squid.conf的典型配置

squid.conf的 典型 配置 squid.conf的 典型 配置 （普通代理）2010-02-12 12:241. 配置 #vi /etc/squid/squid.conf #http_port指令告诉squid在哪个端口侦听HTTP请求。默认端口是3128,除下面的形式外,也可以是http_port 192.168.63.50:3128 http_port 3128 ic

squid.conf的典型配置

squid.conf的典型配置（普通代理）2010-02-12 12:241. 配置
#vi /etc/squid/squid.conf

#http_port指令告诉squid在哪个端口侦听HTTP请求。默认端口是3128,除下面的形式外,也可以是http_port 192.168.63.50:3128
http_port 3128
icp_port 3130

#缓存目录的设置,可以设置多个缓存目录,语法为:
cache_dir ufs /var/spool/squid 1000 64 1024

#下面是关于日志文件的放置目录与文件名！
cache_access_log /var/log/squid/access.log
cache_log /var/log/squid/cache.log
cache_store_log /var/log/squid/store.log
pid_filename /var/run/squid.pid

#关闭认证机制，有些版本的　squid 会自动的加入代理认证机制，而普通情况下是不需要的,故找到包括auth_param的行，给它们加上注释
#auth_param basic children 5
#auth_param basic realm Squid proxy-caching web server
#auth_param basic credentialsttl 2 hours

#设置squid用户及用户组、管理员账号
cache_effective_user squid
cache_effective_group squid
cache_mgr youraccount@your.e.mail

# 与内存有关的配置：因为我的系统内存很小，所以只给 8 MB！如果您的物理内存很大的情况下，例如 512 MB，可以考虑加大到 64 或 128 MB。
cache_mem 128 MB

# 与磁盘容量有关的配置(注：下列的 90 与 95 是百分比 )，如果您的 cache_dir 所在磁盘很大时，可以考虑将 4096 改成 32768 KB
cache_swap_low 90
cache_swap_high 95
maximum_object_size 4096 KB

# 与内存保存资料有关的配置
maximum_object_size_in_memory 8 KB

#定义acl(访问控制列表), 语法为:acl配置的内容>
#黑体为用户自定义部分

acl All src 0/0
acl Manager proto cache_object
acl Localhost src 127.0.0.1/32
acl Safe_ports port 80 21 443 563 70 210 280 488 591 777 1025-65535
acl SSL_ports 443 563
acl CONNECT method CONNECT
acl MyNetwork src 192.168.0.0/16

#利用前面定义的acl,定义访问控制规则
http_access allow Manager Localhost
http_access deny Manager
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow MyNetwork
http_access deny All

#定义与其它代理服务器的关系,语法:
cache_peer 192.168.60.6 parent 4480 7 no-query default

#设置与其它代理服务器的关系:
#
#cache_peer_access 192.168.60.6 allow aclxxx
#cache_peer_access 192.168.60.6 deny !aclxxx

coredump_dir /var/spool/squid

2. 激活squid
1). 在开启squid之前，你应该验证其配置文件是否正确。运行如下命令即可：

# squid -k parse

假如你看不到输出，配置文件有效，你能继续后面的步骤。然而，如果配置文件包含错误，squid会告诉你：

2). 初始化cache目录.即建立缓存目录的存储格式

只需在第一次启动squid服务之前执行(在初次运行squid之前，或者无论何时你增加了新的cache_dir，你必须初始化cache目录。)

# squid -z

cache目录初始化可能花费一些时间，依赖于cache目录的大小和数量，以及磁盘驱动器的速度。假如你想观察这个过程，请使用-X选项：

# squid -zX

3). 启动squid服务

# service squid start

假定squid安装在/usr/local/squid目录下,也可以

# /usr/local/squid/sbin/squid -sD

4). 停止squid

最安全的停止squid的方法是使用squid -k shutdown命令：

# squid -k shutdown

5). 重配置运行中的squid进程

在你了解了更多关于squid的知识后，你会发现对squid.conf文件做了许多改动。为了让新设置生效，你可以关闭和重启squid,或者在squid运行时，重配置它。

重配置运行中的squid最好的方法是使用squid -k reconfigure命令：

# squid -k reconfigure

6). 滚动日志文件

除非你在squid.conf里禁止，squid会写大量的日志文件。你必须周期性的滚动日志文件，以阻止它们变得太大。squid将大量的重要信息写入日志，假如写不进去了，squid会发生错误并退出。为了合理控制磁盘空间消耗，在cron里使用如下命令：

