第5章 運行Squid5.1 squid命令行選項在開(kāi)始其他事情之前，讓我們先看一下squid的命令行選項。這里的許多選項你從不會(huì )使用，另外有些僅僅在調試問(wèn)題時(shí)有用。 -a port 指定新的http_port值。該選項覆蓋了來(lái)自squid.conf的值。然而請注意，你能在squid.conf里指定多個(gè)值。-a選項僅僅覆蓋配置文件里的第一個(gè)值。（該選項使用字母a是因為在Harvest cache里，HTTP端口被叫做ASCII端口） -d level 讓squid將它的調試信息寫(xiě)到標準錯誤（假如配置了，就是cache.log和syslog）。level參數指定了顯示在標準錯誤里的消息的最大等級。在多數情況下，d1工作良好。請見(jiàn)16.2章關(guān)于調試等級的描述。 -f file 指定另一個(gè)配置文件。 -h 顯示用法。 -k function 指示squid執行不同的管理功能。功能參數是下列之一：reconfigure, rotate, shutdown, interrupt, kill, debug, check, or parse. reconfigure導致運行中的squid重新讀取配置文件。rotate導致squid滾動(dòng)它的日志，這包括了關(guān)閉日志，重命名，和再次打開(kāi)它們。shutdown發(fā)送關(guān)閉squid進(jìn)程的信號。interrupt立刻關(guān)閉squid，不必等待活動(dòng)會(huì )話(huà)完成。kill發(fā)送KILL信號給squid，這是關(guān)閉squid的最后保證。debug將squid設置成完全的調試模式，假如你的cache很忙，它能迅速的用完你的磁盤(pán)空間。check簡(jiǎn)單的檢查運行中的squid進(jìn)程，返回的值顯示squid是否在運行。最后，parse簡(jiǎn)單的解析squid.conf文件，如果配置文件包含錯誤，進(jìn)程返回非零值。 -s 激活將日志記錄到syslog進(jìn)程。squid使用LOCAL4 syslog設備。0級別調試信息以?xún)?yōu)先級LOG_WARNING被記錄，1級別消息以L(fǎng)OG_NOTICE被記錄。更高級的調試信息不會(huì )被發(fā)送到syslogd.你可以在/etc/syslogd.conf文件里使用如下接口： local4.warning /var/log/squid.log -u port 指定另一個(gè)ICP端口號，覆蓋掉squid.conf文件里的icp_port。 -v 打印版本信息。 -z 初始化cache，或者交換，目錄。在首次運行squid，或者增加新的cache目錄時(shí)，你必須使用該選項。 -C 阻止安裝某些信號句柄，它們捕獲特定的致命信號例如SIGBUS和SIGSEGV。正常的，這些信號被squid捕獲，以便它能干凈的關(guān)閉。然而，捕獲這些信號可能讓以后調試問(wèn)題困難。使用該選項，致命的信號導致它們的默認動(dòng)作，通常是coredump。 -D 禁止初始化DNS測試。正常情況下，squid直到驗證它的DNS可用才能啟動(dòng)。該選項阻止了這樣的檢測。你也能在squid.conf文件里改變或刪除dns_testnames選項。 -F 讓squid拒絕所有的請求，直到它重新建立起存儲元數據。假如你的系統很忙，該選項可以減短重建存儲元數據的時(shí)間。然而，如果你的cache很大，重建過(guò)程可能會(huì )花費很長(cháng)的時(shí)間。 -N 阻止squid變成后臺服務(wù)進(jìn)程。 -R 阻止squid在綁定HTTP端口之前使用SO_REUSEADDR選項。 -V 激活虛擬主機加速模式。類(lèi)似于squid.conf文件里的httpd_accel_host virtual指令。 -X 強迫完整調試模式，如你在squid.conf文件里指定debug_options ALL,9一樣。 -Y 在重建存儲元數據時(shí)，返回ICP_MISS_NOFETCH代替ICP_MISS.忙碌的父cache在重建時(shí)，該選項可以導致最少的負載。請見(jiàn)10.6.1.2章。 5.2 對配置文件查錯在開(kāi)啟squid之前，你應該謹慎的驗證配置文件。這點(diǎn)容易做到，運行如下命令即可： %squid -k parse 假如你看不到輸出，配置文件有效，你能繼續后面的步驟。然而，如果配置文件包含錯誤，squid會(huì )告訴你： squid.conf line 62: http_access allow okay2 aclParseAccessLine: ACL name 'okay2' not found. 