# CentOS 7 搭建 Squid 代理服务器正向代理、用户认证、透明代理与反向代理1. 服务介绍Squid 是 HTTP/HTTPS 代理和缓存服务可集中转发客户端 Web 请求、实施访问控制、记录访问日志并缓存部分静态内容。典型场景包括内网统一出口、显式正向代理、用户认证、HTTP 透明代理和 Web 反向代理。本文按原实验拓扑整理四部分显式正向代理、Basic 用户认证、透明代理及反向代理并补充防火墙、SELinux、HTTPS 拦截风险和客户端/服务端验证命令。2. 准备运行环境• Squid 服务器CentOS 7.x两块网卡。• 内网网卡ens33地址10.1.100.101/24不配置默认网关。• 外网网卡ens37通过 NAT 或上级网络访问 Internet。• 测试客户端10.1.100.102/24。• 操作权限root或具备sudo权限的管理员账号。• 软件源YUM 可用客户端和服务器内网互通。VMware 桥接网络用于模拟内网VMware NAT 网络用于访问外网为 Squid 虚拟机添加桥接和 NAT 两块网卡配置网络# /etc/sysconfig/network-scripts/ifcfg-ens33 TYPEEthernet BOOTPROTOnone DEVICEens33 ONBOOTyes IPADDR10.1.100.101 PREFIX24# /etc/sysconfig/network-scripts/ifcfg-ens37 TYPEEthernet BOOTPROTOdhcp DEVICEens37 ONBOOTyes重启网络并检查路由。默认路由应从ens37出口获得systemctl restart network ip -br addr ip route ping -c 4 10.1.100.102 ping -c 4 8.8.8.83. 相关知识• Squid 默认显式代理端口为 TCP 3128。• ACL 只负责定义匹配条件http_access allow/deny才执行访问控制。•http_access从上到下匹配命中后立即停止规则顺序错误会导致越权或全部拒绝。• 显式代理由客户端主动配置代理地址透明代理通过网关重定向 HTTP 请求客户端无需手工填写代理。• HTTPS 透明拦截需要ssl-bump和受客户端信任的 CA 证书会解密客户端流量。只应在有明确授权、告知和证书管理的实验或企业环境中使用。• 现代 HTTPS、HSTS、证书固定和 QUIC 会降低透明代理兼容性。无法控制客户端信任链时只做 HTTP 拦截或使用显式代理。• 缓存命中率取决于响应头、对象类型和访问重复度。动态页面、登录会话和禁止缓存的响应通常不会缓存。• Squid 日志主要位于/var/log/squid/access.log、cache.log和store.log。• 反向代理参数originserver必须拼写正确旧原文中的orignserver是错误拼写。• 不要通过停止 firewalld 或关闭 SELinux 解决访问问题应放行实际端口并检查审计日志。4. 实验步骤4.1 安装并初始化 Squidyum -y install squid httpd-tools openssl cp -a /etc/squid/squid.conf /etc/squid/squid.conf.bak.$(date %F-%H%M%S) squid -v squid -z systemctl enable squid4.2 配置显式正向代理编辑/etc/squid/squid.conf保留必要安全端口并允许内网http_port 3128 acl localnet src 10.1.100.0/24 acl SSL_ports port 443 acl Safe_ports port 80 acl Safe_ports port 443 acl CONNECT method CONNECT http_access deny !Safe_ports http_access deny CONNECT !SSL_ports http_access allow localhost http_access allow localnet http_access deny all cache_mem 128 MB maximum_object_size_in_memory 512 KB cache_dir ufs /var/spool/squid 2048 16 256 access_log /var/log/squid/access.log squid检查并启动squid -k parse squid -z systemctl restart squid systemctl --no-pager --full status squid保留 SELinux放行代理端口firewall-cmd --permanent --add-port3128/tcp firewall-cmd --reload setsebool -P squid_connect_any 1客户端设置10.1.100.102/24。显式代理测试阶段可以不配默认网关确认流量只能通过代理访问外网未设置代理时浏览器不能访问外网在 Windows 代理设置中启用手动代理代理地址填写10.1.100.101端口填写3128配置后浏览器能够通过 Squid 访问网站4.3 增加 Basic 用户认证创建认证文件和用户htpasswd -c /etc/squid/passwd qwe chown squid:squid /etc/squid/passwd chmod 640 /etc/squid/passwd在squid.conf中加入auth_param basic program /usr/lib64/squid/basic_ncsa_auth /etc/squid/passwd auth_param basic children 5 auth_param basic realm Squid_Proxy auth_param basic credentialsttl 2 hours acl authenticated proxy_auth REQUIRED acl localnet src 10.1.100.0/24 http_access deny !Safe_ports http_access deny CONNECT !SSL_ports http_access allow localhost http_access allow localnet authenticated http_access deny all如果必须认证删除或注释原来的http_access allow localnet否则客户端可能绕过认证规则。squid -k parse systemctl reload squid4.4 配置 HTTP 透明代理透明代理要求 Squid 服务器成为客户端网关。开启 IPv4 转发cat /etc/sysctl.d/90-squid-forward.conf EOF net.ipv4.ip_forward 1 EOF sysctl --system sysctl net.ipv4.ip_forward在squid.conf增加拦截端口http_port 3129 intercept acl localnet src 10.1.100.0/24 http_access allow localnet http_access deny all使用 firewalld direct 规则重定向 HTTP并启用出口伪装firewall-cmd --permanent --add-masquerade firewall-cmd --permanent --add-port3129/tcp firewall-cmd --permanent --direct --add-rule ipv4 nat PREROUTING 0 \ -i ens33 -s 10.1.100.0/24 -p tcp --dport 80 \ -j REDIRECT --to-ports 3129 firewall-cmd --reload客户端默认网关改为10.1.100.101DNS 使用实验环境可达的 DNS 服务器浏览器不再配置显式代理先验证 HTTP 网站。