文章参考别人的o(∩_∩)o…
客户端用密钥方式登陆到 FreeBSD SSH服务器
一、密匙认证原理简介
密匙认证需要依靠密匙，首先创建一对密匙（包括公匙和私匙,用公匙加密的数据只能用私匙解密），把公匙放到需要远程服务器上，私钥放在客户端。这样当登录远程服务器时，客户端软件就会向服务器发出认证请求；服务器收到请求之后，先在服务器的宿主目录下寻找你的公匙，然后检查该公匙是否是合法，如果合法就用公匙加密一随机数生成所谓 read more »
因为配置很简单，算是原创吧。o(∩_∩)o…
freebsd# whereis socks5
socks5: /usr/local/bin/socks5 /usr/local/man/man1/socks5.1.gz /usr/ports/net/socks5
freebsd# cd /usr/ports/net/socks5
然后make install
完成后/etc/rc.conf 增加一条：socks5_enable=”yes”
配置文件：/usr/local/etc/socks5.conf
#指定SOCKS v5绑定的ip地址和监听的端口。如果不指定绑定的IP将使用0.0.0.0
set SOCKS5_BINDINFC 0.0.0.0:1080
#忽略ident请求。当客户机没有运行identd时，使用SOCKS5_NOIDENT将降低超时值
set SOCKS5_NOIDENT
#指定连接停顿最长时间。超过最大值后， read more »
文章是参考别人的，本人是在原先lighttpd+fastcgi(php)+mysql环境下直接安装nginx，然后修改相关配置文件/usr/local/etc/nginx/nginx.conf
location / {
root /usr/local/www/nginx;
index index.php index.html index.htm;
}
location ~ \.php$ {
fastcgi_pass 127.0.0.1:9000;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME /usr/local/www/nginx$fastcgi_script.name;#PHP文件所在目录
include fastcgi_params;
}
本来是很简单的一个过程，启动的时候出现了问题，unknown “fastcgi_script” variable
然后只能把
fastcgi_param SCRIPT_FILENAME /usr/local/www/nginx$fastcgi_script.name;
修改成
fastcgi_param SCRIPT_FILENAME /usr/local/www/nginx;
启动时候是不报错了，但是访问PHP文件出错nginx No input file specified
结果在网上找了一堆资料搞了半天，很多提到php.ini里面的相关设置。 read more »
|
|
|---|
|
文章是参考别人的，经本人测试：freebsd7.0+lighttpd+php5+mysql5+snort2.7，安装过程大同小异，Snort我也是采用ports安装的，访问acid点击Create Acid AG 创建相关数据表的时候遇到了问题，只能根据相应php文件的代码手工在mysql中创建相关的字段，另外规则文件需要去官方网站注册后下载，如果不注册只能下载低版本的。花了一个晚上时间终于搞定，大家元宵节快乐！o(∩_∩)o…
|
|
1．Snort简介 Snort 是一个强大的轻量级的网络入侵检测系统。它具有实时数据流量分析 read more » Pureftpd配置应用Posted in FreeBSD, 搬家之前 on 1月 29th, 2009 by 飘(piao2010) – Be the first to commentPureftpd基础：安装、配置、实现匿名登录 一、安装 我是以FreeBSD为平台的，其它Unix/Linux平台请参考相关shell命令。在shell提示符下输入： # cd /usr/ports/ftp/pure-ftpd # make install clean # rehash
FreeBSD会以ports方式安装pureftpd。其它平台的安装方法参看相关文章。 二、启动
将pureftpd配置文件的样例文件复制为配置文件： # /usr/local/sbin/pure-config.pl /usr/local/etc/pure-ftpd.conf
用配置文件启动 PureFTPd ： # cp /usr/local/etc/pure-ftpd.conf.sample /usr/local/etc/pure-ftpd.conf
注意：如果是其它平台，或者采用编译方式安装，路径可能与上面的不同。 三、匿名登录 经过上面的步骤，pureftpd已经启动。用 flashfxp 连接，只能系统用户连接(用“/etc/passwd”文本文件中的用户认证)。 这是因为默认的配置文件中是允许匿名用户和系统用户(根帐号 root 除外)都可以访问的。但这时匿名用户还无法访问，出现“421 无法建立安全匿名 FTP”错误。还需要几个步骤才能实现匿名登录。 pureftpd 的官方文件(http://download.pureftpd.org/pub/pure-ftpd/doc/README)说： ———————— SETTING UP AN ANONYMOUS FTP ———————— If a ‘ftp’ user exists and its home directory is reachable, Pure-FTPd will accept anonymous login, as ‘ftp’ or ‘anonymous’. Files have to be located in the home FTP directory. There’s no need for ‘bin’, ‘lib’, ‘etc’ and ‘dev’ directories, nor any external program. Don’t chown the public files to ’ftp’, just writable directories (’incoming’) .
