《Squid訪問(wèn)控制：ACL元素以及訪問(wèn)列表》這篇文章為大家詳細(xì)講述了ACL元素以及http_access訪問(wèn)控制列表的語(yǔ)法以及使用過(guò)程中需要注意的問(wèn)題，下面給出使用這些訪問(wèn)控制方法的實(shí)例：

（1）允許網(wǎng)段61.0.3.188/24以及172.190.96.33/24內(nèi)的所有客戶機(jī)訪問(wèn)代理服務(wù)器，并且允許在文件/etc/squid/guest列出的客戶機(jī)訪問(wèn)代理服務(wù)器，除此之外的客戶機(jī)將拒絕訪問(wèn)本地代理服務(wù)器：

acl clients src 61.0.3.188/24 172.190.96.33/24

acl guests src “/etc/squid/guest”

acl all src 0.0.0.0/0.0.0.0

http_access allow clients

http_access allow guests

http_access deny all

其中，文件“/etc/squid/guest”中的內(nèi)容為：

172.168.10.3/24

210.113.24.8/16

10.0.1.24/25

（2）允許域名為job.net、gdfq.edu.cn的兩個(gè)域訪問(wèn)本地代理服務(wù)器，其他的域都將拒絕訪問(wèn)本地代理服務(wù)器：

acl permitted_domain src job.net gdfq.edu.cn

acl all src 0.0.0.0/0.0.0.0

http_access allow permitted_domain

http_access deny all

（3）使用正則表達(dá)式，拒絕客戶機(jī)通過(guò)代理服務(wù)器訪問(wèn)包含有諸如“sexy”等關(guān)鍵字的網(wǎng)站：

acl deny_url url_regex –i sexy

http_access deny deny_url

（4）拒絕客戶機(jī)通過(guò)代理服務(wù)器訪問(wèn)文件中指定IP或者域名的網(wǎng)站，其中文件/etc/squid/ deny_ip中存放有拒絕訪問(wèn)的IP地址，文件/etc/squid/deny_dns中存放有拒絕訪問(wèn)的域名：

acl deny_ip dst “etc/squid/deny_ip”

acl deny_dns dst “etc/squid/deny_dns”

http_access deny deny_ip

http_access deny deny_dns

（5）允許和拒絕指定的用戶訪問(wèn)指定的網(wǎng)站，其中，允許客戶1訪問(wèn)網(wǎng)站http://www.sina. com.cn，而拒絕客戶2訪問(wèn)網(wǎng)站http://www.163.com：

acl client1 src 192.168.0.118

acl client1_url url_regex ^http://www.sina.com.cn

acl client2 src 192.168.0.119

acl client2_url url_regex ^http://www.163.com

http_access allow client1 client1_url

http_access deny client2 client2_url

（6）允許所有的用戶在規(guī)定的時(shí)間內(nèi)（周一至周四的8：30到20：30）訪問(wèn)代理服務(wù)器，只允許特定的用戶（系統(tǒng)管理員，其網(wǎng)段為：　　192.168.10.0/24）在周五下午訪問(wèn)代理服務(wù)器，其他的在周五下午一點(diǎn)至六點(diǎn)一律拒絕訪問(wèn)代理服務(wù)器：

acl allclient src 0.0.0.0/0.0.0.0

acl administrator 192.168.10.0/24

acl common_time time MTWH 8:30-20:30

acl manage_time time F 13:00-18:00

http_access allow allclient common_time

http_access allow administrator manage_time

http_access deny manage_time

（7）/etc/squid.conf，系統(tǒng)軟件包提供、推薦的最小化配置如下，用戶可以根據(jù)實(shí)際情況來(lái)進(jìn)行定制

acl all src 0.0.0.0/0.0.0.0

acl manager proto cache_object

acl localhost src 192.168.10.3/255.255.255.255

acl SSL_ports port 443 563

acl Safe_ports port 80          # http

acl Safe_ports port 21          # ftp

acl Safe_ports port 443 563    # https， snews

acl Safe_ports port 70          # gopher

acl Safe_ports port 210         # wais

acl Safe_ports port 1025-65535 # unregistered ports

acl Safe_ports port 280         # http-mgmt

acl Safe_ports port 488         # gss-http

acl Safe_ports port 591         # filemaker

acl Safe_ports port 777         # multiling http

acl Safe_ports port 901         # SWAT

acl purge method PURGE

acl CONNECT method CONNECT

（...）

# Only allow cachemgr access from localhost

http_access allow manager localhost

http_access deny manager

# Only allow purge requests from localhost

http_access allow purge localhost

http_access deny purge

# Deny requests to unknown ports

http_access deny !Safe_ports

# Deny CONNECT to other than SSL ports

http_access deny CONNECT !SSL_ports

#

# INSERT YOUR OWN RULE（S）HERE TO ALLOW ACCESS FROM YOUR CLIENTS

#

http_access allow localhost

# And finally deny all other access to this proxy

http_access deny all

#Default:

# icp_access deny all

#

#Allow ICP queries from eveyone

icp_access allow all

配置帶認(rèn)證的代理服務(wù)抑制非法用戶使用代理服務(wù)

默認(rèn)時(shí)，Squid本身不帶任何認(rèn)證程序，但是可以通過(guò)外部認(rèn)證程序來(lái)實(shí)現(xiàn)用戶認(rèn)證。一般有以下的認(rèn)證程序：LDAP認(rèn)證、SMB認(rèn)證、基于mysql的認(rèn)證、基于sock5的密碼認(rèn)證和基于Radius的認(rèn)證。

下面介紹常用的ncsa實(shí)現(xiàn)的認(rèn)證，ncsa是Squid源代碼包自帶的認(rèn)證程序之一，從squid 2.5開(kāi)始都包含了ncsa的模塊。在Red Hat Enterprise Linux 發(fā)行套件的/usr/lib/squid目錄下可以找到ncsa_auth文件。

要使用該認(rèn)證服務(wù)，首先需要?jiǎng)?chuàng)建認(rèn)證用戶和密碼：

#htpasswd -c /usr/local/squid/etc/ps_file guest

如果是以后添加用戶的話就把-c的參數(shù)去掉。

然后，再更改/etc/squid/squid.conf主配置文件，添加如下：

//配置認(rèn)證文件和用戶文件

auth_param basic program /usr/lib/squid/ncsa_auth /usr/local/squid/etc/ ps_file

//指定認(rèn)證程序的進(jìn)程數(shù)

auth_param basic children 5

//代理服務(wù)器的名稱

auth_param basic realm Squid proxy-caching web server

//認(rèn)證有效時(shí)間為2小時(shí)

auth_param basic credentialsttl 2 hours

//只有認(rèn)證用戶才能訪問(wèn)

acl normal proxy_auth REQUIRED

http_Access allow normal

最后，重啟squid服務(wù)即可。在瀏覽器里配上這個(gè)代理，打開(kāi)任意網(wǎng)站，如果彈出了輸入用戶名和密碼的對(duì)話框，就證明配置成功了。