Linux Squid代理服务实战

发表于

一、概述

Squid 是一款开源、高性能、高稳定性的企业级正向代理服务，广泛应用于 Linux 内网流量代理、访问权限管控、流量日志审计、网络访问加速等场景。其核心优势在于精细化 ACL 访问控制、智能流量缓存、完整日志审计、高并发稳定运行，是企业内网网关、机房统一流量出口的主流选型。

本文聚焦生产环境落地需求，提供一套完整、可直接部署的 Squid 解决方案，实现 HTTP/HTTPS + SOCKS5 双协议并行监听，支持内网白名单访问、纯净流量转发、权限安全管控、静态资源缓存加速，全面适配日常运维、业务代理、内网流量统一出口等场景。

二、Squid 核心特性

1. 核心优势

  • 双协议兼容：原生支持 HTTP/HTTPS 正向代理，同时可快速开启 SOCKS5 通用代理协议，适配绝大多数业务与客户端代理需求。

  • 精细化权限管控：内置完善的 ACL 访问控制体系，支持基于 IP 网段、本地地址、账号密码的多层访问校验，权限划分精准可控。

  • 智能缓存加速：支持内存+磁盘双重缓存机制，对静态资源进行持久化缓存，有效降低外网带宽损耗，提升重复资源访问效率。

  • 全量日志审计：完整记录所有代理访问行为与缓存运行日志，便于故障排查、流量分析与企业合规审计。

  • 企业级高可用：具备优秀的高并发处理能力，资源调度均衡，长期运行稳定，适配服务器常态化部署场景。

三、环境准备与安装

1. 适配系统

本文方案兼容 Ubuntu、Debian、CentOS、RockyLinux 等主流 Linux 发行版，适配服务器常规运行环境。

2. 安装命令

Debian/Ubuntu 系列：

Text
1
apt update && apt install -y squid

CentOS/RHEL 系列：

Text
1
yum install -y squid

3. 配置备份（关键操作）

安装完成后默认配置参数繁杂，建议提前备份原始配置文件，便于配置异常时快速恢复：

Text
1
cp /etc/squid/squid.conf /etc/squid/squid.conf.bak

四、生产级完整配置（HTTP+SOCKS5）

1. 清空默认配置

清空系统默认冗余配置，替换为极简、安全、生产适配的全新配置：

Text
1
> /etc/squid/squid.conf

2. 最终配置文件（/etc/squid/squid.conf）

本配置实现 HTTP(3128)、SOCKS5(1080) 双端口监听，默认采用内网白名单机制、优化网络超时参数、开启日志审计、隐藏代理指纹，同时预留缓存开关，支持纯转发/缓存加速双模式切换，完全适配生产环境。

Text
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
# ====================== 基础服务配置 ======================
# 开启HTTP/HTTPS代理端口
http_port 3128
# 开启SOCKS5代理端口
http_port 1080 socks

# ====================== 缓存服务配置（默认关闭，可按需开启） ======================
# 关闭缓存（纯转发代理，无需缓存）
# cache deny all
# cache_dir null /tmp

# 开启磁盘缓存：目录、容量(MB)、一级子目录、二级子目录
cache_dir ufs /var/spool/squid 2048 16 256
# 内存缓存大小（推荐为物理内存1/8左右，单位MB）
cache_mem 256 MB
# 最大单个缓存文件大小（超过不缓存）
maximum_object_size 50 MB
# 内存中最大缓存对象大小
maximum_object_size_in_memory 4 MB
# 缓存最小文件大小
minimum_object_size 0 KB
# 缓存超时淘汰策略
cache_replacement_policy heap LFUDA
memory_replacement_policy heap LFUDA

# 网络超时优化参数
connect_timeout 30 second
request_timeout 60 second
persistent_request_timeout 60 second

# ====================== ACL访问权限控制 ======================
# 定义本地回环地址
acl local_ip src 127.0.0.1/32
# 定义内网私有网段（适配绝大多数局域网）
acl lan_ip src 192.168.0.0/16
acl lan_ip src 10.0.0.0/8
acl lan_ip src 172.16.0.0/12

