基於Linux2.4內核的透明代理解決方案之二

　　摘要 該文討論了如何在Linux2.4環境下如何通過iptables和squid實現透明代理。(2002-06-24 12:55:35) By 處處 　　摘要：該文討論了如何在Linux2.4環境下如何通過iptables和squid實現透明代理。 　　硬件環境：聯想奔月 雙網卡 　　軟件環境：kernel 2.4.7 squid-2.4.STABLE1 1.什麼是代理服務器？ 　　 所謂代理服務器是指代表內部私有網中的客戶連接互聯網www資源的外部服務器的程序。客戶與代理服務器對話，它們接收客戶請求，然後連接真實的服務器，請求得到數據並將響應數據返回給客戶。代理服務器發揮了中間轉接作用。 　　在代理方式下，私有網絡的數據包從來不能直接進入互聯網，而是需要經過代理的處理。同樣，外部網的數據也不能直接進入私有網，而是要經過代理處理以後才能到達私有網，因此在代理上就可以進行訪問控制，地址轉換等功能。目前，代理服務器軟件有很多，如Netscape Suit Proxy，MS Proxy，Wingate，squid等。這些代理服務器不僅能起到防火牆的作用，而且還可以加速局域網用戶對INTERNET的訪問，因為代理服務器有一個大的緩沖器，將每次浏覽的網頁都保存起來，在下一次訪問該頁時就直接從緩沖器裡調出，而無需再次訪問原始服務器。 2.什麼是透明代理？ 　　透明代理技術中的透明是指客戶端感覺不到代理的存在，不需要在浏覽器中設置任何代理，客戶只需要設置缺省網關，客戶的訪問外部網絡的數據包被發送到缺省網關，而這時缺省網關運行有一個代理服務器，數據實際上被被重定向到代理服務器的代理端口（如8080），即由本地代理服務器向外請求所需數據然後拷貝給客戶端。理論上透明代理可以對任何協議通用。 　　但是在這種情況下客戶端必須正確設置DNS服務器。因為現在浏覽器不設置任何代理。則DNS查詢必須由browser來解析，也就是要由客戶端必須在TCP/IP中設置的正確的DNS服務器，其完成dns解析。 　　例如: 從私有網絡上訪問因特網上的 web 站點。 　　私有網地址為192.168.1.*, 其中客戶機是192.168.1.100，防火牆機器網卡是192.168.1.1。透明web代理被安裝在防火牆機器上並配置端口為8080。內核使用 iptables把與防火牆端口80的連接重定向到代理服務。私有網上的Netscape被配置為直接連接方式。私有網絡的客戶機需要設置DNS服務器。私有網絡上機器的默認路由(別名網關)指向防火牆機器。客戶機機器上的 Netscape 訪問 http://slashdot.org。 　　1.Netscape通過查找"slashdot.org", 得到它的地址為207.218.152.131. 然後它使用端口1050與此地址建立一個連接,並向web站點發出請求。 　　2.當包由客戶機 (port 1050)通過防火牆送往slashdot.org(port 80)時, 它們重定向到代理服務重定的8080端口。透明代理使用端口1025與207.218.152.131的端口80(這是原始包的目的地址)建立一個連接。 　　3. 當代理服務收到從 web 站點傳來的頁面後, 通過已經建立的連接把它復制給 Netscape。 　　4. Netscape 顯示此頁面。 　　5. 從slashdot.org 的角度來看，連接是由1.2.3.4(防火牆的撥號連接IP地址)的端口1025到 207.218.152.131的端口80。從客戶機的角度來看，連接是從192.168.1.100(客戶機)端口1050連接到 207.218.152.131(slashdot.org)的端口80, 但是, 它實際是在與透明代理服務器對話。 　　這就是透明代理的操作流程。 3.內核編譯 　　 一般來講，透明代理所在機器往往是帶動整個局域網聯入互聯網的入口，因此該機器往往需要配置防火牆規則以對內部網絡進行防護。因此在編譯內核時也許要考慮將防火牆支持選項編譯進去。一般來說需要在使用make menUConfig命令配置時打開如下選項： [*]Networking support [*]Sysctl support [*]Network packet filtering [*]TCP/IP networking