HTTPS 需要下一节的证书和ssl-bump4.5 实验性 HTTPS ssl-bump先确认 Squid 编译参数包含 SSL 证书生成支持squid -v | egrep ssl|ssl-crtd生成实验 CA 密钥、请求和自签名证书mkdir -p /etc/squid/ssl cd /etc/squid/ssl openssl genrsa -out squid.key 2048 openssl req -new -key squid.key -out squid.csr openssl x509 -req -days 3650 -signkey squid.key -in squid.csr -out squid.crt chmod 600 squid.key chown -R squid:squid /etc/squid/ssl初始化动态证书数据库/usr/lib64/squid/ssl_crtd -c -s /var/lib/ssl_db chown -R squid:squid /var/lib/ssl_db配置 HTTPS 拦截https_port 3130 intercept ssl-bump \ cert/etc/squid/ssl/squid.crt \ key/etc/squid/ssl/squid.key \ generate-host-certificateson \ dynamic_cert_mem_cache_size4MB sslcrtd_program /usr/lib64/squid/ssl_crtd -s /var/lib/ssl_db -M 4MB acl step1 at_step SslBump1 ssl_bump peek step1 ssl_bump bump all添加 HTTPS 重定向firewall-cmd --permanent --add-port3130/tcp firewall-cmd --permanent --direct --add-rule ipv4 nat PREROUTING 0 \ -i ens33 -s 10.1.100.0/24 -p tcp --dport 443 \ -j REDIRECT --to-ports 3130 firewall-cmd --reload squid -k parse systemctl restart squid必须把squid.crt导入客户端“受信任的根证书颁发机构”。未导入时浏览器会显示证书错误。不要在未经授权的网络启用ssl-bump。4.6 配置反向代理实验拓扑• Squid 内网10.1.100.101/24。• Web 服务器10.1.100.102/24。• Squid 外网172.16.1.101/24。• 外部客户端172.16.1.102/24。Web 服务器提供 HTTP 和 HTTPS 页面Squid 双网卡状态下面配置由 Squid 终止外部 HTTPS再通过 HTTP 访问后端避免原文DONT_VERIFY_PEER绕过后端证书校验http_port 172.16.1.101:80 accel vhost vport https_port 172.16.1.101:443 accel vhost \ cert/etc/squid/ssl/squid.crt \ key/etc/squid/ssl/squid.key cache_peer 10.1.100.102 parent 80 0 no-query originserver nameweb_backend cache_peer_access web_backend allow all never_direct allow all http_access allow all生产环境不要直接http_access allow all。应根据域名或外部来源创建 ACLacl published_site dstdomain proxy.example.com http_access allow published_site http_access deny all放行反向代理端口并检查配置firewall-cmd --permanent --add-servicehttp firewall-cmd --permanent --add-servicehttps firewall-cmd --reload squid -k parse systemctl restart squid客户端通过 Squid 外网地址访问 HTTP客户端访问 HTTPS5. 验证结果5.1 服务端验证squid -k parse systemctl --no-pager --full status squid ss -lntp | egrep :3128|:3129|:3130|:80|:443 firewall-cmd --list-all firewall-cmd --direct --get-all-rules sysctl net.ipv4.ip_forward5.2 显式代理验证curl -x http://10.1.100.101:3128 -I http://example.com curl -x http://qwe:用户密码10.1.100.101:3128 -I http://example.com客户端 PowerShellTest-NetConnection 10.1.100.101 -Port 3128 curl.exe -x http://10.1.100.101:3128 -I http://example.com5.3 透明代理验证客户端不设置浏览器代理默认网关指向10.1.100.101ipconfig /all tracert 8.8.8.8 curl.exe -I http://example.com服务端检查 NAT 计数和访问日志iptables -t nat -L PREROUTING -n -v --line-numbers tail -f /var/log/squid/access.log5.4 反向代理验证curl -I http://172.16.1.101/ curl -kI https://172.16.1.101/检查后端连通性和缓存命中curl -I http://10.1.100.102/ grep -E TCP_HIT|TCP_MISS|TCP_TUNNEL /var/log/squid/access.log | tail -n 505.5 故障排查tail -n 100 /var/log/squid/cache.log tail -n 100 /var/log/squid/access.log journalctl -u squid -n 100 --no-pager ausearch -m AVC -ts recent配置语法通过、Squid 服务正常、对应端口监听、客户端请求出现在access.log显式代理或透明代理能够访问目标网站反向代理能够返回后端页面说明配置生效。