%squid -k rotate

例如，如下任务接口在每天的早上4点滚动日志：

0 4 * * * /usr/local/squid/sbin/squid -k rotate

该命令做两件事。首先，它关闭当前打开的日志文件。然后，通过在文件名后加数字扩展名，它重命名cache.log,store.log,和 access.log。例如，cache.log变成cache.log.0,cache.log.0变成cache.log.1,如此继续，滚动到 logfile_rotate选项指定的值。

squid仅仅保存每个日志文件的最后logfile_rotate版本。更老的版本在重命名过程中被删除。假如你想保存更多的拷贝，你需要增加logfile_rotate限制，或者编写脚本用于将日志文件移动到其他位置。请见13.7章关于滚动日志的其他信息。

3. 访问控制示例
1) 禁止访问某个网站

在squid配置文件中添加以下acl名称及访问规则,并重新加载配置文件

acl sina dstdomain .sina.com.cn .sina.com
http_access deny sina

或

acl sina dst 58.63.236.26 58.63.236.27 58.63.236.28 58.63.236.29 58.63.236.30 58.63.236.31 58.63.236.32 58.63.236.33 58.63.236.34 58.63.236.35 58.63.236.36 58.63.236.37 58.63.236.38 58.63.236.39 58.63.236.49 58.63.236.50
http_access deny sina

或

acl sina dst www.sina.com.cn
http_access deny sina

2) 禁止来自某些IP地址的访问

在squid配置文件中添加以下acl名称及访问规则,并重新加载配置文件

acl zhang src 192.168.63.6/32
http_access deny zhang

3) 禁止在某些时段访问

acl Working_hours MTWHF 08:00-17:00
http_access allow Working_hours
http_access deny !Working_hours

4) 禁止某个代理客户建立过多连接
acl OverConnLimit maxconn 4
http_access deny OverConnLimit

三. 透明代理
返回

让我们现在来想象一个联机状态，就是你有一整组内部网络，而这个内部网络都是透过 NAT 主机联机出去的。那么我们谈过，就是在一个内部网很大的情况下，使用 Proxy 是一个很不错的选择，因为至少他可以减轻带宽负荷！不过，遗憾的是，架设 Proxy 的时候，也要使用者在浏览器上面设置代理！那么有没有办法在『使用者不需要在浏览器上面进行任何配置，就可以实现以 Proxy 帮助使用者联接Internet？当然有啦！那就是 Transparent Proxy 啦！也有人翻译成『透明代理服务器』，其原理是：

当使用者经过 NAT 服务器来联机进入 Internet 时，假如使用的 Internet 协议为 80 (也就是 WWW) ，那么就将这个要求交给 Proxy 来工作，以达到代理服务器的功能。

呵呵！也就是说，当使用者是经过 NAT 主机联机出去时，只要让 NAT 主机发现『咦！你是要去读取 www 的资料对吧！好！那么这个动作由 Proxy 主机帮你搞定！』如此一来，使用者根本就不需要在浏览器上面配置 Proxy 的相关资料，因为这个动作是『由 NAT 主机自己决定的』，所以只要在 NAT 主机上面配置妥当即可，使用者不必配置任何资料呢！那么要怎么进行呢？只要两个步骤即可：

1. 配置 Proxy 主机：
1) 如果是squid 2.5,需要更改squid配置文件中的下列指令:

[root@test root]# vi /etc/squid/squid.conf
！
httpd_accel_host virtual # 告诉web加速器,针对所有的URL

httpd_accel_port 80 # 告诉web加速器，要监听的端口是80！

httpd_accel_with_proxy on # 这个很重要！因为配置 httpd_accel_host 之后， cache 的配置会自动被终止，必须要加上这个配置为 on 之后，才能提供 cache 的功能！
httpd_accel_uses_host_header on

2) 如果是squid 2.6,则只需要更改squid配置文件中的一个指令:

http_port 192.168.63.50:3128 transparent #192.168.63.50 就是squid服务器的地址

[root@test root]# squid -k reconfigure

2. 配置 NAT 主机的 port map ：
再来让我们到 NAT 主机上面看看先，因为需要将 80 这个 port 交给 Proxy 的 3128 来帮忙协助，所以你的防火墙 script 必须要加入这一段才行：　

#iptables -t nat -A PREROUTING -i eth0 -p tcp -s 192.168.62.0/24 --dport 80 -j REDIRECT --to-ports 3128

