Squid 可以与防火墙结合起来，通过使用代理缓存防止内部网络遭受外部攻击。防火墙会拒绝 Squid 之外的所有客户端对外部服务的访问。所有 Web 连接都必须通过代理方式建立。经过此配置后，Squid 便可全面控制 Web 访问。

如果防火墙配置中包含 DMZ，代理应该在此区域内操作。第 33.5 节 “配置透明代理”描述了如何实施透明代理。它能简化客户端的配置，因为在这种情况下，它们不需要代理的任何信息。

可以配置 Squid 的几个实例从而在它们之间交换对象。这样会减少系统负载，同时提高找到本地网络中已有对象的几率。还可以配置超速缓存的层次，以便能够将对象请求转发给同级超速缓存或父超速缓存 使其从本地网络中的其它超速缓存或直接从数据源获取对象。

为了不给网络增加总体数据流量，为缓存层次选择适当的拓扑结构是十分重要的。对于超大型网络，合理的做法是：为每个子网配置一个代理服务器并将其连接至父代理，再通过父代理连接至 ISP 的代理缓存。

所有这些通讯都通过在 UDP 协议之上运行的 ICP（因特网缓存协议）来处理。缓存间的数据传送使用基于 TCP 的 HTTP（超文本传送协议）来处理。

要找到从中可获得对象的最合适的服务器，一个缓存会向所有同级代理发送 ICP 请求。同级代理会通过 ICP 响应回复请求（如果检测到对象就回复 HIT 代码，如果未检测到则回复 MISS 代码）。如果发现多个 HIT 响应，代理服务器会根据哪个缓存回复最快或哪个最近等因素决定从哪个服务器下载。如果没有收到满意的响应，该请求将被发送至父缓存。

为了避免网络中不同缓存中的对象重复，还会使用其他 ICP 协议，如 CARP（缓存阵列路由协议）或 HTCP（超文本缓存协议）。网络中维护的对象越多，找到所需对象的可能性就越大。

网络中的对象并不全都是静态的。网络中有许多动态生成的 CGI 页面、访问计数器和加密的 SSL 内容文档。由于每次访问这类对象时它们都会更改，所以它们不会被缓存。

一直以来的问题是：储存在缓存中的所有其他对象应在保留多久。要确定保留时间，缓存中的所有对象都会被指派几种可能状态之一。Web 和代理服务器会通过为这些对象添加报头来找出对象的状态（如“Last modified”或“Expires”）以及相应的日期。同时还会使用其他报头指定不能缓存对象。

缓存中的对象通常会因为缺少可用硬盘空间而使用 LRU（最近最少使用）之类的算法进行替换。一般来说，这意味着代理会销毁未被请求时间最长的对象。

速度在缓存过程中起到重要作用，所以此要素值得特别关注。对于硬盘，此参数通过以毫秒衡量的随机搜索时间来描述。Squid 从硬盘读取或写入硬盘的数据块一般都较小，因此硬盘的搜索时间比其数据吞吐量更重要。如果要考虑代理的话，高转速硬盘可能会是更好的选择，因为高转速硬盘允许读写磁头更快定位到所需位置。使系统加速的一种可能办法是同时使用多个磁盘或采用分带 RAID 阵列。

在小型缓存中，HIT（在其中找到所请求的对象）的概率会很小，因为该缓存很容易被占满，所以较少请求的对象很快被较新的请求对象替代。例如，如果缓存的可用空间为 1GB，而用户每天只浏览 10MB，那么占满缓存至少要 100 天。

确定所需缓存大小的最简便方法就是考虑连接的最大传送速度。1 Mbit/s（兆比特/秒）连接的最大传送速度为 125 KB/s。如果所有流量都进入缓存，1 小时累计可达 450 MB；假设所有流量都是在八小时工作时间之内产生的，那么每天将达到 3.6 GB。由于连接速度一般不会达到流量上限，所以可以认为缓存处理的数据总量约为 2 GB。这就是为什么要在 Squid 示例中使用 2 GB 的磁盘空间来保证一天的浏览数据都能缓存。

Squid 所需内存 (RAM) 大小直接与缓存中的对象数有关。Squid 还会在主储存器中储存缓存对象引用和经常请求的对象，以加速对这些数据的检索。随机储存器比硬盘快得多。

除此之外，Squid 还要在内存中保存其他数据，如：所有已处理 IP 地址的表、准确域名缓存、最常请求的对象、访问控制列表、缓冲区等等。

拥有足够的内存对于 Squid 进程非常重要，因为如果必须交换到磁盘的话，系统性能会显著降低。可以使用 cachemgr.cgi 工具来管理缓存内存。该工具在第 33.6 节 “cachemgr.cgi”中有介绍。

