模板
教程
環境
性能
功能
管理
成功使用squid＋iptables配置透明代理
發表于：2007-05-25來源：作者：點擊數：
標簽：
硬件HPDL145:Opteron×2，AMD8111/8131芯片組，1GB內存，RedhatELAdvancedServer4fori386。 首先根據從網上找到的資料配置： squid和iptable的具體安裝我在此不做太多說明，一般看看它們的說明即可。我公司用一臺機器作為代理上網。eth0連接外部網，eth1連接
硬件HP DL145:Opteron×2，AMD8111/8131芯片組，1GB內存，Redhat EL Advanced Server 4 for i386。
首先根據從網上找到的資料配置：
squid和iptable的具體安裝我在此不做太多說明，一般看看它們的說明即可。我公司用一臺機器作為代理上網。eth0連接外部網，eth1連接內部網。下面把我的配置寫下來。
iptable的配置，在/etc/rc.d/目錄下用touch命令建立firewall文件，執行chmod u+x firewll以更改文件屬性，編輯/etc/rc.d/rc.local文件，在末尾加上/etc/rc.d/firewall以確保開機時能自動執行該腳本。
[quote:455be0e1f8]echo "starting ip forward"
echo 1 >/proc/sys/net/ipv4/ip_forward
echo "starting iptables rules"
modprobe ip_tables
modprobe ip_nat_ftp
/sbin/iptables -F -t nat
iptables -t nat -A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128 #將所有80端口的包轉發到3128端口
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE #對eth0端口進行欺騙[/quote:455be0e1f8]
squid的配置：
[quote:455be0e1f8]http_port 3128
cache_mem 512 M
cache_swap_low 75
cache_swap_high 95
maximum_object_size 1024 KB
cache_dir ufs /usr/local/squid/cache 60000 16 256
cache_aclearcase/" target="_blank" >ccess_log /var/squid/logs/access.log
cache_log /dev/null
cache_store_log none
debug_options ALL,1
icp_access allow all
icp_query_time out 2000
cache_effective_user nobody
cache_effective_group nogroup
httpd_accel_host virtual
httpd_accel_port 80
httpd_accel_with_proxy on
httpd_accel_uses_host_header on
acl all src 0.0.0.0/0
acl our_networks src 192.168.30.0/24
http_access allow our_networks
http_access deny all
acl QUERY urlpath_regex -i cgi-bin \? \.exe$ \.zip$ \.mp3$ \.mp2$ \.rm$ \.avi$
no_cache deny QUERY
reference_age 3 days
quick_abort_min 16 KB
quick_abort_max 16 KB
quick_abort_pct 95
connect_timeout 60 seconds
read_timeout 3 minutes
request_timeout 30 seconds
client_lifetime 30 seconds
half_closed_clients off
pconn_timeout 60 seconds
ident_timeout 10 seconds
shutdown_lifetime 10 seconds
memory_pools off
memory_pools_limit 0[/quote:455be0e1f8]
其中reference_age 3 days，ident_timeout 10 seconds兩行出錯：
[quote:455be0e1f8]2005/03/03 15:09:34| parseConfigFile: line 3379 unrecognized: 'reference_age 3 days'
2005/03/03 15:34:57| parseConfigFile: line 1645 unrecognized: 'ident_timeout 10 seconds'[/quote:455be0e1f8]
后來就把reference_age 3 days這行刪掉了。
此時透明代理可以實現，把客戶端的網關設置為此代理服務器的eth1的IP就可以上網了，客戶端瀏覽器不需要再設置代理。但是客戶端DNS有問題，在客戶端瀏覽器輸入IP可以訪問外網，輸入域名就不行，在客戶端命令行模式下執行nslookup www.chinaunix.net命令，提示
[quote:455be0e1f8]DNS request time out[/quote:455be0e1f8]
在squid.conf中加入
[quote:455be0e1f8]
