Squid 可與防火牆配合使用，以便使用代理快取記憶體來保護內部網路不受外部的存取。防火牆將會拒絕所有的用戶端存取 Squid 以外的外部服務。所有的網路連線都必須由代理來建立。藉由這種組態方式，Squid 可完全控制網頁存取。

如果防火牆組態包含 DMZ，則代理應在此區域中操作。第 31.5 節「設定操作順暢的代理」 將描述如何執行「透明」代理。這簡化了用戶端的組態，因為在此情況下，它們不需要有關代理的任何資訊。

經過設定之後，可在多個 Squid 例項之間交換物件。這樣可以減少系統的總負載，並可增加在本地網路中找到現有物件的機會。您也可以設定快取階層，使快取可以將物件要求轉送至同層級的快取或上層快取──這將使其從區域網路的另一個快取或直接從來源取得物件。

為快取記憶體階層選擇適當的拓樸是非常重要的，因為這樣它就不會增加網路的整體流量。就大型的網路而言，理想的做法是︰為每個子網路設定代理伺服器，並將它們與上層代理連接，再連線至 ISP 的代理快取。

這些通訊都是由在 UDP 通訊協定最上層執行的 ICP (網際網路快取通訊協定) 所處理。在快取之間的資料傳輸是使用以 TCP 為基礎的 HTTP (超文字傳輸通訊協定，Hypertext Transmission Protocol) 來處理。

為了能找到最適合的伺服器來取得物件，某個快取記憶體會將 ICP 要求傳送到所有同層級的代理。如果有偵測到物件，這些代理就會透過具有 HIT 代碼的 ICP 回應來回覆這些要求；如果沒有偵測到物件，則會透過具有 MISS 代碼的 ICP 回應來回覆這些要求。如果找到多個 HIT 回應，代理伺服器會根據某些因素 (例如哪個快取記憶體傳送回覆的速度最快，哪個伺服器距離最近) 來決定要從哪部伺服器下載。如果沒有收到符合的回應，則會將要求傳送到上層快取。

提示

為了避免網路上不同的快取記憶體中出現物件重複，系統會使用其他 ICP 通訊協定。例如 CARP (快取陣列路由通訊協定) 或 HTCP (超文字快取通訊協定)。在網路中維護愈多的物件，則找到所需物件的機率也就愈大。

網路中所有可用的物件並不全是靜態。其中有許多動態產生的 CGI 頁面、訪客計數器以及加密的 SSL 內容文件。諸如此類的物件是不會被快取的，因為每次存取它們時，它們都會改變。

還有一個問題就是，所有儲存在快取記憶體中的其他物件，應該在那里保留多長時間。為了決定停留時間，系統會指派各種可能的狀態給快取記憶體中的所有物件。網頁以及代理伺服器會藉由新增標頭至這些物件來找出物件的狀態，例如「上一次修改」或「到期」以及對應的日期。也會使用不應該快取指定該物件的其他標題。

快取中的物件通常由於缺少可用的硬碟空間，會使用 LRU (最近使用) 等演算法進行取代。這表示代理會清空那些最久沒有被要求的物件。

速度在快取處理過程中扮演很重要的角色，因此應該特別注意這個因素。對硬碟而言，此參數可稱為「隨機搜尋時間」，以毫秒為單位。因為 Squid 所讀取或寫入硬碟的資料區塊通常都相當的小，所以硬碟的搜尋時間比其資料輸送量還要重要。如果要使用代理，最好選擇具有高旋轉速的硬碟，因為這種硬碟可以較快的速度將讀寫頭放置在所需的位置。有一個方法可能可以增加系統的速度，就是同時使用多個磁碟或是運用分段 RAID 陣列。

在小的快取記憶體中，HIT (發現要求的物件已在該處) 的機率比較小，因為快取記憶體很容易就會填滿，且新的物件會取代不太被要求的物件。例如，如果快取有 1 GB 可用，而且使用者一天只瀏覽 10 MB，則需要一百天以上才能將快取填滿。

決定所需快取記憶體大小的最簡易方法為，考量連線的最大傳輸速率。連線速率為 1 Mbit/s 時，其最大的傳輸速率為 125 125 KB/s。如果所有這些流量最後都保留在快取記憶體中，則 1 個小時內就會增至 450 MB，假設所有的流量都只在 8 個工作小時中產生，則一天就可達到 3.6 GB。由於連線一般都不會用到其容量上限，因此可以假設快取記憶體所處理的總資料容量大約為 2 GB。這就是為什麼範例中 Squid 需要 2 GB 的磁碟空間，以快取一天中已瀏覽的資料量。

Squid 所需的記憶體容量 (RAM) 與快取記憶體中的物件數目直接相關。Squid 也會將快取記憶體物件的參照以及常要求的物件儲存在主記憶體中以加速此資料的擷取速度。隨機存取記憶體比硬碟的速度快很多。