Squid 并不是需要大量使用 CPU 的程序。处理器的负载只会在装载或检查缓存内容时才会增加。使用多处理器计算机并不会提高系统性能。要提高效率，最好是购买速度更快的硬盘或增加内存。

要启动 Squid，在命令行中以 root 身份输入 rcsquid start。首次启动时，必须首先在 /var/cache/squid 中定义缓存的目录结构。启动脚本 /etc/init.d/squid 会自动进行定义，该过程可能需要几秒钟甚至几分钟的时间。如果右侧显示绿色的完成，表明已成功装载 Squid。要在本地系统上测试 Squid 的功能，请在浏览器中输入 localhost 作为代理，输入 3128 作为端口。

要允许用户从本地系统和其他系统访问 Squid 和因特网，需要将配置文件 /etc/squid/squid.conf 中的项 http_access deny all 改为 http_access allow all。但在这样做时，要考虑到此操作会让所有人都不受任何限制地访问 Squid。因此，应定义控制访问代理的 ACL。有关此内容的详细信息，请参见 第 33.4.2 节 “访问控制选项”。

修改配置文件 /etc/squid/squid.conf 后，Squid 必须重装载该配置文件。可通过 rcsquid reload 执行此操作。或者，通过 rcsquid restart 彻底重启动 Squid。

可以使用命令 rcsquid status 来检查代理是否正在运行。使用命令 rcsquid stop 将关闭 Squid。这需要一些时间，因为 Squid 在断开同客户端的连接并将其数据写入磁盘前会等候最多半分钟（/etc/squid/squid.conf 中的 shutdown_lifetime 选项）。

	终止 Squid
使用命令 kill 终止 Squid，否则 killall 可损坏缓存。要能够重启动 Squid，必须删除损坏的缓存。

如果 Squid 在成功启动后不久就终止，请检查名称服务器项是否有误或者是否缺少 /etc/resolv.conf 文件。Squid 会在 /var/log/squid/cache.log 文件中记录启动失败的原因。如果应该在系统引导时自动装载 Squid，请使用 YaST 运行级别编辑器激活所需的 Squid 运行级别。请参见第 10.2.3 节 “使用 YaST 配置系统服务（运行级别）”。

卸载 Squid 并不会删除缓存层次或日志文件。要删除这些内容，请手动删除 /var/cache/squid 目录。

建立本地 DNS 服务器很有意义，即便并不用它来管理自己的域。它仅起到缓存专用名称服务器的作用，并且可以在无需任何特殊配置的情况下通过 root 名称服务器解析 DNS 请求（请参见 第 25.4 节 “启动 BIND 名称服务器”）。如何完成上述操作，取决于您在配置因特网连接的过程中是否选择了动态 DNS。

	DNS 和防火墙
如果运行了防火墙，应确保 DNS 请求能够通过。

Squid 为控制针对代理的访问提供了一套周密的系统。通过实施 ACL 可以轻松并全面地进行配置。这涉及一些依次处理的规则的列表。使用 ACL 之前必须先定义 ACL。一些默认的 ACL 已经存在，如 all 和 localhost。但是，仅仅定义 ACL 并不意味着实际应用 ACL。只有在与 http_access 规则一同使用时才不是这样。

要通知 squid 作为透明代理使用，请使用透明选项，该选项位于主配置文件 /etc/squid/squid.conf 中的标记 http_port 处。重启动 squid 后，要执行的唯一操作就是重配置防火墙，将 http 端口重定向到 http_port 中给定的端口。在以下 squid 配置行中，它是端口 3128。

http_port 3128 transparent

现在借助端口转发规则，通过防火墙将所有入站请求重定向到 Squid 端口。可使用附带的 SuSEFirewall2 工具完成此操作，如Section “Configuring the Firewall with YaST” (Chapter 15, Masquerading and Firewalls, ↑Security Guide)中所述。可以在 /etc/sysconfig/SuSEfirewall2 中找到其配置文件。配置文件的项已进行适当注释。要设置透明代理，必须配置几个防火墙选项：

定义防火墙上从不可信的（外部）网络（如因特网）访问的端口和服务（请参见 /etc/services）。在下例中，仅对外部提供 Web 服务：

FW_SERVICES_EXT_TCP="www"

定义防火墙上从安全（内部）网络访问的端口或服务（请参见 /etc/services），包括通过 TCP 和 UDP：

FW_SERVICES_INT_TCP="domain www 3128"
FW_SERVICES_INT_UDP="domain"