就是说需要存在一个名称必须为“ftp”的系统用户，并且它的主目录可用。就可以实现匿名用户登录了。
心得：很多人在问为什么不能匿名登录，原因就在于没有“ftp”系统帐号，以及没有创建主目录()这里。 1、为匿名用户添加系统帐号和组。 增加一个“ftp”组：
# pw groupadd ftp 如果组存在，直接添加用户即可。 添加“ftp”系统用户：
# pw useradd ftp -g 14 -d /var/ftp -s /sbin/nologin 其中的 “/var/ftp”就是匿名用户的主目录，你可以指定为其它目录，比如“/home/ftp”等。 14是“ftp”组的组id 。其它的，比如 www 系统用户的 uid/gid 是：“80/80”，等等(见 /etc/passwd )。 如果发现帐号是存在的，那么请检查帐号的主目录是否存在，如果不存在，也会提示上述错误。 2、建立匿名用户的主目录。 # mkdir /var/ftp # mkdir /var/ftp/readme
其中“mkdir /var/ftp/readme”是给个参照，因为“/var/ftp”是空的。 3、测试。 马上用 flashfxp 匿名登录，见到 readme 文件夹了，成功，激动!但是上传、下载、建目录什么的都不允许，要实现这些功能需要进一步修改配置文件，这个在我后续文章中有详细讲解。
用shell用户或虚拟用户登录pureftpd 一、系统真实(shell)用户登录 默认配置文件允许匿名用户登录，同时允许系统真实用户登录。经过上面的步骤后(详情见我的前一篇文章《pureftpd基础：安装、配置、实现匿名登录》)，这时我们用系统用户登录，是可以登录，并且可以上传、下载、建目录和删除等。 如果要让 FTP 只支持系统真实用户登录，你只要稍微修改一下 pureftpd 的配置文件就可以了。 # ee /usr/local/etc/pure-ftpd.conf ChrootEveryone yes NoAnonymous yes UnixAuthentication yes //用“/etc/passwd”中的用户认证 只需以上三行就可以实现只允许系统真实用户登录 FTP 。系统真实用户会登陆到自己的系统主目录中，可下载，可上传，可删除，没有任何限制。但是由于有 chroot 的限制，所以无法去真实系统的其它目录而已。在实际应用中，这种用法并不多见，我也就不费篇幅介绍了。 二、puredb虚拟用户支持 1、建立 FTP 专用的系统用户。 自从 0.99.2 版本开始，pure-ftpd 就开始支持虚拟用户。 虚拟用户方式是一个简单的用户列表机制，类似于“/etc/passwd”，它将用户的相关信息，如口令、姓名、 uid、gid、主目录等，存入一个文本文件。但是该文本文件文件只适用于 FTP 。这意味着，你可以很容易地设置 FTP 虚拟帐号，而不需要在系统中添加系统用户，以免和系统用户混淆在一起。 同时，可以为这些虚拟用户单独设置配额、ratio、带宽等限制，这些功能是系统用户认证无法实现的。很多虚拟用户可以共享同一个系统用户的属性，因此建议为这些虚拟用户单独创建一个系统用户，从而方便管理。 你可以使用系统已经存在的帐号，比如“nobody”用户，作为虚拟用户的系统帐号。但最好使用一个单独的帐号,专门对应 FTP 。我们选择新建系统用户(经测试，在 linux 系统中如果用 linux 系统自带的 ftp 用户，在用虚拟用户登陆时会出现不被信任的提示。大家也可以做做实验，看是不是这样)。建立方法如下： 对于 Linux/OpenBSD/NetBSD/Solaris/HPUX/ 或其它的类 Unix 系统，使用下面的命令： groupadd ftpgroup useradd -g ftpgroup -d /home/ftp -s /sbin/nologin ftpuser 对于 FreeBSD ，用下面的命令： # pw groupadd ftpgroup # pw useradd ftpuser -g ftpgroup -d /home/ftp -s /sbin/nologin 系统帐号建立好后，我们就开始着手准备虚拟用户了。 2、建立虚拟用户。 使用 ”pure-pw”命令实现创建、修改和删除虚拟用户等操作。虚拟用户的信息以每个用户一行的方式存放在相应的文本文件中。你也可以手工编辑这个文件。其存储格式如下： <account>:<password>:<uid>:<gid>:<gecos>:<home directory>:<upload bandwidth>:<download bandwidth>:<upload ratio>:<download ratio>:<max number of connections>:<files quota>:<size quota>:<authorized local IPs>:<refused local IPs>:<authorized client IPs>:<refused client IPs>:<time restrictions> 除了帐号、口令、uid、gid 和 home directory 之外，其它的可以是空值。 