Squid服务的ACL访问控制

537次阅读

共计 2786 个字符，预计需要花费 7 分钟才能阅读完成。

简介：
squid 服务提供了强大的访问控制功能，通过定义各种 ACL（Access Control List，访问控制列表），这些列表中包含了一定的过滤和控制条件，然后只要对这些列表设置时 allow（允许）或 deny（拒绝）就可以实现访问控制了。

在 squid.conf 配置文件中，HTTP 的访问控制主要由 acl 和 http_access 配置项共同实现，两个配置项分别用来定义控制的条件（列表）和实施控制。

1. 定义 ACL 列表
acl 配置项用于设置访问控制列表的内容，可以为每组特定的控制目标制定一个名称。
格式：
acl 列表名称列表类型列表内容 …
列表名称：用户自定义名称即可
列表类型：必须使用 squid 预定义的值
列表内容：即控制的对象
常见的 squid 预定义列表类型：
类型 1：src
列表内容示范：
192.168.1.1/32
192.168.1.0/255.255.255.0
192.168.1.0-192.168.3.0/24
用途：
客户端 IP 地址或网络段、地址范围
类型 2：dst
列表内容示范：
www.linuxidc.com
216.163.137.3/32
用途：
用户访问的目标主机名或者 IP 地址
类型 3：port
列表内容示范：
80 8080 21
用途：
用户访问的端口
类型 4：srcdomain
列表内容示范：
.linuxfan.cn
.llfa.cn
用途：
客户端来源域名（根据 ip 地址作反向解析）
类型 5：dstdomain
列表内容示范：
.qq.com .msn.com .verycd.com
用途：
用户访问的目标域，匹配域内所有站点
类型 6：time
列表内容示范：
MTWHF 8:30-17:30
12:30-13:30
AS
用途：
用户上网的时间段
字母表示一星期各天的英文缩写
M-monday
T-tuesday
W-wednesday
H-thursday
F-friday
A-saturday
S-sunday
列表类型 7：Maxcon
列表内容示范：
15
用途：
客户端的并发 HTTP 连接数
列表类型 8：url_regex
列表内容示范：
url_regex -i ^rtsp:// ^mms://
url_regex -i ^emule://
用途：
用户访问的整个 URL 网址，
可以使用正则表达式，
加 - i 表示忽略大小写
列表类型 9：urlpath_regex
列表内容示范：
urlpath_regex -i sex adult nude
urlpath_regex -i \.mp3$ \.rar$
用途：
匹配用户访问的 URL 路径（部分），
可以使用正则表达式
2. 设置 acl 访问权限
针对定义的各种 acl 列表，使用 http_access 配置项控制其访问权限，允许（allow）或者拒绝（deny）。
http_access 配置行必须在对应的 acl 列表定义之后。
每一行 http_access 配置确定一条权限控制规则。
在每一条 http_access 规则中，可以同时包含多个 acl 列表名，各个列表之间使用“与”的关系，只有满足所有 acl 列表对应的条件才会进行限制，
可以使用“！”符号设置相反条件
格式：
http_access allow 或 deny 列表名 …..
生效的顺序：
在 squid.conf 中 http_access 各条规则按顺序进行匹配，匹配即停止；
没有任何规则是：squid 访问将拒绝客户端的请求。
有规则但找不到匹配项是：
采用与最后一条相反的权限，
即如果最后一条是 allow，则拒绝，否则允许。
通常情况下把最常用的控制规则放在最前面，以减小 squid 的负载。
在访问控制的总体策略上采用：先拒绝后允许或先允许后拒绝，在最后添加一条“http_access allow all”或者“http_access deny all”

3. 实现步骤：
定义列表
acl all src 0.0.0.0/0.0.0.0
acl localhost src 127.0.0.1/255.255.255.255
acl LAN1 src 192.168.1.0/24
acl LAN2 src 192.168.2.0/24
acl PC1 src 192.168.1.66/32
acl lan_Domain .linuxfan.cn .benet.com
acl to_localhost dst 127.0.0.0/8
acl Black_IP dst 61.143.79.86/32 217.23.45.77/32
acl Black_host dst www.xxxx.comwww.adult.com ##squid 启动时会尝试解析
acl Black_Domain dstdomain .qq.com .msn.com j.gamezone.net
acl Max10_Conn maxconn 10
acl Max20_Conn maxconn 20
acl Black_URL url_regex -i ^rtsp:// ^mms:// ^emule://
acl Illegal_words urlpath_regex -i sex adult fake
acl MediaFile urlpath_regex -i \.mp3$ \.mp4$ \.rmvb$ \.rm$ \.mov$ \.mpg$
acl Lunch_Hours time MTWHF 12:30-13:30
acl Work_Hours time MTWHF 08:30-17:30
实现权限控制
http_access deny LAN1 Black_IP
http_access deny LAN1 Black_Host
http_access deny LAN1 Black_Domain
http_access deny LAN2 Black_URL
http_access deny LAN2 Illegal_words
http_access deny LAN2 MediaFile
http_access deny PC1 Max10_conn
http_access deny LAN1 Max20_conn
http_access allow LAN_Domain Work_Hours
http_access allow LAN1 Work_Hours
http_access allow LNA2 Work_Hours
http_access deny all