CentOS 7 搭建 Squid 代理服务器：正向代理、用户认证、透明代理与反向代理

发布时间：2026/10/29 14:40:54

CentOS 7 搭建 Squid 代理服务器：正向代理、用户认证、透明代理与反向代理
# CentOS 7 搭建 Squid 代理服务器正向代理、用户认证、透明代理与反向代理1. 服务介绍Squid 是 HTTP/HTTPS 代理和缓存服务可集中转发客户端 Web 请求、实施访问控制、记录访问日志并缓存部分静态内容。典型场景包括内网统一出口、显式正向代理、用户认证、HTTP 透明代理和 Web 反向代理。本文按原实验拓扑整理四部分显式正向代理、Basic 用户认证、透明代理及反向代理并补充防火墙、SELinux、HTTPS 拦截风险和客户端/服务端验证命令。2. 准备运行环境• Squid 服务器CentOS 7.x两块网卡。• 内网网卡ens33地址10.1.100.101/24不配置默认网关。• 外网网卡ens37通过 NAT 或上级网络访问 Internet。• 测试客户端10.1.100.102/24。• 操作权限root或具备sudo权限的管理员账号。• 软件源YUM 可用客户端和服务器内网互通。VMware 桥接网络用于模拟内网VMware NAT 网络用于访问外网为 Squid 虚拟机添加桥接和 NAT 两块网卡配置网络# /etc/sysconfig/network-scripts/ifcfg-ens33 TYPEEthernet BOOTPROTOnone DEVICEens33 ONBOOTyes IPADDR10.1.100.101 PREFIX24# /etc/sysconfig/network-scripts/ifcfg-ens37 TYPEEthernet BOOTPROTOdhcp DEVICEens37 ONBOOTyes重启网络并检查路由。默认路由应从ens37出口获得systemctl restart network ip -br addr ip route ping -c 4 10.1.100.102 ping -c 4 8.8.8.83. 相关知识• Squid 默认显式代理端口为 TCP 3128。• ACL 只负责定义匹配条件http_access allow/deny才执行访问控制。•http_access从上到下匹配命中后立即停止规则顺序错误会导致越权或全部拒绝。• 显式代理由客户端主动配置代理地址透明代理通过网关重定向 HTTP 请求客户端无需手工填写代理。• HTTPS 透明拦截需要ssl-bump和受客户端信任的 CA 证书会解密客户端流量。只应在有明确授权、告知和证书管理的实验或企业环境中使用。• 现代 HTTPS、HSTS、证书固定和 QUIC 会降低透明代理兼容性。无法控制客户端信任链时只做 HTTP 拦截或使用显式代理。• 缓存命中率取决于响应头、对象类型和访问重复度。动态页面、登录会话和禁止缓存的响应通常不会缓存。• Squid 日志主要位于/var/log/squid/access.log、cache.log和store.log。• 反向代理参数originserver必须拼写正确旧原文中的orignserver是错误拼写。• 不要通过停止 firewalld 或关闭 SELinux 解决访问问题应放行实际端口并检查审计日志。4. 实验步骤4.1 安装并初始化 Squidyum -y install squid httpd-tools openssl cp -a /etc/squid/squid.conf /etc/squid/squid.conf.bak.$(date %F-%H%M%S) squid -v squid -z systemctl enable squid4.2 配置显式正向代理编辑/etc/squid/squid.conf保留必要安全端口并允许内网http_port 3128 acl localnet src 10.1.100.0/24 acl SSL_ports port 443 acl Safe_ports port 80 acl Safe_ports port 443 acl CONNECT method CONNECT http_access deny !Safe_ports http_access deny CONNECT !SSL_ports http_access allow localhost http_access allow localnet http_access deny all cache_mem 128 MB maximum_object_size_in_memory 512 KB cache_dir ufs /var/spool/squid 2048 16 256 access_log /var/log/squid/access.log squid检查并启动squid -k parse squid -z systemctl restart squid systemctl --no-pager --full status squid保留 SELinux放行代理端口firewall-cmd --permanent --add-port3128/tcp firewall-cmd --reload setsebool -P squid_connect_any 1客户端设置10.1.100.102/24。显式代理测试阶段可以不配默认网关确认流量只能通过代理访问外网未设置代理时浏览器不能访问外网在 Windows 代理设置中启用手动代理代理地址填写10.1.100.101端口填写3128配置后浏览器能够通过 Squid 访问网站4.3 增加 Basic 用户认证创建认证文件和用户htpasswd -c /etc/squid/passwd qwe chown squid:squid /etc/squid/passwd chmod 640 /etc/squid/passwd在squid.conf中加入auth_param basic program /usr/lib64/squid/basic_ncsa_auth /etc/squid/passwd auth_param basic children 5 auth_param basic realm Squid_Proxy auth_param basic credentialsttl 2 hours acl authenticated proxy_auth REQUIRED acl localnet src 10.1.100.0/24 http_access deny !Safe_ports http_access deny CONNECT !SSL_ports http_access allow localhost http_access allow localnet authenticated http_access deny all如果必须认证删除或注释原来的http_access allow localnet否则客户端可能绕过认证规则。squid -k parse systemctl reload squid4.4 配置 HTTP 透明代理透明代理要求 Squid 服务器成为客户端网关。