除此之外，Squid 需要在記憶體中保留其他的資料，例如所有已處理 IP 位址的表格、精確的網域名稱快取、最常要求的物件、存取控制清單、緩衝區等等。

為 Squid 處理程序保留足夠的記憶體是非常重要的，因為若使用磁碟進行交換，系統效能就會大幅地降低。cachemgr.cgi 工具可用於快取記憶體管理。此工具會在第 31.6 節「cachemgr.cgi」 中加以介紹。

Squid 不是一個需要密集使用 CPU 的程式。只有在載入或檢查快取記憶體的內容時，才會增加處理器的負載。使用多處理器的機器並不能提升系統的效能。若要提升效率，最好買更快的磁碟或新增更多的記憶體。

若要啟動 Squid，請以 root 身分在指令行中輸入 systemctl start squid.service。第一次啟動時，必須先在 /var/cache/squid 中定義快取記憶體的目錄結構。此操作由啟動程序檔自動完成，可能需要花費數秒鐘，甚至幾分鐘。如果 done 以綠色出現在右邊，則表示已成功載入 Squid。若要在本地系統上測試 Squid 的功能，請在瀏覽器中輸入 localhost 做為代理，並輸入 3128 做為埠。

若要允許本地系統和其他系統的使用者存取 Squid 和網際網路，請將 /etc/squid/squid.conf 組態檔中的 http_access deny all 項目變更為 http_access allow all。然而，當您這麼做時，請考量到此動作將使 Squid 可供任何人完全存取。因此，請定義控制代理存取權限的 ACL。如需關於此的詳細資訊，請參閱 第 31.4.2 節「存取控制的選項」。

在修改 /etc/squid/squid.conf 組態檔後，Squid 必須重新載入組態檔。請使用 systemctl reload squid.service 完成此動作。或者也可以使用 systemctl restart squid.service 完全重新啟動 Squid。

systemctl status squid.service 指令可用來檢查代理是否正在執行。systemctl stop squid.service 指令可關閉 Squid。這可能需要花一段時間，因為 Squid 會在中斷與用戶端的連線並將其資料寫入磁碟前，先等待半分鐘 (在 /etc/squid/squid.conf 中的 shutdown_lifetime 選項)。

警告：終止 Squid

使用 kill 或 killall 終止 Squid 可能會損毀快取記憶體。若要想重新啟動 Squid，必須刪除損毀的快取。

如果 Squid 在成功啟動後，仍然於一小段時間後即停止運作，請檢查是否有錯誤的名稱伺服器項目，或者是否缺少 /etc/resolv.conf 檔案。Squid 會在 /var/log/squid/cache.log 檔案中記錄啟動失敗的原因。如果要在系統開機時自動載入 Squid，請使用 systemctl enable squid.service 啟用相應的服務。

解除安裝 Squid 時不會移除快取記憶體階層或記錄檔。若要移除這些階層，請手動刪除 /var/cache/squid 目錄。

即使本地 DNS 伺服器不管理自己的網域，也可以設定本地 DNS 伺服器。它可以做為僅供快取的名稱伺服器，也可以透過根 名稱伺服器來解析 DNS 要求，而不需任何特殊的組態 (請參閱第 22.4 節「啟動 BIND 名稱伺服器」)。如何達成此目的，端視您在設定網際網路連線的組態時，是否選擇動態的 DNS 而定。

提示：DNS 與防火牆

如果您有執行防火牆，請確定 DNS 要求可以通過防火牆。

Squid 會提供一個詳細系統來控制代理存取。透過執行 ACL，可以輕鬆並完整地設定該系統。這牽涉到列出依序處理之規則的清單。在使用 ACL 前必須先進行定義。某些預設的 ACL，例如 all 與 localhost 已經存在。然而，僅定義 ACL 並不代表實際上會套用。這只會發生在連接 http_access 規則使用時。

若要通知 squid 它將會做為透明代理，請在主要組態檔案 /etc/squid/squid.conf 中的 http_port 標記處使用 transparent 選項。重新啟動 squid 後，另一個唯一要執行的任務就是重新設定防火牆，以將 HTTP 連接埠重新導向至 http_port 中指定的連接埠。在下面的 squid 組態行中，該指定的埠為埠 3128。

http_port 3128 transparent

現在，請使用連接埠轉遞規則，透過防火牆將所有的內送要求重新導向至 Squid 埠。若要這麼做，請使用Section “Configuring the Firewall with YaST”, Chapter 15, Masquerading and Firewalls, Security Guide中說明的隨附工具 SuSEfirewall2。其組態檔位於 /etc/sysconfig/SuSEfirewall2。組態檔由詳細記錄的項目所組成。若要設定操作順暢的代理，您必須設定數個防火牆選項：

在防火牆上，定義供不受信任的 (外部) 網路 (如網際網路) 存取的連接埠與服務 (請參閱 /etc/services)。在此範例中，僅提供對外的 Web 服務：

FW_SERVICES_EXT_TCP="www"

