Squid訪問控制方法的實例
《Squid訪問控制：ACL元素以及訪問列表》這篇文章為大家詳細講述了ACL元素以及http_access訪問控制列表的語法以及使用過程中需要注意的問題，下面給出使用這些訪問控制方法的實例：
（1）允許網段61.0.3.188/24以及172.190.96.33/24內的所有客戶機訪問代理服務器，并且允許在文件/etc/squid/guest列出的客戶機訪問代理服務器，除此之外的客戶機將拒絕訪問本地代理服務器：
acl clients src 61.0.3.188/24 172.190.96.33/24
acl guests src “/etc/squid/guest”
acl all src 0.0.0.0/0.0.0.0
http_access allow clients
http_access allow guests
http_access deny all
其中，文件“/etc/squid/guest”中的內容為：
172.168.10.3/24
210.113.24.8/16
10.0.1.24/25
（2）允許域名為job.net、gdfq.edu.cn的兩個域訪問本地代理服務器，其他的域都將拒絕訪問本地代理服務器：
acl permitted_domain src job.net gdfq.edu.cn
acl all src 0.0.0.0/0.0.0.0
http_access allow permitted_domain
http_access deny all
（3）使用正則表達式，拒絕客戶機通過代理服務器訪問包含有諸如“sexy”等關鍵字的網站：
acl deny_url url_regex –i sexy
http_access deny deny_url
（4）拒絕客戶機通過代理服務器訪問文件中指定IP或者域名的網站，其中文件/etc/squid/ deny_ip中存放有拒絕訪問的IP地址，文件/etc/squid/deny_dns中存放有拒絕訪問的域名：
acl deny_ip dst “etc/squid/deny_ip”
acl deny_dns dst “etc/squid/deny_dns”
http_access deny deny_ip
http_access deny deny_dns
（5）允許和拒絕指定的用戶訪問指定的網站，其中，允許客戶1訪問網站http://www.sina. com.cn，而拒絕客戶2訪問網站http://www.163.com：
acl client1 src 192.168.0.118
acl client1_url url_regex ^http://www.sina.com.cn
acl client2 src 192.168.0.119
acl client2_url url_regex ^http://www.163.com
http_access allow client1 client1_url
http_access deny client2 client2_url
（6）允許所有的用戶在規定的時間內（周一至周四的8：30到20：30）訪問代理服務器，只允許特定的用戶（系統管理員，其網段為： 192.168.10.0/24）在周五下午訪問代理服務器，其他的在周五下午一點至六點一律拒絕訪問代理服務器：
acl allclient src 0.0.0.0/0.0.0.0
acl administrator 192.168.10.0/24
acl common_time time MTWH 8:30-20:30
acl manage_time time F 13:00-18:00
http_access allow allclient common_time
http_access allow administrator manage_time
http_access deny manage_time
（7）/etc/squid.conf，系統軟件包提供、推薦的最小化配置如下，用戶可以根據實際情況來進行定制
acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 192.168.10.3/255.255.255.255
acl SSL_ports port 443 563
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 563 # https， snews
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl Safe_ports port 901 # SWAT
acl purge method PURGE
acl CONNECT method CONNECT
（...）
# Only allow cachemgr access from localhost
http_access allow manager localhost
http_access deny manager
# Only allow purge requests from localhost
http_access allow purge localhost
http_access deny purge
# Deny requests to unknown ports
http_access deny !Safe_ports
# Deny CONNECT to other than SSL ports
http_access deny CONNECT !SSL_ports
#
# INSERT YOUR OWN RULE（S）HERE TO ALLOW ACCESS FROM YOUR CLIENTS
#
http_access allow localhost
# And finally deny all other access to this proxy
http_access deny all
#Default:
# icp_access deny all
#
#Allow ICP queries from eveyone
icp_access allow all
配置帶認證的代理服務抑制非法用戶使用代理服務
默認時，Squid本身不帶任何認證程序，但是可以通過外部認證程序來實現用戶認證。一般有以下的認證程序：LDAP認證、SMB認證、基于mysql的認證、基于sock5的密碼認證和基于Radius的認證。
下面介紹常用的ncsa實現的認證，ncsa是Squid源代碼包自帶的認證程序之一，從squid 2.5開始都包含了ncsa的模塊。在Red Hat Enterprise Linux 發行套件的/usr/lib/squid目錄下可以找到ncsa_auth文件。
要使用該認證服務，首先需要創建認證用戶和密碼：
#htpasswd -c /usr/local/squid/etc/ps_file guest
如果是以后添加用戶的話就把-c的參數去掉。
然后，再更改/etc/squid/squid.conf主配置文件，添加如下：
//配置認證文件和用戶文件
auth_param basic program /usr/lib/squid/ncsa_auth /usr/local/squid/etc/ ps_file
//指定認證程序的進程數
auth_param basic children 5
//代理服務器的名稱
auth_param basic realm Squid proxy-caching web server
//認證有效時間為2小時
auth_param basic credentialsttl 2 hours
//只有認證用戶才能訪問
acl normal proxy_auth REQUIRED
http_Access allow normal
最后，重啟squid服務即可。在瀏覽器里配上這個代理，打開任意網站，如果彈出了輸入用戶名和密碼的對話框，就證明配置成功了。