這里你可以看到，62行的http_access指令指向的ACL不存在。有時(shí)候錯誤信息很少： FATAL: Bungled squid.conf line 76: memory_pools 在這個(gè)情形里，我們忘記了在76行的memory_pools指令后放置on或off. 建議你養成習慣：在每次修改配置文件后，使用squid -k parse。假如你不愿麻煩，并且你的配置文件有錯誤，squid會(huì )告訴你關(guān)于它們而且拒絕啟動(dòng)。假如你管理著(zhù)大量的cache，也許你會(huì )編輯腳本來(lái)自動(dòng)啟動(dòng)，停止和重配置squid。你能在腳本里使用該功能，來(lái)確認配置文件是有效的。 5.3 初始化cache目錄在初次運行squid之前，或者無(wú)論何時(shí)你增加了新的cache_dir，你必須初始化cache目錄。命令很簡(jiǎn)單： %squid -z 對UFS相關(guān)的存儲機制（ufs,aufs,and diskd;見(jiàn)第8章），該命令在每個(gè)cache_dir下面創(chuàng )建了所需的子目錄。你不必擔心squid會(huì )破壞你的當前cache目錄（如果有的話(huà)）。 在該階段屬主和許可權是通常遇到的問(wèn)題。squid在特定的用戶(hù)ID下運行，這在squid.conf文件里的cache_effective_user里指定。用戶(hù)ID必須對每個(gè)cache_dir目錄有讀和寫(xiě)權限。否則，你將看到如下信息： Creating Swap Directories FATAL: Failed to make swap directory /usr/local/squid/var/cache/00: (13) Permission denied 在這樣的情形下，你該確認/usr/local/squid/var/cache目錄的所有組成都可被squid.conf給定的用戶(hù)ID訪(fǎng)問(wèn)。最終的組件--cache目錄--必須對該用戶(hù)ID可寫(xiě)。 cache目錄初始化可能花費一些時(shí)間，依賴(lài)于cache目錄的大小和數量，以及磁盤(pán)驅動(dòng)器的速度。假如你想觀(guān)察這個(gè)過(guò)程，請使用-X選項： %squid -zX 5.4 在終端窗口里測試squid一旦你已經(jīng)初始化cache目錄，就可以在終端窗口里運行squid，將日志記錄到標準錯誤。這樣，你能輕易的定位任何錯誤或問(wèn)題，并且確認squid是否成功啟動(dòng)。使用-N選項來(lái)保持squid在前臺運行，-d1選項在標準錯誤里顯示1級別的調試信息。 %squid -N -d1 你將看到類(lèi)似于以下的輸出： 2003/09/29 12:57:52| Starting Squid Cache version 2.5.STABLE4 for i386-unknown-freebsd4.8... 2003/09/29 12:57:52| Process ID 294 2003/09/29 12:57:52| With 1064 file descriptors available 2003/09/29 12:57:52| DNS Socket created on FD 4 2003/09/29 12:57:52| Adding nameserver 206.107.176.2 from /etc/resolv.conf 2003/09/29 12:57:52| Adding nameserver 205.162.184.2 from /etc/resolv.conf 2003/09/29 12:57:52| Unlinkd pipe opened on FD 9 2003/09/29 12:57:52| Swap maxSize 102400 KB, estimated 7876 objects 2003/09/29 12:57:52| Target number of buckets: 393 2003/09/29 12:57:52| Using 8192 Store buckets 2003/09/29 12:57:52| Max Mem size: 8192 KB 2003/09/29 12:57:52| Max Swap size: 102400 KB 2003/09/29 12:57:52| Rebuilding storage in /usr/local/squid/var/cache (DIRTY) 2003/09/29 12:57:52| Using Least Load store dir selection 2003/09/29 12:57:52| Set Current Directory to /usr/local/squid/var/cache 2003/09/29 12:57:52| Loaded Icons. 