注意一下，那个 eth0 是『你的 NAT 对内的网卡』，至于 192.168.62.0/24 则是你的内部网域，请依照你的主机实际状态来配置！这样一来，您的 client 端完全不需要进行任何的配置，立刻就可以使用 Proxy 的好处啰

3. 配置转发
#echo 1 > /proc/sys/net/ipv4/ip_forward

或：

#vi /etc/sysctl.conf

net_ipv4_forword=1

#vi /etc/sysconfig/network

FORWARD_IPV4=yes

#service network restart

4. 配置客户端
将另外一台计算机作为客户机进行测试，需要将网关、首选DNS服务器指向设置透明代理的服务器，清除客户端的浏览器代理设置。

四. 反向代理
返回

代理服务器是使用非常普遍的一种将局域网主机联入互联网的一种方式，使用代理上网可以节约紧缺的IP地址资源，而且可以阻断外部主机对内部主机的访问，使内部网主机免受外部网主机的攻击。但是，如果想让互联网上的主机访问内部网的主机资源（例如：Web站点），又想使内部网主机免受外部网主机攻击，一般的代理服务是不能实现的，需要使用反向代理来实现。

什么是反向代理呢？其实，反向代理也就是通常所说的WEB服务器加速，它是一种通过在繁忙的WEB服务器和Internet之间增加一个高速的WEB缓冲服务器（即：WEB反向代理服务器）来降低实际的WEB服务器的负载。典型的结构如下图所示：

Web服务器加速（反向代理）是针对Web服务器提供加速功能的。它作为代理Cache，但并不针对浏览器用户，而针对一台或多台特定Web服务器（这也是反向代理名称的由来）。实施反向代理（如上图所示），只要将Reverse Proxy Cache设备放置在一台或多台Web服务器前端即可。当互联网用户访问某个WEB服务器时，通过DNS服务器解析后的IP地址是Reverse Proxy Server的IP地址,而非原始Web服务器的IP地址,这时Reverse Proxy Server设备充当Web服务器，浏览器可以与它连接，无需再直接与Web服务器相连。因此，大量Web服务工作量被卸载到反向代理服务上。不但能够防止外部网主机直接和web服务器直接通信带来的安全隐患，而且能够很大程度上减轻web服务器的负担，提高访问速度。

1． Squid反向代理单个后台WEB服务器

1) 如果WEB服务器和反向代理服务器是两台单独的机器（一般的反向代理应该有两块网卡分别连接了内外部网络）。那么，应该修改下面的内容来设置反向代理服务。

http_port 80 #squid监听的端口
httpd_accel_host 172.16.250.250 #内部WEB服务器的IP地址
httpd_accel_port 80 #WEB服务的端口号
httpd_accel_single_host on #转发没有缓冲的请求到一台单独的机器，squid被设置成仅对单一的web服务器作反向代理
httpd_accel_with_proxy on #如果希望squid既作反向代理服务器又作本地机器的上网代理，需要将此设为on，默认是off
httpd_accel_uses_host_header off　#在HTTP协议1.1中，HTTP请求包括一个主机头信息，指定URL的主机名或者主机的IP地址。这个选项可以用来完成多个后台WEB服务器的反向代理功能。

2) 如果WEB服务器和反向代理服务器是同一台机器。那么，应该设置WEB服务器的监听端口为非80端口（比如：81端口）。要修改的内容如下：

http_port 80 #squid监听的端口
httpd_accel_host localhost #内部WEB服务器的IP地址
httpd_accel_port 81 #WEB服务器的端口号
httpd_accel_single_host on
httpd_accel_with_proxy on
httpd_accel_uses_host_header off

2．Squid反向代理多个后台WEB服务器

我们可以用Squid反向代理多个后台WEB服务器。例如：我们可以配置squid同时反向代理www.abc.com, www.xyz.com, www.lmn.com三个后台WEB服务器，示意图如下：

Squid的配置如下：

httpd_accel_host virtual
httpd_accel_port 80
httpd_accel_single_host off
httpd_accel_uses_host_header on

（注意:编译Squid时需激活Internal DNS选项）

然后设置设置反响代理需要的域名解析（Internet用户通过这里解析三个网站的域名）如下：

www.abc.com 202.102.240.74
www.xyz.com 202.102.240.74
www.lmn.com 202.102.240.74

使三个域名都指向反向代理服务器的IP地址202.102.240.74。

下面设置反向代理所需要的DNS入口信息（即设置内部DNS，仅仅是squid在内部使用，Internet用户不可见）。有两种方法可以设置内部DNS，使用内部DNS服务器来解析或者使用/etc/hosts文件来实现。