acl Safe_ports port 53 # dns[/quote:455be0e1f8]
故障依舊
執行：
[quote:455be0e1f8]iptables -A FORWARD -p udp --dport 53 -j ACCEPT[/quote:455be0e1f8]故障依舊
后來我在代理服務器上面運行setup，重新配置防火墻，在自定義端口那里寫了53，然后重啟iptables，重新運行自己的firewall腳本問題解決，squid都沒有重啟，成功！也就是說只是在代理服務器上面增開了53端口。因為沒有啟動bind服務，用nmap掃描服務器并沒有發現53端口開放。
準備測試一些acl的限制，于是在squid.conf里面增加：
[quote:455be0e1f8]acl mmxfile urlpath_regex -i \.mp3$ \.avi$
http_access deny mmxfile[/quote:455be0e1f8]
squid.conf里面本來有：
[quote:455be0e1f8]acl QUERY urlpath_regex -i cgi-bin \? \.exe$ \.zip$ \.mp3$ \.mp2$ \.rm$ \.avi$
no_cache deny QUERY[/quote:455be0e1f8]
重啟squid，可是客戶端仍然可以下載mp3，不過只下載了前面一部分就停了，已經下載的一部分可以播放，不知道是squid的問題還是網絡的問題。
[quote:455be0e1f8][root@amd squid]# tail access.log
1109905921.282 30003 192.168.30.2 TCP_MISS/206 306468 GET http://www.joyhero.net/down/music/barn/0052.mp3 - DIRECT/202.102.246.240 audio/mpeg
1109905957.105 2134 192.168.30.2 TCP_MISS/302 664 GET http://autoupdate.windowsmedia.com/update/update.asp? - DIRECT/207.46.248.96 text/html
1109905967.471 10365 192.168.30.2 TCP_MISS/200 10689 GET http://autoupdate.windowsmedia.com/update/CHS/control.xml - DIRECT/207.46.248.96 text/xml
1109905982.264 29696 192.168.30.2 TCP_MISS/200 354348 GET http://www.joyhero.net/down/music/barn/0012.mp3 - DIRECT/202.102.246.240 audio/mpeg
1109906054.122 1155 192.168.30.2 TCP_MISS/304 202 GET http://www.joyhero.net/down/music/barn/0052.mp3 - DIRECT/202.102.246.240 -[/quote:455be0e1f8]
仔細查看squid.conf，找到限制下載沒有成功的原因所在了，是因為在squid.conf里面定義的我的客戶端網絡為our_networks，這一行：
[quote:455be0e1f8]http_access allow our_networks[/quote:455be0e1f8]
位置在這一行前面：
[quote:455be0e1f8]http_access deny mmxfile[/quote:455be0e1f8]
所以mp3文件已經先通過了，不會再被阻止。[color=red:455be0e1f8]這也是配置squid的acl最常犯的錯誤，acl規則的順序問題?。?！[/color:455be0e1f8]
更改acl順序后客戶端無法下載mp3，這是影音傳送帶顯示的記錄：
[quote:455be0e1f8]
2005-03-04 14:45:42.796 正在連接 dn.clubhi.com:80
2005-03-04 14:45:42.796 正在連接 61.129.67.121:80
2005-03-04 14:45:42.812 已連接
2005-03-04 14:45:42.812 GET /2005.mp3 HTTP/1.1
2005-03-04 14:45:42.812 Host: dn.clubhi.com
2005-03-04 14:45:42.812 Accept: */*
2005-03-04 14:45:42.812 User-Agent: Mozilla/4.0 (compatible; MSIE 5.00; Windows 9icon_cool.gif
2005-03-04 14:45:42.812 Connection: Keep-Alive
2005-03-04 14:45:42.843 HTTP/1.0 403 Forbidden
2005-03-04 14:45:42.843 Server: squid/2.5.STABLE6
2005-03-04 14:45:42.843 Mime-Version: 1.0
2005-03-04 14:45:42.843 Date: Fri, 04 Mar 2005 06:45:19 GMT
2005-03-04 14:45:42.843 Content-Type: text/html
2005-03-04 14:45:42.843 Content-Length: 1144