2003/09/29 12:57:52| Accepting HTTP connections at 0.0.0.0, port 3128, FD 11. 2003/09/29 12:57:52| Accepting ICP messages at 0.0.0.0, port 3130, FD 12. 2003/09/29 12:57:52| WCCP Disabled. 2003/09/29 12:57:52| Ready to serve reques 假如你看到錯誤消息，你該首先修正它。請檢查輸出信息的開(kāi)始幾行以發(fā)現警告信息。最普通的錯誤是文件/目錄許可問(wèn)題，和配置文件語(yǔ)法錯誤。假如你看到一條不引起注意的錯誤消息，請見(jiàn)16章中關(guān)于squid故障處理的建議和信息。如果還不行，請檢查squid FAQ,或查找郵件列表來(lái)獲得解釋。 一旦你見(jiàn)到"Ready to serve requests"消息，就可用一些HTTP請求來(lái)測試squid。配置你的瀏覽器使用squid作為代理，然后打開(kāi)某個(gè)web頁(yè)面。假如squid工作正常，頁(yè)面被迅速載入，就象沒(méi)使用squid一樣。另外，你可以使用squidclient程序，它隨squid發(fā)布： % squidclient http://www.squid-cache.org/ 假如它正常工作，squid的主頁(yè)html文件會(huì )在你的終端窗口里滾動(dòng)。一旦確認squid工作正常，你能中斷squid進(jìn)程（例如使用ctrl-c）并且在后臺運行squid。 5.5 將squid作為服務(wù)進(jìn)程運行正常情況下你想將squid以后臺進(jìn)程運行（不出現在終端窗口里）。最容易的方法是簡(jiǎn)單執行如下命令： %squid -s -s選項導致squid將重要的狀態(tài)和警告信息寫(xiě)到syslogd。squid使用LOCAL4設備，和LOG_WARNING和LOG_NOTICE優(yōu)先權。syslog進(jìn)程實(shí)際可能會(huì )或不會(huì )記錄squid的消息，這依賴(lài)于它被如何配置。同樣的消息被寫(xiě)進(jìn)cache.log文件，所以假如你愿意，忽略-s選項也是安全的。 當你不使用-N選項來(lái)啟動(dòng)squid，squid自動(dòng)在后臺運行并且創(chuàng )建父/子進(jìn)程對。子進(jìn)程做所有的實(shí)際工作。父進(jìn)程確認子進(jìn)程總在運行。這樣，假如子進(jìn)程意外終止，父進(jìn)程啟動(dòng)另外一個(gè)子進(jìn)程以使squid正常工作。通過(guò)觀(guān)察syslog消息，你能看到父/子進(jìn)程交互作用。 Jul 31 14:58:35 zapp squid[294]: Squid Parent: child process 296 started 這里顯示的父進(jìn)程ID是294，子進(jìn)程是296。當你查看ps的輸出，你可以看到子進(jìn)程以(squid)形式出現： % ps ax | grep squid 294 ?? Is 0:00.01 squid -sD 296 ?? S 0:00.27 (squid) -sD (squid) 假如squid進(jìn)程意外終止，父進(jìn)程啟動(dòng)另一個(gè)。例如： Jul 31 15:02:53 zapp squid[294]: Squid Parent: child process 296 exited due to signal 6 Jul 31 15:02:56 zapp squid[294]: Squid Parent: child process 359 started 在某些情形下，squid子進(jìn)程可能立即終止。為了防止頻繁的啟動(dòng)子進(jìn)程，假如子進(jìn)程連續5次沒(méi)有運行至少10秒鐘，父進(jìn)程會(huì )放棄。 Jul 31 15:13:48 zapp squid[455]: Squid Parent: child process 474 exited with status 1 Jul 31 15:13:48 zapp squid[455]: Exiting due to repeated, frequent failures 如果發(fā)生這樣的事，請檢查syslog和squid的cache.log以發(fā)現錯誤。 