使用内部DNS服务器的资源记录如下：
www.abc.com IN A 192.168.62.2
www.xyz.com IN A 192.168.62.3
www.lmn.com IN A 192.168.62.4

如果使用/etc/hosts文件来实现内部DNS（编译时应使用disable internal dns选项）,编辑/etc/hosts文件添加如下条目：
192.168.62.2 www.abc.com
192.168.62.3 www.xyz.com
192.168.62.4 www.lmn.com

结论：通过本文中的论述和相关实例，可以看出，反向代理方式不单是一种WEB服务器加速器，而且使也一种对外提供Web发布时使用的有效的防火墙技术，使用它不但能节约紧缺的IP地址资源，加速WEB服务器的访问速度，而且能够保护WEB主机，因此能够适应多种应用场合。

五. 故障处理
返回

1. 如果在启动squid时出现下述信息:

% squid -Nd1

FATAL: Could not determine fully qualified hostname. Please set 'visible_hostname'

则需要在squid的配置文件中设置visible_hostname,如:

visible_hostname squid.packet-pushers.net

2. 如果在配置squid代理后,客户访问出现以下提示:

ERROR
The requested URL could not be retrieved

While trying to retrieve the URL: http://.../

可能需要在squid配置文件中加入以下指令:

always_direct allow all

六. 一个范例
返回

http_port 3128
icp_port 0

cache_mem 64 MB
cache_swap_low 80
cache_swap_high 85

maximum_object_size 32000 KB

cache_dir ufs /var/spool/squid 500 64 1024
cache_access_log /var/log/squid/access.log
cache_log /var/log/squid/cache.log
cache_store_log /var/log/squid/store.log

pid_filename /var/run/squid.pid

acl all src 0.0.0.0/0.0.0.0
acl alldst dst 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl to_localhost dst 127.0.0.0/8
acl 163 url_regex 163.com
acl sina url_regex sina.com.cn
acl myclient src 192.168.6.0/24

http_access allow 163
http_access allow sina
http_access deny !sina
http_access deny !163

cache_peer 192.168.1.8 parent 8080 7 no-query default

cache_effective_user squid
cache_effective_group squid
cache_mgr root@net03.org
coredump_dir /var/spool/squid

七. 一个限制访问的范例
返回

http_port 3128
icp_port 0
cache_mem 64 MB
cache_swap_low 80
cache_swap_high 85
maximum_object_size 32000 KB
cache_dir ufs /var/spool/squid 500 64 1024
cache_access_log /var/log/squid/access.log
cache_log /var/log/squid/cache.log
cache_store_log /var/log/squid/store.log
pid_filename /var/run/squid.pid
acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl to_localhost dst 127.0.0.0/8
acl SSL_ports port 443 563
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 563 # https, snews
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl CONNECT method CONNECT
acl myclient src 192.168.6.0/24
acl 163 url_regex 163.com
acl sina url_regex sina.com.cn
# Only allow cachemgr access from localhost
http_access allow manager localhost
http_access deny manager
# Deny requests to unknown ports
http_access deny !Safe_ports
# Deny CONNECT to other than SSL ports
http_access deny CONNECT !SSL_ports

cache_peer 192.168.1.8 parent 8080 7 no-query default

acl ip_acl src 192.168.6.0/24
acl time_acl time M T W H F A S 9:00-19:00
http_access allow ip_acl time_acl

cache_peer_access 192.168.1.8 allow 163
cache_peer_access 192.168.1.8 deny !163
cache_peer_access 192.168.1.8 allow sina
cache_peer_access 192.168.1.8 deny !sina

cache_effective_user squid
cache_effective_group squid
cache_mgr root@net03.org
coredump_dir /var/spool/squid

#acl pl800_arp arp 00:08:c7:9f:34:41
#http_access allow pl800_arp

二、调试反向代理服务器

安装结束后就是调试服务器，使其按照您的要求工作。Squid的配置文件只有一个，在etc目录里，名字是squid.conf，所有的配置选项都在这个文件里面。而且每个配置项目都有注释说明。我们只介绍与反向代理有关的几个项目。