2005-03-04 14:45:42.843 Expires: Fri, 04 Mar 2005 06:45:19 GMT
2005-03-04 14:45:42.843 X-Squid-Error: ERR_ACCESS_DENIED 0
2005-03-04 14:45:42.843 X-Cache: MISS from amd.zzzx.net.cn
2005-03-04 14:45:42.843 Connection: keep-alive
2005-03-04 14:45:42.859 等待 5 秒后重試
2005-03-04 14:45:44.812 用戶暫停在 0[/quote:455be0e1f8]
[quote:455be0e1f8][root@amd squid]# tail access.log
1109918593.578 1 192.168.30.2 TCP_DENIED/403 1436 GET http://dn.clubhi.com/2005.mp3 - NONE/- text/html
1109918606.563 46 192.168.30.2 TCP_DENIED/403 1436 GET http://dn.clubhi.com/2005.mp3 - NONE/- text/html
1109918611.604 25 192.168.30.2 TCP_DENIED/403 1436 GET http://dn.clubhi.com/2005.mp3 - NONE/- text/html
1109918616.666 24 192.168.30.2 TCP_DENIED/403 1436 GET http://dn.clubhi.com/2005.mp3 - NONE/- text/html[/quote:455be0e1f8]
當我從另外不經過代理的機器下載這個mp3時，速度飛快，幾MB的文件時間還沒有顯示出來就已經下載完了。
| flying864 回復于：2005-03-06 08:59:58 | ||||||||||||||||||||||||||||||||||
| 有遇到過樓主一樣的問題！后來解決了，想把解決過程貼出來的，被樓主搶先一步！ | ||||||||||||||||||||||||||||||||||
| 水中風鈴 回復于：2005-03-06 18:16:41 | ||||||||||||||||||||||||||||||||||
| [code:1:6021ef875c]后來我在代理服務器上面運行setup，重新配置防火墻，在自定義端口那里寫了53，然后重啟iptables，重新運行自己的firewall腳本問題解決，squid都沒有重啟，成功！也就是說只是在代理服務器上面增開了53端口。[/code:1:6021ef875c]
究竟做了什么？看不懂！ &:roll:運行setup？這是做什么的？ 應該是在防火墻上開了53端口吧？ | ||||||||||||||||||||||||||||||||||
| arbor 回復于：2005-03-06 18:21:04 | ||||||||||||||||||||||||||||||||||
| 執行setup命令，里面有個配置防火墻的選項，可以配置允許哪些端口，其中最后有個自定義的端口，寫上53（DNS），然后執行：service iptables restart ，再運行一下自己寫的那個防火墻腳本/etc/rc.d/firewall，OK！ | ||||||||||||||||||||||||||||||||||
| arbor 回復于：2005-03-11 14:30:14 | ||||||||||||||||||||||||||||||||||
| 我用一臺電腦作客戶機作測試沒有問題，現在放到網絡的出口的地方問題來了，只有和eth1在同一IP段的才可以通過代理上網，其他段都不行，還經常有錯誤提示：
tail /var/log/message: [quote:11612c8126]Mar 11 13:16:51 amd iptables: &succeeded Mar 11 13:16:51 amd last message repeated 2 times Mar 11 13:16:51 amd kernel: ip_tables: (C) 2000-2002 Netfilter core team Mar 11 13:16:51 amd kernel: ip_conntrack version 2.1 (8191 buckets, 65528 max) - 356 bytes per conntrack Mar 11 13:16:51 amd iptables: &succeeded Mar 11 13:19:22 amd squid[4027]: Squid Parent: child process 4074 exited with status 0 Mar 11 13:19:23 amd squid[6540]: Squid Parent: child process 6542 started Mar 11 13:19:23 amd kernel: audit(1110518363.451:0): avc: &denied &{ getattr } for &pid=6542 exe=/usr/sbin/squid path=/boot dev=hda1 ino=2 scontext=root:system_r:squid_t tcontext=system_u:object_r:boot_t tclass=dir Mar 11 13:26:57 amd iptables: &succeeded Mar 11 13:26:57 amd last message repeated 2 times Mar 11 13:26:57 amd