用户认证功能的SQUID代理服务器

在一般的网络规模中，在近客户端，使用一台性能较好的Cache代理服务器，就可以满足内部用户的需求，减缓出口线路的拥堵问题。但如果内部网络已扩张到相当庞杂，用户机器数量达到数万台，同一时间的URL请求可能达到上万个，这种情况下极有可能造成单台代理服务器无法及时处理，甚至瘫痪，代理服务器反而会成为新的瓶颈。

为了有效解决此类情况，我们可以在内部网络中布置多台代理服务器，代理服务器之间构成Hierarchies(层次)，协同工作，减缓负载，减轻线路压力。

具体配置方法

下面结合我校的实际情况，说明层次代理服务器的架设方法。

·最新免费HTTP代理服务器
·代理服务器隐藏IP地址的技巧
·Socks5代理服务器(proxy)简介
·简单实用的代理服务器CCProxy
·代理服务器SuperProxy软件----专线共
·什么是代理服务器
·代理服务器SuperProxy软件---网吧共享
·双网卡宽带代理服务器的设置
·绕道访问国外网站 免费代理服务器放送
·哼，代理服务器的问题我自己搞定了。

图1

图1是校园网的拓扑结构，内部网通过路由器，由两个出口线路分别接入CERNET和CHINANET，最终汇入Internet。大多数的高校现在都采用这种多出口的方法，因为CERNET虽然可以给予高校合法的IP地址，但它多采用出国流量计费或包月制，费用较高且带宽有限;而CHINANET、CNCNET等运营商的线路的包月费用相对较低，出口访问速度较快。所以一般情况下使用CERNET作入口访问及必要的出口访问(如访问教育资源)，而使用CHINANET、CNCNET作大部分的出口访问。

我校校园网在地理上分为多个区域，有图书馆及教学区、行政办公区、学生宿舍区等，我们只拿出这三个区域做为例子。在这三个区域中分别放置一台代理服务器，其域名分别为lib.Cache.lyac.edu.cn 、adm.Cache.lyac.edu.cn 、stu.Cache.lyac.edu.cn 。

其中，因为图书馆购买的学术期刊论文数据库必须是合法IP(有的要求固定IP)才能访问查询，并且校园网也需要访问CERNET上的许多教育资源，所以把它的默认出口线路放到CERNET上，使用合法IP地址;其它两个区域的默认出口线路都放到CHINANET上，ISP通常不会给学校提供合法的IP，所以我们一般在这样的Cache上使用两块网卡，一块使用内网虚地址，另一块使用ISP提供的虚地址，这样就可以连接到ISP，再由其转发。

Cache Server可以是在一台普通的服务器加上Cache软件构成，也有由专用的软硬件系统构成的商业Cache服务器(如CacheFlow)。我校的代理服务器使用Squid。Squid代理服务器使用Squid.conf作为配置文件，单台代理服务器的应用配置——特别是ACL和http_access的配合使用方法，有很多参考资料，这里不再赘叙，我们只讲squid.conf文件中和Cache层次有关的常用配置选项，其详细用法参看squid文档。

下面列出三个区域Cache中的只有和层次有关的配置内容，其中结合ACL的配置方法多种多样，例如可以使用icp_access、 miss_access控制外部Cache的请求权限;有些配置选项的使用结果也是相似的。“#”号开头的为注释。

(1) 图书馆及教学区Cache的配置

http_port 3128

icp_port 3130

#定义其它两个区域的Cache和自己的关系

Cache_peer adm.Cache.lyac.edu.cn sibling 3128 3130

Cache_peer stu.Cache.lyac.edu.cn sibling 3128 3130

#设定只有非.edu.cn域的URL自己没有时才请求其它两个区域的Cache帮助

Cache_peer_domain adm.Cache.lyac.edu.cn !.edu.cn

Cache_peer_domain stu.Cache.lyac.edu.cn !.edu.cn

#10.10.0.0/16是校园网使用的内网虚地址

acl LocalNetIPVIR src 10.10.0.0/16

#210.44.48.0/20是校园网使用的合法IP地址

acl LocalNetIPTRUE src 210.44.48.0/20

#.lyac.edu.cn是校园网的域

acl LocalDomain srcdomain .lyac.edu.cn

acl all src 0.0.0.0/0.0.0.0

Cache_peer_access adm.Cache.lyac.edu.cn allow LocalNetIPVIR

Cache_peer_access adm.Cache.lyac.edu.cn allow LocalNetIPTRUE

Cache_peer_access adm.Cache.lyac.edu.cn allow srcdomain

Cache_peer_access stu.Cache.lyac.edu.cn allow LocalNetIPVIR

Cache_peer_access stu.Cache.lyac.edu.cn allow LocalNetIPTRUE

Cache_peer_access stu.Cache.lyac.edu.cn allow srcdomain

Cache_peer_access adm.Cache.lyac.edu.cn deny all

Cache_peer_access stu.Cache.lyac.edu.cn deny all

#设定只为本校的Cache提供层次服务，以防被局域网外的Cache非法利用

icp_access allow LocalNetIPVIR

icp_access allow LocalNetIPTRUE

icp_access allow srcdomain

icp_access deny all

(2)行政办公区Cache的配置(Cache_peer_access的访问控制列表同行政办公区)

http_port 3128

icp_port 3130

Cache_peer lib.Cache.lyac.edu.cn parent 3128 3130

Cache_peer stu.Cache.lyac.edu.cn sibling 3128 3130

#设定缓存中没有.edu.cn的object时才请求lib.Cache.lyac.edu.cn协助抓取

Cache_peer_domain lib.Cache.lyac.edu.cn .edu.cn

Cache_peer_domain stu.Cache.lyac.edu.cn !.edu.cn

(3)学生宿舍区Cache的配置内容大致同行政办公区，从略。

外部网络上有一些免费的可用来组成层次的Cache，如图1所示，可以申请代理服务器D(CERNET上)和E(Internet上)作为您的parent 或sibling，在申请获得通过后就可以在本地Cache上设置peer关系得到object。

层次代理服务器有效解决了局域网规模太大时多台代理服务器的协调工作问题，更加有效地节约带宽，优化网络中的信息流动，保障网络的正常健康运行。