下面是 pure-pw 命令用法。 (1)创建新用户。 要创建一个新用户，用下列的语法。 pure-pw useradd <login> [-f <passwd file>] -u <uid> [-g <gid>] -D/-d <home directory> [-c <gecos>] [-t <download bandwidth>] [-T <upload bandwidth>] [-n <max number of files>] [-N <max Mbytes>] [-q <upload ratio>] [-Q <download ratio>] [-r <allow client host>[/<mask>][,<allow client host>[/<mask>]]…] [-R <deny client host>[/<mask>][,<deny client host>[/<mask>]]…] [-i <allow local host>[/<mask>][,<allow client host>[/<mask>]]…] [-I <deny local host>[/<mask>][,<deny local host>[/<mask>]]…] [-y <max number of concurrent sessions>] [-z <hhmm>-<hhmm>] [-m]
假设我们要创建“tim”这样一个虚拟用户，则可以使用如下命令： # pure-pw useradd tim -u ftpuser -d /home/ftp/tim 其中： -u 将虚拟用户 tim 同系统用户 ftpuser 关联在一起。 -d 参数使 tim 只能访问其 home 目录。而如果想让他访问整个文件系统，可以用 -D 选项。 执行完上述命令后，会提示输入密码，两次输入 tim 用户的密码即可。用户的口令会根据系统对加密方式的支持情况，选择一个最安全的方式进行加密。 然后需要建立“/home/ftp/tim”目录，并修改它的属性。 # mkdir /home/ftp # mkdir /home/ftp/tim 注意：在配置文件中有选项自动建立主目录。 CreateHomeDir yes //设置为 yes 创建新虚拟用户时 pureftpd 自动创建用户的主目录。 但是有一点需要大家注意，就是它只支持二层目录的建立而不支持三层以上目录的建立。举个例子，如果我们创建虚拟用户是用如下语句： # pure-pw useradd test -u ftpuser -d /home/ftp
而这时系统只有“/home”目录而没有“/home/ftp”目录，那么在 test 用户第一次登陆时 pureftpd 会创“/home/ftp”目录。 如果我们改变以上命令如下： # pure-pw useradd test -u ftp -d /home/ftp/test 而这时系统只有“/home”目录或“/home/ftp”目录，而没有“/home/ftp/test”目录，那么我们登陆时会得到没有主目录的提示。 其他参数含义： -z 选项运用用户在一天当中指定的时间段连接服务器。如 -z 0900-1800 ，则该用户只能在上午 9 点到晚上 6 点之间连接服务器。 -r 选项或 -R 选项，可以限制用户从指定 IP 和掩码连入服务器。如，单一的 IP/掩码对(-r 192.168.1.0/24)。多个IP/掩码对用英文逗号隔开(-r 192.168.1.0/24,10.1.0.0/16,127.0.0.1/32)。仅 IP (-r 192.168.1.4,10.1.1.5)。主机名(-r bla.bla.net,yopcitron.com)。或者以上形式的任何组合。(-r，允许;-R拒绝) -y ，用户同一时间的并发连接数。或者 0 意味着不限制。也就是同一 IP 的连接数。 -f ，默认虚拟用户的信息会被存放在“./etc/pureftpd.passwd”文件中，通过该选项可以改变该文件的位置。 默认的存储用户信息的文件存放在“./etc/pureftpd.passwd”，我用 ports 方式安装的 pureftpd ，其存放位置在“/usr/local/etc/pureftpd.passwd”。 我们看下这个文本文件的内容。 # cat /usr/local/etc/pureftpd.passwd tim:$1$LX/3.F60$bYdYwsQOYIaWq.Ko.hfI3.:500:101::/home/ftp/tim/./::::::::::::: 密码是系统自己加密的。 (2)更改用户。 与 pure-pw adduser 不同的是，使用 pure-pw usermod 不是创建一个用户，而是更改已存在用户的某些属性。 