# 放行本地及内网可信流量
http_access allow local_ip
http_access allow lan_ip

# 拒绝所有外网陌生IP连接（安全加固核心规则）
http_access deny all

# ====================== 安全隐藏配置 ======================
# 关闭代理溯源头部，隐藏代理转发信息
forwarded_for off
via off
client_dst deny all

# 隐藏Squid版本指纹，规避版本漏洞探测风险
httpd_suppress_version_string on

# ====================== 日志审计配置 ======================
access_log /var/log/squid/access.log combined
cache_log /var/log/squid/cache.log
cache_store_log none
# 日志保留7天自动轮转，避免日志堆积
logfile_rotate 7

# ====================== 性能限制配置 ======================
# 最大并发连接数，防止超高并发压垮服务
max_connections 1024

五、防火墙放行与服务启动

1. 放行代理端口

需在防火墙放行 3128、1080 端口，否则外部设备无法正常连接代理服务：

UFW 防火墙（Ubuntu 默认）：

Text
1
2
ufw allow 3128/tcp
ufw allow 1080/tcp

Firewalld 防火墙（CentOS 默认）：

Text
1
2
3
firewall-cmd --permanent --add-port=3128/tcp
firewall-cmd --permanent --add-port=1080/tcp
firewall-cmd --reload

2. 启动并设置开机自启

重启服务加载新配置，并配置开机自启，保证服务器重启后代理服务自动运行：

Text
1
2
systemctl restart squid
systemctl enable squid

六、代理功能验证测试

通过 curl 命令分别验证 HTTP、SOCKS5 代理转发功能，确保服务正常工作：

Text
1
2
3
4
5
# 测试HTTP代理 3128端口
curl -x http://127.0.0.1:3128 ip.sb

# 测试SOCKS5代理 1080端口
curl -x socks5://127.0.0.1:1080 ip.sb

命令返回服务器公网 IP 即代表代理部署成功、流量转发正常。

七、进阶配置（实用加固方案）

1. 开放公网访问（谨慎使用）

如需临时对外开放代理访问（仅适用于测试场景，生产环境严禁使用），可修改权限规则：

注释或删除所有内网网段放行规则，替换为全局放行规则：

Text
1
http_access allow all

2. 账号密码认证（安全加固）

为避免代理被恶意扫描蹭网，可开启基础账号密码认证，提升服务安全性。

1）安装密码生成工具：

Text
1
apt install -y apache2-utils

2）创建自定义代理账号密码，并配置文件权限：

Text
1
2
3
htpasswd -bc /etc/squid/passwd proxyuser 123456
chmod 600 /etc/squid/passwd
chown squid:squid /etc/squid/passwd

3）在配置文件末尾添加认证校验规则：

Text
1
2
3
4
5
6
auth_param basic program /usr/lib/squid/basic_ncsa_auth /etc/squid/passwd
auth_param basic children 5
auth_param basic realm Squid Proxy Auth
auth_param basic credentialsttl 2 hours
acl passwd_auth proxy_auth REQUIRED
http_access allow passwd_auth

4）重启服务使认证配置生效：systemctl restart squid

认证访问方式：curl \-x http://proxyuser:123456@IP:3128 ip\.sb

八、Squid 缓存开启实战教程

缓存加速是 Squid 区别于轻量化代理工具的核心能力，在企业内网、办公场景、机房业务环境中，可大幅降低外网带宽占用，提升静态资源重复访问速度。本节详细讲解缓存开启配置、目录初始化、功能验证与最佳实践。