首先，在squid文件里面找到下列配置项：

cache_mem

这里可以添上您准备给squid作为高速缓存使用的内存大小。注意，如果您的机器有N兆内存，那么，推荐您在这里添的数字是N/3。

cache_dir /usr/local/squid/cache 100 16 256

这里的第一个数字100是您准备给squid作为cache使用的硬盘空间大小，单位是兆。如果您想划100M空间当作cache,那么这里就写100。

acl, http_access, icp_access

填写"allowedip"和"allowedip1"ACL访问控制列表。这里应该填写你对外公开的服务器的IP,比如此例的两个WEB服务器对应的外部地址为202.99.157.10 和 202.99.157.18，

acl manager proto cache_object

acl localhost src 127.0.0.1/255.255.255.255

acl all src 0.0.0.0/0.0.0.0

acl allowedip src 202.99.157.10/255.255.255.255

acl allowedip1 src 202.99.157.18/255.255.255.255

http_access deny manager all

http_access allow allowedip

http_access allow allowedip1

http_access deny all

icp_access allow allowedip

icp_access allow allowedip1

icp_access deny all

cache_mgr webmaster@test.com.cn

这里填写cache管理员的Email地址，系统出错会自动提醒cache管理员。

******以上部分均为squid的通用设置以下为关于反向代理部分的设置******

httpd_accel_host test.com.cn

httpd_accel_host test1.com.cn

此处设置反向代理的主机名

httpd_accel_port 80

此处设置反向代理的WEB服务端口号

#httpd_accel_with_proxy off

此处设置开反向代理的同时，是否开普通代理服务

修改完配置文件，在正式运行squid代理服务器之前，先进行初始化。命令如下：

% /usr/local/squid/bin/squid -z

% /usr/local/squid/bin/squid

检查cache.log文件确保所有部分运行正常。如果有出错信息或系统不能正常启动，一般情况是由于目录和文件的存取权限导致的，请仔细检查各目录和文件的权限设置。其中特别需要注意的是初始化之前应该将squid目录设置成可写，然后将创建的cache目录和logs目录设置成可写。如果一切正常，那么就可以投入使用了。系统默认的服务端口是3128。

反向代理服务器软件安装完毕后，将该服务器在80端口的http服务设置成不启用。

三、调整DNS服务器设置

假设DNS服务器（以下称标准DNS服务器）将test.com.cn解析为202.99.157.10，将test1.com.cn解析为 202.99.157.18，那么我们在配置反向代理服务器这台机器的DNS服务时（我们以下称为内部DNS服务器），可以针对内部地址的WEB做如下变换：

主机名 标准DNS解析为 内部

DNS解析为

http://www.test.com.cn/ 202.99.157.10 192.168.1.10

http://www.test1.com.cn/ 202.99.157.18 192.168.1.18

然后把202.99.157.10和202.99.157.18这两个IP绑定到反向代理服务器上，这样，外界对 http://www.test.com.cn/和http://www.test1.com.cn/ 的访问就会由标准DNS解析到反向代理服务器上，默认WEB服务器的服务端口是80，但是由于反向代理服务器的80端口的http服务已经终止，此时的访问会没有结果。为了能使该访问请求能够成功完成，需要在反向代理服务器和真实的http://www.test.com.cn/ 和http://www.test1.com.cn/ 的WEB服务器之间建立联系。要和有内部地址的真实WEB服务器建立联系，首先反向代理服务器上需要再绑定一个内部IP，比如192.168.1.2，其余部分由transproxy这个透明代理软件来完成。Transproxy服务软件通过设置，启用端口81和squid建立联系，把内部DNS对 http://www.test.com.cn/和http://www.test1.com.cn/的解析地址传给squid服务器，然后通过 squid.conf里面关于服务器端口的设置，将服务端口设置为80,这样，squid就访问内部真实WEB服务器192.168.1.10和 192.168.1.18的80端口，把需要访问的WEB内容取回来，放在squid的cache里供外界访问。透明代理软件transproxy设置完成后，需要通过设置ipchains规则，将外界发往反向代理服务器的80端口的http请求转发到transproxy 的81端口，这样就建立了外界通过反向代理间接和真实WEB服务器之间的联系。