例如，我们给 joe 用户添加一个限额，限制 joe 用户最多拥有1000个文件，最大10 Megabytes 空间。命令如下： # pure-pw usermod joe -n 1000 -N 10 重置某些属性的语法如下： pure-pw usermod -n ” ：禁用文件配额 pure-pw usermod -N ” ：禁用文件大小配额 pure-pw usermod -q ” -Q ” ：禁用 ratio pure-pw usermod -t ” ：禁用下载带宽限制 pure-pw usermod -T ” ：禁用上传带宽限制 pure-pw usermod <-i,-I,-r or -R> ” ：禁用 IP 过滤 pure-pw usermod -z ” ：禁用时间段约束 pure-pw usermod -y ” ：禁用并发数限制 (3)删除用户。 删除一个用户的命令语法是： # pure-pw userdel <login> [-f <passwd file>] [-m] 这时，用户的信息会被从指定的 passwd 文件中删除，但是用户的 home 目录会被保留，需要手工删除。 (4)修改口令。 更改一个用户口令的语法是： # pure-pw passwd <login> [-f <passwd file>] [-m] (5)显示用户信息。 “ ./etc/pureftpd.passwd” 文件中记录的信息不方便用户的阅读，因此 pure-ftpd 提供了显示用户信息的命令。其语法是： # pure-pw show <login> [-f <passwd file>] 例如： 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 OPENVPNPosted in FreeBSD, 搬家之前 on 1月 24th, 2009 by 飘(piao2010) – Be the first to commentOpenVPN使用TLS加密是通过使用公开密钥（非对称密钥，加密解密使用不同的key，一个称为Public key，另一个是Private key）对数据进行加密的，对于TLS传输的工作原理，大家可以去Google一下，资料一大堆。对于OpenVPN使用TLS mode，首先Server和Client要有相同CA签发的证书，双方通过交换证书验证双方的合法性以决定是否建立VPN连接，然后使用对方CA把自己目前使用的数据加密方法（类似于密钥）加密后发送给对方，由于使用对方CA加密的，所以只有对方CA对应的Private key才能解密该字串，保证了此密钥的安全性，并且此密钥定期改变，对于窃听者来说，可能还没有破解出密钥，通信双方已经更换密钥了。 首选到ports里面安装OpenVPN 代码: make install clean 安装完毕,开始进行配置 代码: 默认的vars文件在FreeBSD下是用不了的,不要运行它,直接在csh下面执行以下格式的语句. 代码: setenv KEY_CONFIG /usr/local/share/doc/openvpn/easy-rsa/openssl.cnf setenv KEY_DIR /usr/local/etc/openvpn/keys setenv KEY_SIZE 1024 setenv KEY_COUNTRY CN setenv KEY_PROVINCE ZJ setenv KEY_CITY HANZHOU setenv KEY_ORG “hacker-piao’s VPN” setenv KEY_EMAIL “hacker-piao@163.com”
建立openvpn的配置文件目录 代码:
现在来生成根证书 初始化keys目录生产根证书以及key 代码: ./build-ca
这时会有一堆东西跑出来 引用: …………++++++ ………..++++++ writing new private key to ‘ca.key’ —– You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter ‘.’, the field will be left blank. —– 跟着就提示你输入国家/省份/城市等信息,不用管它,都是默认,只有 Common Name (eg, your name or your server’s hostname) []: 这个要设置,可以设置成你的主机名或者你的组织名什么的,例如 YEKE-VPN
生成服务器使用的证书. 代码: 跟刚才的步骤一样,Common Name这个填写server, 代码: 1 out of 1 certificate requests certified, commit? [y/n] 上面这两项填写y,其他的全部默认.
生成客户端使用的证书 代码: ./build-key client2 ….