kernel: ip_tables: (C) 2000-2002 Netfilter core team Mar 11 13:26:57 amd kernel: ip_conntrack version 2.1 (8191 buckets, 65528 max) - 356 bytes per conntrack Mar 11 13:26:57 amd iptables: &succeeded Mar 11 13:30:06 amd kernel: tg3: eth0: Link is down. Mar 11 13:30:07 amd kernel: tg3: eth0: Link is up at 100 Mbps, full duplex. Mar 11 13:30:07 amd kernel: tg3: eth0: Flow control is on for TX and on for RX. Mar 11 13:30:10 amd kernel: tg3: eth0: Link is down. Mar 11 13:30:14 amd kernel: tg3: eth1: Link is down. Mar 11 13:32:38 amd (squid): xstrdup: tried to dup a NULL pointer! Mar 11 13:32:38 amd squid[6540]: Squid Parent: child process 6542 exited due to signal 6 Mar 11 13:32:41 amd squid[6540]: Squid Parent: child process 6717 started Mar 11 13:32:41 amd kernel: audit(1110519161.625:0): avc: &denied &{ getattr } for &pid=6717 exe=/usr/sbin/squid path=/boot dev=hda1 ino=2 scontext=root:system_r:squid_t tcontext=system_u:object_r:boot_t tclass=dir [/quote:11612c8126] 特別是這一行經常自己跳出來，不知道什么意思： [color=red:11612c8126]Mar 11 13:32:41 amd kernel: audit(1110519161.625:0): avc: &denied &{ getattr } for &pid=6717 exe=/usr/sbin/squid path=/boot dev=hda1 ino=2 scontext=root:system_r:squid_t tcontext=system_u:object_r:boot_t tclass=dir[/color:11612c8126] 我已經把squid.conf里面加入其他的IP段，改了網卡IP，在防火墻腳本里面增加了其他段的轉發，新的防火墻腳本如下： [code:1:11612c8126]echo "starting ip forward" echo 1 >/proc/sys/net/ipv4/ip_forward echo "starting iptables rules" modprobe ip_tables modprobe ip_nat_ftp /sbin/iptables -F -t nat iptables -t nat -A PREROUTING -i eth1 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128 iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j SNAT --to 192.168.2.2 iptables -t nat -A POSTROUTING -s 192.168.10.0/24 -o eth0 -j SNAT --to 192.168.2.2 iptables -t nat -A POSTROUTING -s 192.168.90.0/24 -o eth0 -j SNAT --to 192.168.2.2 iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE[/code:1:11612c8126] | ||||||||||||||||||||||||||||||||||
| 60133056 回復于：2005-03-12 13:39:41 | ||||||||||||||||||||||||||||||||||
| 不錯 | ||||||||||||||||||||||||||||||||||
| wchun 回復于：2005-03-22 13:10:11 | ||||||||||||||||||||||||||||||||||
| 我通常在iptables 里面再加上一條，對53端口dns請求轉發到電信的dns上去，這樣客戶端不用再設置其他的dns 了。直接使用網關的ip作為dns. | ||||||||||||||||||||||||||||||||||
| niao5929 回復于：2005-03-22 14:50:31 | ||||||||||||||||||||||||||||||||||
| 好文 | ||||||||||||||||||||||||||||||||||
| doubleshe 回復于：2005-03-24 13:19:30 | ||||||||||||||||||||||||||||||||||
我按照你的方法,可是出現這樣的提示是因為什么啊!!!!
|
| |||||||||||||||||||||||||||||||||