5.5.1 squid_start腳本當squid以后臺進(jìn)程運行時(shí)，它查找squid執行程序目錄下的名為squid_start的文件。假如發(fā)現，該程序在父進(jìn)程創(chuàng )建子進(jìn)程之前被執行。你能使用該腳本完成特定的管理任務(wù)，例如通知某人squid在運行，管理日志文件等。除非squid_start程序存在，squid不會(huì )創(chuàng )建子進(jìn)程。 squid_start腳本在你使用絕對或相對路徑啟動(dòng)squid時(shí)才開(kāi)始工作。換句話(huà)說(shuō)，squid不使用PATH環(huán)境變量來(lái)定位squid_start.這樣，你應該養成習慣這樣啟動(dòng)squid： % /usr/local/squid/sbin/squid -sD 而不要這樣： %squid -sD 5.6 啟動(dòng)腳本通常你希望squid在每次計算機重啟后自動(dòng)啟動(dòng)。對不同的操作系統，它們的啟動(dòng)腳本如何工作也很不同。我在這里描述一些通用的環(huán)境，但對你自己的特殊操作系統，也許該有特殊的處理方法。 5.6.1 /etc/rc.local最容易的機制之一是/etc/rc.local腳本。這是個(gè)簡(jiǎn)單的shell腳本，在每次系統啟動(dòng)時(shí)以root運行。使用該腳本來(lái)啟動(dòng)squid非常容易，增加一行如下： /usr/local/squid/sbin/squid -s 當然你的安裝位置可能不同，還有你可能要使用其他命令行選項。不要在這里使用-N選項。 假如因為某些理由，你沒(méi)有使用cache_effective_user指令，你可以嘗試使用su來(lái)讓squid以非root用戶(hù)運行： /usr/bin/su nobody -c '/usr/local/squid/sbin/squid -s' 5.6.2 init.d和rc.dinit.d和rc.d機制使用獨立的shell腳本來(lái)啟動(dòng)不同的服務(wù)。這些腳本通常在下列目錄之中：/sbin/init.d, /etc/init.d, /usr/local/etc/rc.d.腳本通常獲取單一命令行參數，是start或stop。某些系統僅僅使用start參數。如下是啟動(dòng)squid的基本腳本： #!/bin/sh # this script starts and stops Squid case "$1" in start) /usr/local/squid/sbin/squid -s echo -n ' Squid' ;; stop) /usr/local/squid/sbin/squid -k shutdown ;; esac Linux用戶(hù)可能在啟動(dòng)squid之前需要設置文件描述符限制。例如： echo 8192 > /proc/sys/fs/file-max limit -HSn 8192 為了使用該腳本，先找到腳本存放的目錄。給它一個(gè)有意義的名字，類(lèi)似于其他的系統啟動(dòng)腳本?？梢允荢98squid或squid.sh。通過(guò)重啟計算機來(lái)測試該腳本，而不要假想它會(huì )正常工作。 5.6.3 /etc/inittab某些操作系統支持另一種機制，是/etc/inittab文件。在這些系統中，init進(jìn)程啟動(dòng)和停止基于運行等級的服務(wù)。典型的inittab接口類(lèi)似如此： sq:2345:once:/usr/local/squid/sbin/squid -s 使用該接口，init進(jìn)程啟動(dòng)squid一次并且隨后忘記它。squid確認它駐留在運行狀態(tài)，象前面描述的一樣?；蛘?，你能這樣做: sq:2345:respawn:/usr/local/squid/sbin/squid -Ns 這里我們使用了respawn選項，假如進(jìn)程不存在init會(huì )重啟squid。假如使用respawn，請確認使用-N選項。 在編輯完inittab文件后，使用下面的命令來(lái)使init重新讀取它的配置文件和啟動(dòng)squid： # init q 5.7 chroot環(huán)境某些人喜歡在chroot環(huán)境運行squid。這是unix的功能，給予進(jìn)程新的root文件系統目錄。在squid受安全威脅時(shí)，它提供額外等級的安全保護。假如攻擊者在某種程度上通過(guò)squid獲取了對操作系統的訪(fǎng)問(wèn)權，她僅僅能訪(fǎng)問(wèn)在chroot文件系統中的文件。在chroot樹(shù)之外的系統文件，她不可訪(fǎng)問(wèn)。 