[*]/proc filesystem support [*] Kernel/User netlink socket [*] Netlink device emulation [*] Connection tracking (required for masq/NAT) [*] FTP protocol support [*] IP tables support (required for filtering/masq/NAT) <*> limit match support [*] MAC address match support [*] Netfilter MARK match support [*] Multiple port match support [*] TOS match support [*] Connection state match support [*] Packet filtering [*] REJECT target support [*] Full NAT [*] MASQUERADE target support [*] REDIRECT target support [*] Packet mangling [*] TOS target support [*] MARK target support [*] LOG target support 　　然後make dep ; make clean ;make bzImage命令來編譯內核。如果使用到了模塊，還需要使用下面命令生成和安裝模塊make modules;make modules-install。 　　將System.map復制到/boot目錄中，將 /usr/src/linux/arch/i386/boot/bzImage復制到 /boot目錄中並改名為 vmlinuz-2.4.7。最後安裝新內核並重新起動：lilo;shutdown -r now即可。 4.squid的安裝配置 　　下載： 　　可以從squid主網站下載： http://www.squid-cache.org/Versions/v2/2.4/squid-2.4.STABLE1-src.tar.gz 　　也可以從本地下載： http://www.linuxaid.com.cn/download/solution/squid-2.4.STABLE1-src.tar.gz 　　編輯安裝： [root@proxy src]# tar xvfz squid-2.4.STABLE1-src.tar.gz [root@proxy src]# cd squid-2.4.STABLE1 [root@proxy src]# ./configure [root@proxy src]# make all [root@proxy src]# make install 　　配置： 　　編輯/usr/local/squid/etc/squid.conf，修改以下內容，確保以下配置： httpd_accel_host virtual httpd_accel_port 80 httpd_accel_with_proxy on httpd_accel_uses_host_header on cache_effective_user nobody cache_effective_group nobody http_Access allow all 　　(所有的http_access命令都注釋掉，只留下這條，其實嚴格上來說應該限制只允許局域網用戶使用代理，具體可以參考squid手冊中關於Access Control Lists的內容來限制訪問代理) cache_dir ufs /usr/local/squid/cache 100 16 256 cache_dir type Directory-Name Mbytes Level-1 Level2 　　(說明：指定squid用來存儲對象的交換空間的大小及其目錄結構。可以用多個cache_dir命令來定義多個這樣的交換空間，並且這些交換空間可以分布不同的磁盤分區。"directory "指明了該交換空間的頂級目錄。如果你想用整個磁盤來作為交換空間，那麼你可以將該目錄作為裝載點將整個磁盤mount上去。缺省值為 /var/spool/squid。"Mbytes"定義了可用的空間總量。需要注意的是，squid進程必須擁有對該目錄的讀寫權力。"Level- 1"是可以在該頂級目錄下建立的第一級子目錄的數目，缺省值為16。同理，"Level-2"是可以建立的第二級子目錄的數目，缺省值為256。為什麼要定義這麼多子目錄呢？這是因為如果子目錄太少，則存儲在一個子目錄下的文件數目將大大增加，這也會導致系統尋找某一個文件的時間大大增加，從而使系統的整體性能急劇降低。所以，為了減少每個目錄下的文件數量，我們必須增加所使用的目錄的數量。如果僅僅使用一級子目錄則頂級目錄下的子目錄數目太大了，所以我們使用兩級子目錄結構。

　　那麼，怎麼來確定你的系統所需要的子目錄數目呢？我們可以用下面的公式來估算。 　　已知量： 　　DS = 可用交換空間總量（單位KB）/ 交換空間數目 　　OS = 平均每個對象的大小= 20k 　　NO = 平均每個二級子目錄所存儲的對象數目 = 256 　　未知量： 　　L1 = 一級子目錄的數量 　　L2 = 二級子目錄的數量 　　計算公式： 　　L1 x L2 = DS / OS / NO 　　(注意這是個不定方程，可以有多個解) 　　然後創建cache子目錄，並修改該目錄所有者為nobody： [root@proxy squid]# /usr/local/squid/cache [root@proxy squid]# chown nobody:nobody /usr/local/squid/cache 　　修改squid記錄目錄的所有者以允許squid訪問： [root@proxy squid]# chown nobody:nobody /usr/local/squid/logs 　　最後啟動squid： [root@iptable logs]# /usr/local/squid/bin/RunCache & 　　查看進程列表： [root@iptable logs]# ps ax 　　應該出現如下幾個進程： 1372 pts/0 S 0:00 /bin/sh /usr/local/squid/bin/RunCache 1375 pts/0 S 0:00 squid -NsY 1376 ? S 0:00 (unlinkd) 　　並且系統中應該有如下幾個端口被監聽： [root@proxy logs]# netstat -ln tcp 0 0 0.0.0.0:3128 0.0.0.0:* LISTEN udp 0 0 0.0.0.0:3130 0.0.0.0:* 　　這些說明squid已經正常啟動了。 　　然後/etc/rc.d/rc.local文件最後添加 /usr/local/squid/bin/RunCache & 以使得系統啟動時自動啟動squid服務器。 5.iptables的設置 　　在/etc/rc.d/目錄下用touch命令建立firewall文件，執行chmod u+x firewll以更改文件屬性，編輯/etc/rc.d/rc.local文件，在末尾加上/etc/rc.d/firewall以確保開機時能自動執行該腳本。 　　firewall文件內容為： #!/bin/sh echo "Enabling IP Forwarding..." echo 1 > /proc/sys/net/ipv4/ip_forward echo "Starting iptables rules..." #Refresh all chains /sbin/iptables -F -t nat iptables -t nat -A PREROUTING -i eth0 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128 iptables -t nat -A POSTROUTING -s 192.168.2.0/24 -o eth1 -j SNAT --to-source 200.200.200.200 　　如果需要還可以添加一些防火牆規則以增強安全性，具體參考： http://www.linuxaid.com.cn/engineer/bye2000/doc/iptables1.htm http://www.linuxaid.com.cn/engineer/bye2000/doc/iptables2.htm

5.iptables的設置 　　在/etc/rc.d/目錄下用touch命令建立firewall文件，執行chmod u+x firewll以更改文件屬性，編輯/etc/rc.d/rc.local文件，在末尾加上/etc/rc.d/firewall以確保開機時能自動執行該腳本。 　　firewall文件內容為： #!/bin/sh echo "Enabling IP Forwarding..." echo 1 > /proc/sys/net/ipv4/ip_forward echo "Starting iptables rules..." #Refresh all chains /sbin/iptables -F -t nat iptables -t nat -A PREROUTING -i eth0 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128 iptables -t nat -A POSTROUTING -s 192.168.2.0/24 -o eth1 -j SNAT --to-source 200.200.200.200 　　如果需要還可以添加一些防火牆規則以增強安全性，具體參考： http://www.linuxaid.com.cn/engineer/bye2000/doc/iptables1.htm http://www.linuxaid.com.cn/engineer/bye2000/doc/iptables2.htm

http://www.linuxaid.com.cn/engineer/bye2000/doc/iptables1.htm http://www.linuxaid.com.cn/engineer/bye2000/doc/iptables2.htm