基于认证的代理平台搭建配置squid-20130730
基于认证的代理平台搭建配置squid-20130730
功能：通过squid代理实现
(1)基于用户名密码认证的出口ip路由选择
(2)基于client源ip的出口ip路由选择
(3)基于连接本机ip的出口ip路由选择
(4)实现高度匿名代理
(5)通过snmp使用cacti监控squid的状态
一、squid 安装过程
wget http://www.squid-cache.org/Versions/v3/3.3/squid-3.3.8.tar.gz
tar xzvf squid-3.3.8.tar.gz
cd squid-3.3.8
./configure --prefix=/usr/local/squid
make
make install
二、开启多个公网ip
公网网卡挂接多个ip地址
# cp /etc/sysconfig/network-scripts/ifcfg-em2 /etc/sysconfig/network-scripts/ifcfg-em2:1
# cp /etc/sysconfig/network-scripts/ifcfg-em2 /etc/sysconfig/network-scripts/ifcfg-em2:2
# cp /etc/sysconfig/network-scripts/ifcfg-em2 /etc/sysconfig/network-scripts/ifcfg-em2:3
修改里面的DEVICE和ip行，如下：
# more ifcfg-em2:1
DEVICE=em2:1
BOOTPROTO=none
HWADDR=90:b1:1c:37:a9:16
IPV6INIT=no
NM_CONTROLLED=yes
ONBOOT=yes
TYPE=Ethernet
UUID="db3f67fb-b389-4b64-a765-92ada4f0ce0a"
USERCTL=no
IPADDR=1.1.134.117
NETMASK=255.255.255.224
重启网络
# /etc/init.d/network restart
查看公网ip是否在线
# ifconfig
三、安装所需软件包
因用户认证需要htpasswd及ab压力测试需要，故需要安装httpd
# yum install httpd
因squid的snmp功能需要通过net-snmp代理，故需安装
yum install -y net-snmp-utils
四、squid配置文件：
# more /usr/local/squid/etc/squid_multi_instance_conf/squid_multi_instance.conf
####configured by laijingli
###only listen on private ip
http_port 192.168.0.6:65500
#http_port 1.1.134.122:65500
###允许使用代理的ip段
acl ip_allow src 1.1.134.0/24 2.2.235.0/24 192.168.0.0/24
###lable for debugging
visible_hostname squid_inst_30
cache_mgr laijingli
##auth
auth_param basic program /usr/local/squid/libexec/basic_ncsa_auth /usr/local/squid/etc/squid_multi_instance_conf/users.txt
auth_param basic children 10
auth_param basic realm proxy server
auth_param basic credentialsttl 12 hours
auth_param basic casesensitive off
##enable auth,and only allow ip_allow and authed user to use this proxy
acl ncsa_users proxy_auth REQUIRED
http_access allow all
#http_access allow ip_allow ncsa_users
#http_access allow ncsa_users
##route outgoing ip address by authed user name
acl u1 proxy_auth u1
acl u2 proxy_auth u2
acl u3 proxy_auth u3
tcp_outgoing_address 1.1.134.117 u1
tcp_outgoing_address 1.1.134.118 u2
tcp_outgoing_address 1.1.134.119 u3
##route outgoing ip address by connected ip or client's source ip
#acl ip1 myip 1.1.134.123
acl ip1 src 192.168.0.200
tcp_outgoing_address 1.1.134.107 ip1
#acl ip2 src 192.168.0.15
#tcp_outgoing_address 1.1.134.124 ip2
#acl ip3 src 192.168.0.0/24
#tcp_outgoing_address 1.1.134.125 ip3
###logs
pid_filename /usr/local/squid/var/logs/squid_30.pid
cache_log /usr/local/squid/var/logs/cache_30.log
access_log /usr/local/squid/var/logs/access_30.log
###snmp monitor by cacti
acl CactiServer src 127.0.0.1 #写本机,因为要用net-snmp做代理
acl SNMP snmp_community community_cacti
snmp_port 3401
snmp_access allow SNMP CactiServer
snmp_access deny ALL
### anonymous 匿名代理
#forwarded_for off #HTTP_X_FORWARDED_FOR: unknown
request_header_access Allow allow all
request_header_access Authorization allow all
request_header_access WWW-Authenticate allow all
request_header_access Proxy-Authorization allow all
request_header_access Proxy-Authenticate allow all
request_header_access Cache-Control allow all
request_header_access Content-Encoding allow all
request_header_access Content-Length allow all