最容易在chroot環(huán)境里運行squid的方法是，在squid.conf文件里指定新的root目錄，如下： chroot /new/root/directory chroot()系統調用需要超級用戶(hù)權限，所以你必須以root來(lái)啟動(dòng)squid。 chroot環(huán)境不是為unix新手準備的。它有點(diǎn)麻煩，因為你必須在新的root目錄里重復放置大量的文件。例如，假如默認的配置文件正常在/usr/local/squid/etc/squid.conf，并且你使用chroot指令，那么文件必須位于/new/root/directory/usr/local/squid/etc/squid.conf.你必須將位于$prefix/etc,$prefix/share,$prefix/libexec下的所有文件拷貝到chroot目錄。請確認$prefix/var和cache目錄在chroot目錄中存在和可寫(xiě)。 同樣的，你的操作系統需要將大量的文件放在chroot目錄里，例如/etc/resolv.conf和/dev/null.假如你使用外部輔助程序，例如重定向器（見(jiàn)11章）或者驗證器（見(jiàn)12章），你也需要來(lái)自/usr/lib的某些共享庫。你可以使用ldd工具來(lái)查找給定的程序需要哪些共享庫： % ldd /usr/local/squid/libexec/ncsa_auth /usr/local/squid/libexec/ncsa_auth: libcrypt.so.2 => /usr/lib/libcrypt.so.2 (0x28067000) libm.so.2 => /usr/lib/libm.so.2 (0x28080000) libc.so.4 => /usr/lib/libc.so.4 (0x28098000) 你可以使用chroot命令來(lái)測試輔助程序： # chroot /new/root/directory /usr/local/squid/libexec/ncsa_auth /usr/libexec/ld-elf.so.1: Shared object "libcrypt.so.2" not found 更多的關(guān)于chroot的信息，請見(jiàn)你系統中chroot()的manpage. 5.8 停止squid最安全的停止squid的方法是使用squid -k shutdown命令： %squid -k shutdown 該命令發(fā)送TERM信號到運行中的squid進(jìn)程。在接受到TERM信號后，squid關(guān)閉進(jìn)來(lái)的套接字以拒收新請求。然后它等待一段時(shí)間，用以完成外出請求。默認時(shí)間是30秒，你可以在shutdown_lifetime指令里更改它。 假如因為某些理由，squid.pid文件丟失或不可讀，squid -k命令會(huì )失敗。在此情形下，你可以用ps找到squid的進(jìn)程ID，然后手工殺死squid。例如： %ps ax |grep squid 假如你看到不止一個(gè)squid進(jìn)程，請殺死以(squid)顯示的那個(gè)。例如： % ps ax | grep squid 294 ?? Is 0:00.01 squid -sD 296 ?? S 0:00.27 (squid) -sD (squid) % kill -TERM 296 在發(fā)送TERM信號后，你也許想查看日志，以確認squid已關(guān)閉： % tail -f logs/cache.log 2003/09/29 21:49:30| Preparing for shutdown after 9316 requests 2003/09/29 21:49:30| Waiting 10 seconds for active connections to finish 2003/09/29 21:49:30| FD 11 Closing HTTP connection 2003/09/29 21:49:31| Shutting down... 2003/09/29 21:49:31| FD 12 Closing ICP connection 2003/09/29 21:49:31| Closing unlinkd pipe on FD 9 2003/09/29 21:49:31| storeDirWriteCleanLogs: Starting... 2003/09/29 21:49:32| Finished. Wrote 253 entries. 2003/09/29 21:49:32| Took 0.1 seconds (1957.6 entries/sec). 2003/09/29 21:49:32| Squid Cache (Version 2.5.STABLE4): Exiting normally. 