署理服务器是介于浏览器和Web服务器之间的另一台服务器。有了该服务器之后，浏览器不是直接到Web服务器去取回网页而是向署理服务器宣布恳求，信息会先送到署理服务器，由署理服务器来取回浏览器所需求的信息并传送给客户的浏览器。

现代企业运用署理服务器，除了进步拜访速度外，一起，它在实践的运用过程中又一般被企业作为“安全网关”，能够依据企业设定的署理规矩来过滤和屏蔽一些用户的不合法恳求和信息，然后到达维护企业网的意图。在企业开源体系的署理服务中，能够经过设置安全拜访操控规矩、装备带认证的署理服务以及反向署理服务来保证企业网络安全，本文将具体对这些防护手法进行介绍。

开源署理服务器Squid简介

Squid能够作业在许多的操作体系中，如AIX、Digital、UNIX、FreeBSD、HP-UX、Irix、Linux、NetBSD、Nextstep、SCO、Solaris、OS/2等。关于Web用户来说，Squid是一个高性能的署理缓存服务器，和一般的署理缓存软件不同、Squid用一个独自的、非模块化的、I/O驱动的进程来处理一切的客户端恳求。Squid由一个首要的服务程序Squid，一个DNS查询程序DNS server，几个重写恳求和履行认证的程序，以及几个管理工具组成。当Squid发动今后，它能够派生出预先指定数意图DNS server进程，而每一个DNS server进程都能够履行独自的DNS查询，这样就大大减少了服务器等候DNS查询的时刻。

用户能够从Red Hat Enterprise Linux发行套件中获取该软件的RPM包进行装置并运用#/etc/rc.d/init.d/Squid start或许运用#service squid start指令进行服务敞开。

运用安全拜访操控约束企业用户上网行为

运用拜访操控特性，能够操控在拜访时依据特定的时刻距离进行缓存、拜访特定站点或一组站点等等。Squid拜访操控有两个要素：ACL元素和拜访列表。拜访列表能够答应或回绝某些用户对此服务的拜访。下面别离介绍ACL元素以及拜访列表的运用办法。

ACL元素

该元素界说的语法如下：

acl aclname acltype string1…

acl aclname acltype “file”…

当运用文件时，该文件的格局为每行包括一个条目。

其间，acltype能够是src、dst、srcdomain、dstdomain、url_regex、urlpath_regex、time、port、proto、method中的一恣意一种。

src：指明源地址。能够用以下的办法指定：

acl aclname src ip-address/netmask ... 客户ip地址

acl aclname src addr1-addr2/netmask ... 地址规模

dst：指明方针地址，即客户恳求的服务器的IP地址。语法为：

acl aclname dst ip-address/netmask ...

srcdomain：指明客户所属的域，Squid将依据客户IP反向查询DNS。语法为：

acl aclname srcdomain foo.com ...

dstdomain：指明恳求服务器所属的域，由客户恳求的URL决议。语法为：

acl aclname dstdomain foo.com ...

time：指明拜访时刻。语法如下：

acl aclname time [day-abbrevs] [h1:m1-h2:m2][hh:mm-hh:mm]

日期的缩写指代联系如下：

S：指代Sunday

M：指代Monday

T：指代Tuesday

W：指代Wednesday

H：指代Thursday

F：指代Friday

A：指代Saturday

别的，h1：m1有必要小于h2：m2，表达式为[hh：mm-hh：mm]。

port：指定拜访端口。能够指定多个端口，比方：

acl aclname port 80 70 21 ...

acl aclname port 0-1024 ... 指定一个端口规模

proto：指定运用协议。能够指定多个协议：

acl aclname proto HTTP FTP ...

method：指定恳求办法。比方：

acl aclname method GET POST ...

url_regex：URL规矩表达式匹配，语法为：

acl aclname url_regex[-i] pattern

urlpath_regex：URL-path规矩表达式匹配，省略协议和主机名。其语法为：

acl aclname urlpath_regex[-i] pattern

在运用上述ACL元素的过程中，要注意如下几点：

acltype能够是任一个在ACL中界说的称号。

任何两个ACL元素不能用相同的姓名。

每个ACL由列表值组成。当进行匹配检测的时分，多个值由逻辑或运算衔接；换句话说，任一ACL元素的值被匹配，则这个ACL元素即被匹配。

并不是一切的ACL元素都能运用拜访列表中的悉数类型。

不同的ACL元素写在不同行中，Squid将这些元素组合在一个列表中。

http_access拜访操控列表

依据拜访操控列表答应或制止某一类用户拜访。假如某个拜访没有相符合的项目，则默以为运用***一条项意图“非”。比方***一条为答应，则默许便是制止。一般应该把***的条目设为“deny all”或“allow all”来防止安全性危险。

运用该拜访操控列表要注意如下问题：

这些规矩依照它们的摆放次序进行匹配检测，一旦检测到匹配的规矩，匹配检测就当即完毕。

拜访列表能够由多条规矩组成。

假如没有任何规矩与拜访恳求匹配，默许动作将与列表中***一条规矩对应。

一个拜访条目中的一切元素将用逻辑与运算衔接（如下所示）：

http_access Action声明1 AND 声明2 AND

多个http_access声明间用或运算衔接，但每个拜访条意图元素间用与运算衔接。

列表中的规矩总是遵从由上而下的次序。