(méi)有“Squid代理服務(wù)器”，在“Search:”輸入：squid，查找即可找到。再編輯Squid代理服務(wù)器的“系統(tǒng)配置”，詳細(xì)請(qǐng)參照?qǐng)D1所示，配置好點(diǎn)擊保存即可。

圖1 squid系統(tǒng)配置

在“端口和網(wǎng)絡(luò)”選項(xiàng)設(shè)置客戶機(jī)上網(wǎng)的IP地址是：192.168.32.78，端口為8080。在“其他高速緩存”選項(xiàng)增加高速緩存主機(jī)，主機(jī)名為：210.39.242.88，類型為父，代理端口為8080，ICP 端口為0。在“內(nèi)存使用”選項(xiàng)設(shè)置內(nèi)存為64M。在“訪問(wèn)控制”選項(xiàng)里選“代理約束”，把ACL下面的“all”設(shè)置為“允許”，保存即可。點(diǎn)擊“返回到squid索引”，選擇“高速緩存選項(xiàng)”，高速緩存目錄設(shè)置為：/usr/local/squid/var/cache，類型為UFS，大小 (MB)是4000，一級(jí)目錄為16，二級(jí)目錄為256。點(diǎn)擊“返回到squid索引”，再點(diǎn)擊“初始化高速緩存”，選擇“啟動(dòng) Squid”，客戶機(jī)配置好即可上網(wǎng)。

2、客戶機(jī)的配置

在客戶機(jī)上運(yùn)行瀏覽器，選擇“工具”菜單→“Internet選項(xiàng)”，在彈出的窗口中單擊“ 連接” 選項(xiàng)卡，選擇“局域網(wǎng)設(shè)置”，在彈出的窗口中選中“為L(zhǎng)AN使用代理服務(wù)器（X）”選項(xiàng)，地址欄內(nèi)代理服務(wù)器的IP地址為192.168.32.78，端口號(hào)為8080。這樣客戶端計(jì)算機(jī)則可通過(guò)代理服務(wù)器上網(wǎng)了。

Squid代理服務(wù)器的訪問(wèn)控制策略設(shè)計(jì)與實(shí)現(xiàn)

Squid代理服務(wù)器的訪問(wèn)控制策略設(shè)計(jì)

訪問(wèn)控制是squid配置中的重點(diǎn)，squid訪問(wèn)控制有兩個(gè)要素：ACL 元素和訪問(wèn)控制列表。通過(guò)以下方法，系統(tǒng)管理員可以嚴(yán)格、清晰地定義代理服務(wù)器的訪問(wèn)控制策略。ACL的基本格式：ACL列表名稱，控制方式，控制目標(biāo)。

（1）禁止192.168.1.1--192.168.1.60這個(gè)網(wǎng)段里的所有客戶機(jī)上網(wǎng)，配置代碼如下：

（2）禁止用戶訪問(wèn)包含有sex關(guān)鍵字的URL，配置代碼如下 ：

（3）禁止QQ通過(guò)squid上網(wǎng)，配置代碼如下：

（4）禁止用戶下載*.mp3，*.exe，*.zip，*.rar文件，配置代碼如下：

（5）禁止用戶訪問(wèn)域名為www.sohu.com的網(wǎng)站，配置代碼如下：

（6）禁止192.168.2.0這個(gè)子網(wǎng)里所有客戶機(jī)在周一至周五的9點(diǎn)到12點(diǎn)上網(wǎng)，配置代碼如下：

以上操作只能在squid.conf文件下編輯添加，如果部分規(guī)則需要更改，只能通過(guò)命令的方式進(jìn)行?，F(xiàn)在通過(guò)登陸webmin管理工具，也可以做到同樣的配置，操作起來(lái)更方便。在瀏覽器輸入：http://192.168.32.78:10000/，進(jìn)入webmin管理界面，找到“Squid代理服務(wù)器”后單擊，再單擊“訪問(wèn)控制”，如圖2所示。

圖2 訪問(wèn)控制

例如要禁止 192.168.1.1--192.168.1.這60個(gè)網(wǎng)段里的所有客戶機(jī)上網(wǎng)，點(diǎn)擊“Ethernet地址”下拉框，選“客戶地址”，再點(diǎn)擊“創(chuàng)建新的ACL”按鈕。

在“創(chuàng)建在ACL”菜單中輸入以下內(nèi)容?！癆CL名稱”輸入：1-room，“來(lái)自IP”輸入：192.168.1.1，“到IP”輸入：192.168.1.60，“網(wǎng)絡(luò)掩碼”輸入：255.255.255.0。單擊“保存”返回到“訪問(wèn)控制”界面，單擊“代理約束”→“添加代理約束規(guī)則”，選中“1-room”，點(diǎn)擊“保存”，1-room的訪問(wèn)控制就設(shè)置完成，再點(diǎn)擊“應(yīng)用更改”即刻生效。其他規(guī)則的添加大同小異。添加完ACL規(guī)則，最后的條目一定要是“all”，并且要設(shè)為“拒絕”，否則無(wú)法生效。如果最后的條目“all”設(shè)為“允許”，則所有的計(jì)算機(jī)都可以通過(guò)代理服務(wù)器上網(wǎng)、下載等操作。

訪問(wèn)控制策略的管理

（1）通過(guò)命令方式修改squid.conf的配置信息，運(yùn)行/etc/init.d/squid reload，重新導(dǎo)入配置文件，再重啟動(dòng)squid即可生效，命令為：/etc/rc.d/init.d/squid restart。這不便于機(jī)房管理員的管理。

（2）通過(guò)webmin工具管理，設(shè)置“訪問(wèn)控制列表”，通過(guò)“代理約束”下的“允許”和“拒絕”選項(xiàng)來(lái)控制，最后再單擊“應(yīng)用更改”即刻生效。

通過(guò)webmin管理squid的訪問(wèn)控制策略，即使不是專業(yè)系統(tǒng)管理員，也很容易掌握，適合電子閱覽室、學(xué)校機(jī)房或其他企事業(yè)單位使用。當(dāng)然Squid代理服務(wù)器訪問(wèn)控制策略功能豐富，ACL類型和訪問(wèn)控制列表眾多，以上所講僅為一些基本用法，系統(tǒng)管理員在實(shí)際應(yīng)用中可根據(jù)不同需求進(jìn)行配置。

（作者單位為華南師范大學(xué)增城學(xué)院）