1. 缓存配置说明

本文采用内存缓存+磁盘缓存双层架构：内存缓存优先存储高频访问小资源，实现极速响应；磁盘缓存持久化存储大容量静态资源，兼顾加速效果与存储空间利用率。

2. 核心缓存参数详解

  • cache_dir ufs：定义磁盘缓存存储目录、最大容量与子目录分层规则，示例配置最大占用 2GB 磁盘空间。

  • cache_mem：分配系统内存作为缓存空间，专门存放高频热点资源，有效提升响应速度。

  • maximum_object_size：设置单文件最大缓存阈值，超大文件不参与缓存，避免磁盘资源被占用耗尽。

  • LFUDA缓存策略：智能资源淘汰算法，优先保留高频访问资源，自动清理低频、过期缓存，适配企业日常访问场景。

3. 缓存目录初始化（必执行）

首次开启缓存必须初始化缓存目录并授权权限，否则会出现服务启动失败、缓存失效等问题：

Text
1
2
3
4
5
6
# 初始化缓存目录
squid -z

# 授权缓存目录运行权限
chown -R squid:squid /var/spool/squid
chmod -R 755 /var/spool/squid

4. 重启服务生效

Text
1
systemctl restart squid

5. 缓存功能验证

通过访问公共静态资源，结合缓存日志判断缓存是否正常工作：

Text
1
2
3
4
5
# 访问公共静态资源测试
curl -x http://127.0.0.1:3128 https://cdn.jsdelivr.net/npm/jquery/dist/jquery.min.js

# 实时查看缓存日志
tail -f /var/log/squid/cache.log

日志出现 Successful swap、Stored 关键字，代表资源已成功写入缓存；二次访问同一资源将直接读取本地缓存，响应速度显著提升。

6. 缓存关闭/切换纯转发模式

若业务为实时动态请求、无需缓存加速，可快速关闭缓存，切换为纯流量转发模式：

Text
1
2
3
# 关闭所有缓存功能
cache deny all
cache_dir null /tmp

7. 缓存最佳实践建议

  • 小内存服务器（2G及以下）：cache_mem 配置为 128MB，磁盘缓存设置 1GB，避免缓存占用过高系统资源。

  • 企业生产服务器（4G+）：cache_mem 配置 256-512MB，磁盘缓存 2-4GB，满足多设备并发缓存加速需求。

  • 动态接口场景：实时 API、动态接口、时效性请求不建议缓存，可通过 ACL 规则单独禁用动态资源缓存。

九、常见问题排查

  • 代理连接超时：检查服务器防火墙、云服务器安全组是否放行 3128、1080 端口，确认网络连通性正常。

  • 访问被拒绝：客户端 IP 未在配置的内网白名单中，需将对应网段添加至 ACL 放行规则。

  • 配置报错/服务启动失败：执行 squid \-k parse 校验配置文件语法，排查参数书写错误。

  • 服务异常退出：通过 journalctl \-u squid 查看服务运行日志，定位权限、目录、参数异常问题。

十、适用场景总结

  • 企业内网代理出口：统一局域网内所有设备上网出口，集中管控网络访问权限。

  • 机房流量审计：依托完整访问日志，实现全网代理流量记录，满足企业合规审计要求。

  • 局域网访问加速：开启缓存功能，对静态资源进行缓存，降低重复访问带宽消耗。

  • 业务固定出口IP：多台业务设备通过代理统一出口，保障外网访问 IP 固定，适配业务对接需求。

十一、总结

Squid 是 Linux 环境中兼具安全性、稳定性与可运维性的企业级正向代理解决方案，原生支持 HTTP/HTTPS、SOCKS5 双协议转发，依托精细化 ACL 权限控制、双层缓存加速、全量日志审计能力，可完美适配企业机房、办公内网、业务服务器等生产场景。相较于轻量化代理工具，Squid 更侧重流量可控、行为可审、运行稳定，是内网统一流量出口的最优选型。

本文提供的全套部署方案，覆盖安装备份、双协议配置、防火墙放行、服务自启、安全加固、缓存加速、故障排查全流程，支持纯转发与缓存加速两种运行模式，可根据业务场景灵活切换。通过白名单访问控制、账号密码认证、代理指纹隐藏等加固配置，全方位保障代理服务的安全性与稳定性，所有配置均可直接落地生产。

在实际运维工作中，纯转发模式适用于实时性要求高的动态业务请求，保障数据实时同步；缓存模式适用于办公、静态资源访问等场景，有效节省外网带宽、提升访问效率。合理运用 Squid 的管控与缓存能力，可实现内网流量标准化、规范化管理，为企业网络稳定运行提供可靠支撑。