squid訪(fǎng)問(wèn)控制的acl 指令配置：
acl是squid用于控制訪(fǎng)問(wèn)的專(zhuān)用指令，其模式也很簡(jiǎn)單：
acl mymode
http_access deny mymode
或 http_access allow mymode
等等。但要注意，如果定義了很多訪(fǎng)問(wèn)規則，則squid會(huì )按前后順序執行這些控制，所以規則的邏輯順序很重要，否則會(huì )引起安全問(wèn)題或造成訪(fǎng)問(wèn)失??！
i.squid在啟動(dòng)時(shí)，將主機名轉換成IP地址。一旦啟動(dòng)，squid不會(huì )對主機名的地址發(fā)起第二次DNS查詢(xún)。這樣，假如在squid運行中地址已改變，squid不會(huì )注意到。
ii.當ACL域名以"."開(kāi)頭，squid將它作為通配符，它匹配在該域的任何主機名，甚至域名自身。相反的，如果ACL域名不以"."開(kāi)頭，squid使用精確的字符串比較
iii.dst類(lèi)型指向原始服務(wù)器（目標）IP地址，src類(lèi)型指客戶(hù)源IP地址。srcdomain 源域，dstdomain目標域，配置如：
acl myhttpserver dst 1.2.3.0/24 或192.168.0.3 可以寫(xiě)多行此代碼指定多個(gè)服務(wù)器
http_access deny !myhttpserver
iv.port ACL：限制對某些原始服務(wù)器端口號的訪(fǎng)問(wèn)。Squid如果不連接到某些服務(wù)，例如email和IRC服務(wù)，port ACL允許你定義單獨的端口或端口范圍。例如：
acl HTTPports port 80 8000-8010 8080
這是安全的配置方式：
acl Safe_ports port 80 # 僅訪(fǎng)問(wèn)原始服務(wù)器的80端口
http_access deny !Safe_ports#
也可以指定危險端口：
acl Dangerous_ports 7 9 19 22 23 25 53 109 110 119
http_access deny Dangerous_ports
注意：如果指定危險端口，由于每次訪(fǎng)問(wèn)squid都要查詢(xún)端口是否安全，使用危險端口的查詢(xún)工作量大于指定安全端口，盡量不用
v.myport ACL：限制squid的可訪(fǎng)問(wèn)端口，安全的配置方式：
acl AccelPort myport 80
http_access deny !AccelPort
vi.method ACL指HTTP請求方法，常用的有GET/PUT/POST/HEAD，CONNECT方法危險（會(huì )被利用訪(fǎng)問(wèn)遠程服務(wù)器，但SSL會(huì )用到），設置：
acl CONNECT method CONNECT
acl SSL_ports 443
http_access allow CONNECT SSL_ports
http_access deny CONNECT
Purge是squid的專(zhuān)有方法，控制緩存，危險，設置：
acl Purge method PURGE
acl Localhost src 127.0.0.1
http_access allow Purge Localhost #僅在本地使用
http_access deny Purge
vii.proto指URI訪(fǎng)問(wèn)（或傳輸）協(xié)議，常用http, https (same as HTTP/TLS), ftp，只允許http/https的配置：
acl webproto proto HTTP HTTPS
http_access deny !webproto
cache_object是squid專(zhuān)有的控制緩存的協(xié)議，只能在本地用：
acl Manager proto cache_object
acl Localhost src 127.0.0.1
http_access allow Manager Localhost
http_access deny Manager
注意，這要寫(xiě)在上面的http配置前邊
viii.maxconn ACL指來(lái)自客戶(hù)IP地址的大量同時(shí)連接，可以配置為：
acl OverConnLimit maxconn 4
http_access deny OverConnLimit # maxconn ACL在請求超過(guò)指定的數量時(shí)，會(huì )匹配這個(gè)請求，所以用deny方式
ix.包含外部文件：如果配置參數很多很長(cháng)，可以使用外部文件，如：
acl Foo BadClients "/usr/local/squid/etc/BadClients" #ip 地址要一行一個(gè)
x.常用的訪(fǎng)問(wèn)控制規則：
http_access allow/deny 允許/拒絕
no_cache allow/deny不必存儲某些響應，注意使用deny才表示“不緩存”
miss_access列表主要用于squid的鄰居cache。它決定squid怎樣處理cache丟失的請求。如果squid使用集群技術(shù)，那么該功能必需
always_direct 請求匹配allow規則時(shí)，squid直接轉發(fā)請求到原始服務(wù)器
cache_peer_access 控制發(fā)送到鄰居cache的HTTP請求和ICP/HTCP查詢(xún)
header_access 配置squid從它轉發(fā)的請求里刪除某些HTTP頭部。如，你也許想過(guò)濾掉發(fā)送到某些原始服務(wù)器的請求里的Cookie頭部
**注意：把最可能匹配的值放在列表開(kāi)頭處，能減少延時(shí)；少用正則表達式
聯(lián)系客服