四、安装透明代理软件

http://transproxy.sourceforge.net/ 透明代理软件 帮助文档

透明代理服务器安装分如下几步：下载、解压、编译、安装、配置几步。首先需要到http://www.transproxy.nlc.net.au /transproxy-1.3.tgz 或者http://sourceforge.net/project/showfiles.php?group_id=18383下载 transproxy软件包，也放在/usr/local/src目录里，然后用gzip解压该软件包。具体命令是：

gzip -dc transproxy-1.3.tgz |tar -xvf -

解压后在/usr/local/src目录下面生成tproxy目录，里面是transproxy的源程序。(可能解压后没有configure,直接 make编译即可)进入该目录，用make命令编译该软件，用make install命令安装transproxy。Transproxy的编译和安装都很简单，下面就需要配置transproxy。根据系统负荷的轻重不同，transproxy可以配置为两种运行方式：负荷轻时，用inetd方式，负荷重时，用standalone server方式。具体配置方法如下：

1. inetd方式：

在/etc/services文件中添加下面一行：

tproxy 81/tcp #transproxy

在/etc/inetd.conf文件中添加下面一行：

tproxy stream tcp nowait nobody /usr/sbin/tcpd tproxy 202.99.157.10 3128

或

tproxy stream tcp nowait nobody /usr/sbin/tcpd tproxy 202.99.157.18 3128

2. standalone server方式：

在/etc/rc.d/rc.local文件中加入下面一行：

/usr/local/sbin/tproxy -s 81 -r nobody 202.99.157.10 3128

或

/usr/local/sbin/tproxy -s 81 -r nobody 202.99.157.18 3128

设置完毕后重新启动反向代理服务器，所有新设置的功能即可实现。

五、设置转发规则

ipchains -A input -p tcp -d 202.99.157.10/255.255.255.255 80 -j REDIRECT 81

ipchains -A input -p tcp -d 202.99.157.18/255.255.255.255 80 -j REDIRECT 81

这里将送往202.99.157.10和202.99.157.18的80端口的所有http请求转发给由transproxy管理的端口81。

到此为止，透明反向代理配置完成了。

让我们模拟一下一位因特网用户访问http://www.test.com.cn/这台拥有内部IP（192.168.1.10）的WEB服务器的过程。首先，该用户的请求由标准DNS服务器解析为202.99.157.10，则用户的机器向202.99.157.10的80端口发出请求，要求浏览 http://www.test.com.cn/这台WEB服务器的页面，而202.99.157.10这台机器正是我们的反向代理服务器，按照反向代理服务器的ipchains规则发往该服务器80端口的请求被转发到81端口，而81端口由transproxy 控制，transproxy把请求发给squid，让squid去取http://www.test.com.cn/这个页面。而反向代理服务器上的内部 DNS服务器把http://www.test.com.cn/解析为192.168.1.10，默认的反向代理端口是80，这样，squid就到 192.168.1.10的端口80上请求WEB服务。而192.168.1.10正是我们的http://www.test.com.cn/的真实 WEB服务器，它的80端口开放着http服务。这样，squid从192.168.1.10服务器上取回页面传回给202.99.157.10 然后再传回给因特网上的对http://www.test.com.cn/有访问请求的用户，并把该页面放在squid的cache中。这样就完成了一次因特网用户到拥有内部IP的WEB服务器的访问过程。以后再有因特网用户再访问http://www.test.com.cn/这个页面时，squid就直接从cache里提取缓存的页面，这样可以提高WEB服务器的访问效率。

因特网用户对http://www.test1.com.cn/的访问也和对http://www.test.com.cn/的访问一样，原理是相同的，只不过访问的真实服务器不同而已。

从上面的访问例子我们可以看出，因特网上的用户在访问http://www.test.com.cn/这个WEB 服务器时，根本不和真正提供http://www.test.com.cn/页面的服务器打交道，只和反向代理服务器打交道，这样，在破坏互联网主机的黑客行为日益猖獗的情况下，只要正确设置反向代理服务器，确保反向代理服务器不被攻破，就会很大程度上杜绝因特网上的黑客对内部服务器的攻击。万一代理服务器被攻破，也不会对您的WEB服务器造成什么损害，您只要恢复反向代理服务器就行了。因此，本方法对您的WEB服务器起到一定程度的保护作用。而且在 WEB浏览量较多的情况下，由于squid的反向代理有加速功能，可以加快页面的浏览速度。

六、其他

反向代理应用过程中，要注意访问控制功能，应该只允许访问你开放的内部服务器，而不允许访问其他服务器，否则，你的反向代理服务器就会成为互联网上一台公开的不用验证的代理服务器，那就危险啦。另外，如果您有多台WEB服务器，可以选一台性能较好的作为反向代理服务器，内部的若干WEB服务器可以用PC或低档服务器代替，因为外部的访问压力主要集中在反向代理服务器上。