request_header_access Content-Type allow all
request_header_access Date allow all
request_header_access Expires allow all
request_header_access Host allow all
request_header_access If-Modified-Since allow all
request_header_access Last-Modified allow all
request_header_access Location allow all
request_header_access Pragma allow all
request_header_access Accept allow all
request_header_access Accept-Charset allow all
request_header_access Accept-Encoding allow all
request_header_access Accept-Language allow all
request_header_access Content-Language allow all
request_header_access Mime-Version allow all
request_header_access Retry-After allow all
request_header_access Title allow all
request_header_access Connection allow all
request_header_access Proxy-Connection allow all
request_header_access User-Agent allow all
request_header_access Cookie allow all
request_header_access All deny all
五、start、stop命令
squid启动脚本
# more /usr/local/squid/etc/squid_multi_instance_conf/start_squid.sh
#!/bin/bash
/usr/local/squid/sbin/squid -f /usr/local/squid/etc/squid_multi_instance_conf/squid_multi_instance.conf
netstat -anp|grep LIST|grep squid
squid关闭脚本
# more /usr/local/squid/etc/squid_multi_instance_conf/stop_squid.sh
#!/bin/bash
ps aux|grep squid|grep -v grep|awk '{print $2}'|xargs kill -9
六、检查squid运行是否正常
检查squid是否正常启动
# netstat -anp|grep LIST|grep squid
tcp 0 0 192.168.0.6:65500 0.0.0.0:* LISTEN 31077/(squid-1)
检查squid是否正常启动
# ps uax|grep squid
root 31074 0.0 0.0 50184 1796 ? Ss 15:59 0:00 /usr/local/squid/sbin/squid -f
/usr/local/squid/etc/squid_multi_instance_conf/squid_multi_instance.conf
nobody 31077 0.1 0.1 88824 19820 ? S 15:59 0:00 (squid-1) -f
/usr/local/squid/etc/squid_multi_instance_conf/squid_multi_instance.conf
root 31091 0.0 0.0 103244 832 pts/1 S+ 15:59 0:00 grep squid
检查squid snmp支持是否
snmpwalk -v 1 -c community_cacti 127.0.0.1:3401 .1.3.6.1.4.1.3495.1
配置使用snmp代理
# more /etc/snmp/snmpd.conf
##snmp proxy
proxy -v 1 -c community_cacti 127.0.0.1:3401 .1.3.6.1.4.1.3495.1
检查使用snmp代理后是否可以获取oid信息
snmpwalk -v 1 -c community_cacti localhost:161 .1.3.6.1.4.1.3495.1
安装cacti监控模板（略）
https://github.com/dezwart/cacti-squid
cacti监控截图
测试代理是否正确工作
curl -U u4:123456 -x 192.168.0.32:65500 --proxy-basic http://1.1.134.112/myip.php;echo
测试是否使用了匿名代理
http://www.iprivacytools.com/proxy-checker-anonymity-test/
七、代理性能测试
测试页面：
# more /var/www/app1/myip.php
<?php
$iipp=$_SERVER["REMOTE_ADDR"];
echo $iipp;
?>
ab -c 100 -n 10000 http://1.1.134.112/myip.php
ab -c 100 -n 10000 -X 192.168.0.6:65500 http://1.1.134.112/myip.php
| ab -c 1 -n 10000 | 耗时（秒） | 请求丢失个数 | 平均每秒请求数（约） | 平均每个并发请求耗时（毫秒） |
| 不使用代理 | 6.5 | 0 | 1538 | 0.65 |
| 使用代理 | 13 | 0 | 769 | 1.3 |
| ab -c 10 -n 10000 | 耗时（秒） | 请求丢失个数 | 平均每秒请求数（约） | 平均每个并发请求耗时（毫秒） |
| 不使用代理 | 4.8 | 0 | 2083 | 0.048 |
| 使用代理 | 4.2 | 0 | 2380 | 0.042 |
| ab -c 50 -n 10000 | 耗时（秒） | 请求丢失个数 | 平均每秒请求数（约） | 平均每个并发请求耗时（毫秒） |
| 不使用代理 | 3.6 | 0 | 2777 | 0.0072 |
| 使用代理 | 3.5 | 0 | 2857 | 0.007 |
| ab -c 100 -n 10000 | 耗时（秒） | 请求丢失个数 | 平均每秒请求数（约） | 平均每个并发请求耗时（毫秒） |
| 不使用代理 | 3.4 | 0 | 2941 | 0.0034 |
| 使用代理 | 3.6 | 0 | 2777 | 0.0036 |
结论：
使用显示ip地址的简单php页面做了一下测试：ab并发100连续请求10000次，直接测试耗时3.4秒，使用代理测试耗时3.5秒，多次测试都没有出现请求失败的
情况，平均每秒可以处理2800个请求。