开启 IPv4 转发cat /etc/sysctl.d/90-squid-forward.conf EOF net.ipv4.ip_forward 1 EOF sysctl --system sysctl net.ipv4.ip_forward在squid.conf增加拦截端口http_port 3129 intercept acl localnet src 10.1.100.0/24 http_access allow localnet http_access deny all使用 firewalld direct 规则重定向 HTTP并启用出口伪装firewall-cmd --permanent --add-masquerade firewall-cmd --permanent --add-port3129/tcp firewall-cmd --permanent --direct --add-rule ipv4 nat PREROUTING 0 \ -i ens33 -s 10.1.100.0/24 -p tcp --dport 80 \ -j REDIRECT --to-ports 3129 firewall-cmd --reload客户端默认网关改为10.1.100.101DNS 使用实验环境可达的 DNS 服务器浏览器不再配置显式代理先验证 HTTP 网站。HTTPS 需要下一节的证书和ssl-bump4.5 实验性 HTTPS ssl-bump先确认 Squid 编译参数包含 SSL 证书生成支持squid -v | egrep ssl|ssl-crtd生成实验 CA 密钥、请求和自签名证书mkdir -p /etc/squid/ssl cd /etc/squid/ssl openssl genrsa -out squid.key 2048 openssl req -new -key squid.key -out squid.csr openssl x509 -req -days 3650 -signkey squid.key -in squid.csr -out squid.crt chmod 600 squid.key chown -R squid:squid /etc/squid/ssl初始化动态证书数据库/usr/lib64/squid/ssl_crtd -c -s /var/lib/ssl_db chown -R squid:squid /var/lib/ssl_db配置 HTTPS 拦截https_port 3130 intercept ssl-bump \ cert/etc/squid/ssl/squid.crt \ key/etc/squid/ssl/squid.key \ generate-host-certificateson \ dynamic_cert_mem_cache_size4MB sslcrtd_program /usr/lib64/squid/ssl_crtd -s /var/lib/ssl_db -M 4MB acl step1 at_step SslBump1 ssl_bump peek step1 ssl_bump bump all添加 HTTPS 重定向firewall-cmd --permanent --add-port3130/tcp firewall-cmd --permanent --direct --add-rule ipv4 nat PREROUTING 0 \ -i ens33 -s 10.1.100.0/24 -p tcp --dport 443 \ -j REDIRECT --to-ports 3130 firewall-cmd --reload squid -k parse systemctl restart squid必须把squid.crt导入客户端“受信任的根证书颁发机构”。未导入时浏览器会显示证书错误。不要在未经授权的网络启用ssl-bump。4.6 配置反向代理实验拓扑• Squid 内网10.1.100.101/24。• Web 服务器10.1.100.102/24。• Squid 外网172.16.1.101/24。• 外部客户端172.16.1.102/24。Web 服务器提供 HTTP 和 HTTPS 页面Squid 双网卡状态下面配置由 Squid 终止外部 HTTPS再通过 HTTP 访问后端避免原文DONT_VERIFY_PEER绕过后端证书校验http_port 172.16.1.101:80 accel vhost vport https_port 172.16.1.101:443 accel vhost \ cert/etc/squid/ssl/squid.crt \ key/etc/squid/ssl/squid.key cache_peer 10.1.100.102 parent 80 0 no-query originserver nameweb_backend cache_peer_access web_backend allow all never_direct allow all http_access allow all生产环境不要直接http_access allow all。应根据域名或外部来源创建 ACLacl published_site dstdomain proxy.example.com http_access allow published_site http_access deny all放行反向代理端口并检查配置firewall-cmd --permanent --add-servicehttp firewall-cmd --permanent --add-servicehttps firewall-cmd --reload squid -k parse systemctl restart squid客户端通过 Squid 外网地址访问 HTTP客户端访问 HTTPS5. 验证结果5.1 服务端验证squid -k parse systemctl --no-pager --full status squid ss -lntp | egrep :3128|:3129|:3130|:80|:443 firewall-cmd --list-all firewall-cmd --direct --get-all-rules sysctl net.ipv4.ip_forward5.2 显式代理验证curl -x http://10.1.100.101:3128 -I http://example.com curl -x http://qwe:用户密码10.1.100.101:3128 -I http://example.com客户端 PowerShellTest-NetConnection 10.1.100.101 -Port 3128 curl.exe -x http://10.1.100.101:3128 -I http://example.com5.3 透明代理验证客户端不设置浏览器代理默认网关指向10.1.100.101ipconfig /all tracert 8.8.8.8 curl.exe -I http://example.com服务端检查 NAT 计数和访问日志iptables -t nat -L PREROUTING -n -v --line-numbers tail -f /var/log/squid/access.log5.4 反向代理验证curl -I http://172.16.1.101/ curl -kI https://172.16.1.101/检查后端连通性和缓存命中curl -I http://10.1.100.102/ grep -E TCP_HIT|TCP_MISS|TCP_TUNNEL /var/log/squid/access.log | tail -n 505.5 故障排查tail -n 100 /var/log/squid/cache.log tail -n 100 /var/log/squid/access.log journalctl -u squid -n 100 --no-pager ausearch -m AVC -ts recent配置语法通过、Squid 服务正常、对应端口监听、客户端请求出现在access.log显式代理或透明代理能够访问目标网站反向代理能够返回后端页面说明配置生效。