在從安全 (內部) 網路存取的防火牆上，定義埠或服務 (請參閱 /etc/services)，兩者都是透過 TCP 與 UDP 服務：

FW_SERVICES_INT_TCP="domain www 3128"
FW_SERVICES_INT_UDP="domain"

如此可允許存取 Web 服務與 Squid (預設埠為 3128)。「domain」 服務代表 DNS (網域名稱服務)。這個服務使用非常普遍。否則，請直接將它從上述項目移除，並將下列選項設為 no：

FW_SERVICE_DNS="yes"

最重要的選項是選項數字 15：

# 15.)
# Which accesses to services should be redirected to a local port on
# the firewall machine?
#
# This option can be used to force all internal users to surf via
# your squid proxy, or transparently redirect incoming webtraffic to
# a secure webserver.
#
# Format: 
# list of <source network>[,<destination network>,<protocol>[,dport[:lport]]
# Where protocol is either tcp or udp. dport is the original
# destination port and lport the port on the local machine to
# redirect the traffic to
#
# An exclamation mark in front of source or destination network
# means everything EXCEPT the specified network
#
# Example: "10.0.0.0/8,0/0,tcp,80,3128 0/0,172.20.1.1,tcp,80,8080"

上方的註解顯示要遵照的語法。首先，輸入存取代理防火牆之內部網路的 IP 位址與網路遮罩。其次，輸入這些用戶端的要求傳送到的 IP 位址與網路遮罩。如果是網頁瀏覽器，請將網路指定為 0/0，萬用字元表示「可到任何位置」。完成後，輸入這些要求傳送到的原始目的埠，最後，輸入重新導向所有這些要求的目的埠。由於 Squid 支援 HTTP 以外的通訊協定，請將要求從其他連接埠重新導向到代理，例如 FTP (埠 21)、HTTPS、或 SSL (埠 443)。在此範例中，Web 服務 (埠 80) 會重新導向至代理埠 (埠 3128)。如果需要新增更多的網路或服務，必須在各個項目中以空格隔開。

FW_REDIRECT="192.168.0.0/16,0/0,tcp,80,3128"

若要啟動防火牆並使用它所包含的新組態，請在 /etc/sysconfig/SuSEfirewall2 檔案中變更項目。START_FW 項目必須設為 "yes"。

啟動 Squid，如第 31.3 節「啟動 Squid」 所示。若要確認一切正常，請查看 /var/log/squid/access.log 中的 Squid 記錄檔案。Squid 若要確認是否已正確設定所有的埠，請從網路之外的任何電腦執行機器上的埠掃描。只應開啟 Web 服務 (埠 80)。若要以 nmap 掃描連接埠，指令語法為 nmap -O IP_address。

首先，需要在系統上執行網頁伺服器。依第 29 章「Apache HTTP 伺服器」 中所述方式設定 Apache。若要檢查 Apache 是否已在執行，請以 root 身分輸入指令 systemctl status apache2.service。否則，請輸入 systemctl start apache2.service，以使用 SUSE Linux Enterprise Server 的預設設定啟動 Apache。設定 Apache 的最後一個步驟是將 cachemgr.cgi 檔案複製到 Apache 的 cgi-bin 目錄。對於 32 位元，方式如下：

cp /usr/lib/squid/cachemgr.cgi /srv/www/cgi-bin/

在 64 位元環境中，檔案 cachemgr.cgi 位於 /usr/lib64/squid/ 之下，若要將其複製到 Apache 目錄，請使用如下指令：

cp /usr/lib64/squid/cachemgr.cgi /srv/www/cgi-bin/

快取管理員需要原始檔案中某些預設的設定值。首先，定義兩個 ACL，然後 http_access 選項會使用這些 ACL 來授予 CGI 程序檔對 Squid 的存取權限。第一個 ACL 最重要，因為快取管理員會嘗試透過 cache_object 通訊協定與 Squid 通訊。

acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255

下列規則會將 Squid 的存取權限授與 Apache：

http_access allow manager localhost
http_access deny manager

這些規則是假設網頁伺服器與 Squid 在相同的機器上執行。如果快取管理員與 Squid 之間的通訊是源自於另一部電腦上的網頁伺服器，請依 範例 31.2 「存取規則」 所述包含一個額外的 ACL。

acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl webserver src 192.168.1.7/255.255.255.255 # webserver IP

然後新增 範例 31.3 「存取規則」 中的規則，以允許從網頁伺服器存取。

http_access allow manager localhost
http_access allow manager webserver
http_access deny manager

設定管理員的密碼以存取更多的選項，如遠端關閉快取記憶體或是檢視快取記憶體的詳細資訊。為此，請以管理員的密碼以及要檢視的選項清單設定 cachemgr_passwd 項目。這個清單會顯示成 /etc/squid/squid.conf 中項目備註的一部份。

每次變更組態檔時，請重新啟動 Squid。使用 systemctl reload squid.service 可輕鬆完成此動作。

瀏覽對應的網站—http://webserver.example.org/cgi-bin/cachemgr.cgi。按繼續，然後瀏覽不同的統計資料。