假如你使用squid -k interrupt命令，squid立即關(guān)閉，不用等待完成活動(dòng)請求。這與在kill里發(fā)送INT信號相同。 5.9 重配置運行中的squid進(jìn)程在你了解了更多關(guān)于squid的知識后，你會(huì )發(fā)現對squid.conf文件做了許多改動(dòng)。為了讓新設置生效，你可以關(guān)閉和重啟squid,或者在squid運行時(shí)，重配置它。 重配置運行中的squid最好的方法是使用squid -k reconfigure命令： %squid -k reconfigure 當你運行該命令時(shí)，HUP信號被發(fā)送到運行中的squid進(jìn)程。然后squid讀取和解析squid.conf文件。假如操作成功，你可以在cache.log里看到這些： 2003/09/29 22:02:25| Restarting Squid Cache (version 2.5.STABLE4)... 2003/09/29 22:02:25| FD 12 Closing HTTP connection 2003/09/29 22:02:25| FD 13 Closing ICP connection 2003/09/29 22:02:25| Cache dir '/usr/local/squid/var/cache' size remains unchanged at 102400 KB 2003/09/29 22:02:25| DNS Socket created on FD 5 2003/09/29 22:02:25| Adding nameserver 10.0.0.1 from /etc/resolv.conf 2003/09/29 22:02:25| Accepting HTTP connections at 0.0.0.0, port 3128, FD 9. 2003/09/29 22:02:25| Accepting ICP messages at 0.0.0.0, port 3130, FD 11. 2003/09/29 22:02:25| WCCP Disabled. 2003/09/29 22:02:25| Loaded Icons. 2003/09/29 22:02:25| Ready to serve requests. 在使用reconfigure選項時(shí)你須謹慎，因為所做的改變可能會(huì )導致致命錯誤。例如，請注意squid關(guān)閉和重新打開(kāi)進(jìn)來(lái)的HTTP和ICP套接字；假如你將http_port改變?yōu)閟quid不能打開(kāi)的端口，它會(huì )發(fā)生致命錯誤并退出。 在squid運行時(shí)，某些指令和和選項不能改變，包括：
solaris用戶(hù)在重配置squid過(guò)程中可能遇到其他問(wèn)題。solaris的stdio執行組件里的fopen()調用要求使用小于256的未用文件描述符。FILE結構以8位值存儲該文件描述符。正常情況下這不構成問(wèn)題，因為squid使用底層I/O（例如open()）來(lái)打開(kāi)cache文件。然而，在重配置過(guò)程中的某些任務(wù)使用fopen()，這就有可能失敗，因為前面的256個(gè)文件描述符已被分配出去。 5.10 滾動(dòng)日志文件除非你在squid.conf里禁止，squid會(huì )寫(xiě)大量的日志文件。你必須周期性的滾動(dòng)日志文件，以阻止它們變得太大。squid將大量的重要信息寫(xiě)入日志，假如寫(xiě)不進(jìn)去了，squid會(huì )發(fā)生錯誤并退出。為了合理控制磁盤(pán)空間消耗，在cron里使用如下命令： %squid -k rotate 例如，如下任務(wù)接口在每天的早上4點(diǎn)滾動(dòng)日志： 0 4 * * * /usr/local/squid/sbin/squid -k rotate 該命令做兩件事。首先，它關(guān)閉當前打開(kāi)的日志文件。然后，通過(guò)在文件名后加數字擴展名，它重命名cache.log,store.log,和access.log。例如，cache.log變成cache.log.0,cache.log.0變成cache.log.1,如此繼續，滾動(dòng)到logfile_rotate選項指定的值。 squid僅僅保存每個(gè)日志文件的最后logfile_rotate版本。更老的版本在重命名過(guò)程中被刪除。假如你想保存更多的拷貝，你需要增加logfile_rotate限制，或者編寫(xiě)腳本用于將日志文件移動(dòng)到其他位置。 請見(jiàn)13.7章關(guān)于滾動(dòng)日志的其他信息。 |
聯(lián)系客服