相关新闻

138、NPU的仿真测试：使用Accelergy进行能耗仿真

138、NPU的仿真测试：使用Accelergy进行能耗仿真

NPU的仿真测试：使用Accelergy进行能耗仿真 上周调试一块自研的NPU加速卡，板子跑起来了，功能验证通过，结果一测功耗——比预期高了40%。项目经理盯着我，眼神里写满了“你设计时没算过？”我当然算过，但手算的RTL级功耗模型和实际硅片差了十万八千里。这就是今天要聊的Acc…

2026/10/29 14:40:44 阅读更多 →
大模型训练原理与关键技术解析

大模型训练原理与关键技术解析

1. 大模型训练的基础原理 现代大模型训练的核心在于Transformer架构的规模化应用。2017年Google提出的Transformer结构彻底改变了自然语言处理的范式，其自注意力机制（Self-Attention）允许模型在处理每个词时动态关注输入序列的所有位置。当我…

2026/10/29 0:36:49 阅读更多 →
通过用量看板观测不同模型API的调用延迟与Token消耗情况

通过用量看板观测不同模型API的调用延迟与Token消耗情况

通过用量看板观测不同模型API的调用延迟与Token消耗情况 对于已经将大模型能力集成到自身应用中的开发者而言，API调用的实际表现与成本构成是持续优化决策的关键。Taotoken平台提供的用量看板与账单详情功能，正是为此类观测需求而设计。它不承诺任何基准…