这会允许访问 Web 服务和 Squid（Squid 的默认端口为 3128）。服务“域”代表 DNS（域名服务）。此服务很常用。如果不需要，只需将其从上面的项中删除并将下面的选项设置为 no：

FW_SERVICE_DNS="yes"

最重要的选项是选项数字 15：

# 15.)
# Which accesses to services should be redirected to a local port on
# the firewall machine?
#
# This option can be used to force all internal users to surf via
# your squid proxy, or transparently redirect incoming webtraffic to
# a secure webserver.
#
# Format: 
# list of <source network>[,<destination network>,<protocol>[,dport[:lport]]
# Where protocol is either tcp or udp. dport is the original
# destination port and lport the port on the local machine to
# redirect the traffic to
#
# An exclamation mark in front of source or destination network
# means everything EXCEPT the specified network
#
# Example: "10.0.0.0/8,0/0,tcp,80,3128 0/0,172.20.1.1,tcp,80,8080"

上面的注释显示了需要遵循的语法。首先，输入访问代理防火墙的内部网络的 IP 地址和网络掩码。其次，输入这些客户端请求发往的 IP 地址和网络掩码。如果使用的是 Web 浏览器，请指定网络 0/0（表示“至任意地址的通配符）。”之后，输入这些请求最初发送到的端口以及所有这些请求最终要重定向到的端口。由于 Squid 能够支持 HTTP 以外的协议，可将请求从其他端口重定向至代理，如 FTP（端口 21）、HTTPS、或 SSL（端口 443）。在本例中，Web 服务（端口 80）重定向至代理端口（端口 3128）。如果要添加更多网络或服务，必须在对应项中用空格分隔它们。

FW_REDIRECT="192.168.0.0/16,0/0,tcp,80,3128"

要启动防火墙及其新配置，请更改 /etc/sysconfig/SuSEfirewall2 文件的项。必须将 START_FW 项设置为 "yes"。

按第 33.3 节 “启动 Squid”所述启动 Squid。要了解是否一切正常，请检查 /var/log/squid/access.log 中的 Squid 日志。Squid只有 Web 服务（端口 80）应该是打开的。要使用 nmap 扫描端口，命令语法为 nmap -O IP_address。

首先，必须在系统上运行 Web 服务器。按第 31 章 Apache HTTP 服务器中所示配置 Apache。要检查 Apache 是否已在运行，以 root 身份输入命令 rcapache status。如果显示如下消息：

Checking for service httpd: OK 
Server uptime: 1 day 18 hours 29 minutes 39 seconds   

表示 Apache 正在该计算机上运行。如果未运行，请输入 rcapache start 使用 SUSE Linux Enterprise Server 默认设置启动 Apache。最后一个设置步骤是将文件 cachemgr.cgi 复制到 Apache 目录 cgi-bin。对 32 位环境，它工作原理如下：

cp /usr/lib/squid/cachemgr.cgi /srv/www/cgi-bin/

在 64 位环境中，cachemgr.cgi 文件位于 /usr/lib64/squid/ 下，将它复制到 Apache 目录的命令如下：

cp /usr/lib64/squid/cachemgr.cgi /srv/www/cgi-bin/

缓存管理器所需的原文件中有一些默认设置。首先定义两个 ACL，然后 http_access 选项将使用这些 ACL 将访问权限从 CGI 脚本授权到 Squid。第一个 ACL 最为重要，因为缓存管理器要通过 cache_object 协议尝试与 Squid 通讯。

acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255

以下规则向 Apache 授权对 Squid 的访问权限：

http_access allow manager localhost
http_access deny manager

这些规则假定 Web 服务器和 Squid 运行在同一台计算机上。如果缓存管理器与 Squid 间的通讯是另一台计算机上的 Web 服务器发出的，应如例 33.2 “访问规则”所示包含额外的 ACL。

acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl webserver src 192.168.1.7/255.255.255.255 # webserver IP

然后在例 33.3 “访问规则”中添加规则以允许从 Web 服务器访问。

http_access allow manager localhost
http_access allow manager webserver
http_access deny manager

为管理器配置口令以访问更多选项，如远程关闭缓存或查看有关缓存的更多信息。为此，应配置项 cachemgr_passwd，设置用于管理器和可查看选项列表的口令。此列表在 /etc/squid/squid.conf 中显示为项注释的一部分。

每次一更改配置文件，就应重启动 Squid。使用 rcsquid reload 可以轻松地重启动。

访问相应的网站 http://webserver.example.org/cgi-bin/cachemgr.cgi。按继续来浏览不同的统计数字。