2026/10/26 3:53:34 阅读更多 →

最新新闻

Electron桌面应用开发实战：从环境搭建到打包发布全流程

Electron桌面应用开发实战：从环境搭建到打包发布全流程

做前端这些年，我大部分时间都在跟浏览器标签页打交道，直到第一次把桌面应用跑起来，才发现原来自己一直被限制在地址栏和刷新按钮围起来的框框里。Electron这个词，最开始是在某段时间频繁出现在同事的讨论里，一个用HTML…

2026/10/28 23:48:14 阅读更多 →
滑盖智能锁T109深度解析：结构原理、安装调试与故障排查

滑盖智能锁T109深度解析：结构原理、安装调试与故障排查

简介：亚太天能T109滑盖智能锁产品说明书是一份PDF格式的官方技术文档，主要面向智能锁安装人员、终端用户及售后维护者，帮助快速掌握产品安装、配置与常见故障处理。全包仅1个PDF文件，大小4.37MB，内容结构清晰&#xff…

2026/10/29 8:45:01 阅读更多 →
PMSM弱磁控制原理与Simulink建模：高速AGV驱动系统设计指南

PMSM弱磁控制原理与Simulink建模：高速AGV驱动系统设计指南

上个月我在调试一台高速AGV的驱动系统，整车要求空载跑到8m/s，电机转速已经拉到额定点，驱动器的输出电压也顶到了母线电压极限附近。再往上踩速度指令，转速纹丝不动，三相电流反而开始震荡。那会儿我的第一反应就是&…

2026/10/29 9:52:56 阅读更多 →
C++核心知识点：从内存管理到STL的实战指南

C++核心知识点：从内存管理到STL的实战指南

C 这门语言我前前后后折腾了十几年，用它写过嵌入式驱动、做过游戏服务端，也搭过基础组件库。每次看到新人一头扎进"C 核心知识点"这个搜索词，我其实挺感慨的——这门语言的难点从来不是语法多，而是知识点之间的耦合太深…

2026/10/28 22:10:30 阅读更多 →
T109滑盖智能锁怎么装？安装调试与故障排查全攻略

T109滑盖智能锁怎么装？安装调试与故障排查全攻略

简介：亚太天能T109滑盖智能锁产品说明书以PDF格式发布，适合智能锁用户、安装人员与售后维修人员阅读。内容围绕T109系列指纹密码刷卡锁展开，先介绍前面板、后面板、锁体、机械钥匙、电池盒盖等部件名称与功能，再给出完整安装步骤&…

2026/10/29 9:51:34 阅读更多 →
LLM知识降熵：从信息垄断到理解权下放

LLM知识降熵：从信息垄断到理解权下放

你有没有过这种经历：翻开源码注释、论文摘要或者一份专业报告，每个字都认识，连在一起却像天书。想找人聊聊，身边要么没人懂，要么懂的懒得跟你解释。后来我试着把同一段内容丢给一个大语言模型，几秒钟之后&a…

2026/10/29 8:44:28 阅读更多 →

日新闻

周新闻

月新闻

我发现了一个新思路：用 Remotion + Claude Code 像写代码一样自动化生成短视频

我发现了一个新思路：用 Remotion + Claude Code 像写代码一样自动化生成短视频

/* MD / 富文本中的 .toc（含博客园搬家等嵌套结构）；.toc-box 在侧栏，不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p（:empty 仍占 20px），一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views …

2026/10/28 16:58:40 阅读更多 →
Windows下 Codex 中 Chrome 和 Computer Use 插件不可用问题排查及解决参考方式：TaoToken 统一 Key 配置与验证

Windows下 Codex 中 Chrome 和 Computer Use 插件不可用问题排查及解决参考方式：TaoToken 统一 Key 配置与验证

/* MD / 富文本中的 .toc（含博客园搬家等嵌套结构）；.toc-box 在侧栏，不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p（:empty 仍占 20px），一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views …

2026/10/29 9:42:17 阅读更多 →
黑夜航拍船只数据集训练YOLOV5模型全流程解析

黑夜航拍船只数据集训练YOLOV5模型全流程解析

/* MD / 富文本中的 .toc（含博客园搬家等嵌套结构）；.toc-box 在侧栏，不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p（:empty 仍占 20px），一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views …

2026/10/28 19:25:09 阅读更多 →