你可以为各个客户端生成各自的证书. 接着生成dh1024.pem 代码:
证书生成完毕,现在开始设置配置文件. 先复制配置文件到配置文件目录里面 代码: 代码:
编辑配置文件server.conf和openvpn.conf,这里只说明一下需要修改的地方,其他的不另解析. port 1194 这是openvpn监听的端口,如果你认为默认端口不安全,可以改成你想要的端口,跟客户端配置文件要一致
;proto tcp proto udp 使用什么方式的连接,默认是udp
;dev tap dev tun 这是网络设置选项,一般来说,官方推荐使用tun接口,如果你要使用桥接,则需要改成tap接口
ca /usr/local/etc/openvpn/keys/ca.crt cert /usr/local/etc/openvpn/keys/server.crt key /usr/local/etc/openvpn/keys/server.key 这三个是设置证书具体路径,填写绝对路径.
dh /usr/local/etc/openvpn/keys/dh1024.pem 同上
server 10.8.0.0 255.255.255.0 这个选项是设置VPN控制的子网,10.*.*.*属于内部网络的IP地址,像192.168.*.*那样,适合做VPN,一般来说,一个/24网段足够VPN使用的了,如果你用数百个人同时连接VPN的话你可能需要更多IP地址,可以改成 server 10.8.0.0 255.255.0.0
;client-to-client 这个选项是设置客户端之间可以相互通信的
duplicate-cn 这个是设置同一个客户证书可以同时多个连接
配置完毕,差最后一步就可以启动OpenVPN了.现在要编译一下它的启动脚本 代码: 找到下面选项 代码: 加入到/etc/rc.conf 代码:
服务端配置完毕,启动OpenVPN /usr/local/etc/rc.d/openvpn start 启动成功的话一般会看到 Starting openvpn. add net 10.8.0.0: gateway 10.8.0.2
有一个更复杂实例参见http://bbs.chinaunix.net/thread-830695-1-1.html 附:修改Windows的VPN默认端口的方法 通过修改注册表达到自定义端口的目的：首先在服务端注册表里面找到这个项[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Class\{4D36E972-E325-11CE-BFC1-08002bE10318}]，这个项里面设置的是和网络适配器有关的键值，这个项下面可以看到诸如0000、0001、0002等命名的分支，这些分支设置的是各个接口的信息，然后我们找到里面含有字符串DriverDesc并且数值是WAN 微型端口 (PPTP)的那个分支，这个分支可能是上述0000、0001、0002等命名分支中的一个，我们继续找到该分支下面的TcpPortNumber键，可以看到它默认的十进制值为1723，这个1723就是VPN服务所开的默认端口号，我们把它修改为其他任意端口号即可。 通过上面的设置，我们重启服务器后在服务端CMD下输入netstat -an会发现这时VPN服务器已经开始侦听我们修改以后的端口号了，说明服务端已经成功更换了默认的端口号1723。 接下来是客户端的设置。VPN服务修改端口号和终端服务修改3389端口号不同，后者只需服务端修改后客户端直接在目标IP后面加冒号加端口号就能连接。通过实验发现，VPN的客户端电脑同样需要做上述在服务端上面的注册表键值修改操作才能连接服务端，并且修改后客户端系统自带的防火墙还必须关闭才能成功连接（仅开放该端口还不行），否则就要提示错误691：不能建立到远程计算机的连接，因此用于此连接的端口已关闭。而使用默认的1723就不需要防火墙的端口开放。 总结：采用Windows Server自带的路由和远程访问（RRAS）构建的VPN服务器要修改默认端口号，必须服务器和客户端同时修改注册表中TcpPortNumber的键值；客户端除了修改注册表，还必须关闭系统自带的防火墙。 SQUIDPosted in FreeBSD, 搬家之前 on 1月 17th, 2009 by 飘(piao2010) – Be the first to comment
基本配置 在这个例子中，代理服务器同时也是网关，内部网络接口eth0的IP地址为192.168.0.1，外部网络接eth1的IP地址为202.103.x.x。下面是一个基本的代理所需要配置选项： http_port 192.168.0.1:3128默认端口是3128，当然也可以是任何其它端口，只要不与其它服务发生冲突即可。为了安全起见，在前面加上IP地址，Squid就不会监听外部的网络接口。 下面的配置选项是服务器管理者的电子邮件，当错误发生时，该地址会显示在错误页面上，便于用户联系： cache_mgr start@soocol.com以下这些参数告诉Squid缓存的文件系统、位置和缓存策略： cache_dir ufs /var/squid 如果不想Squid缓存任何文件，如某些存储空间有限的专有系统，可以使用 null文件系统（这样不需要那些缓存策略）： cache_dir null /tmp下面的几个关于缓存的策略配置中，较主要的是第一行，即用户的访问记录，可以通过分析它来了解所有用户访问的详尽地址： cache_access_log /var/squid/access.log visible_hostname No1.proxy以下配置告诉Squid如何处理用户，对每个请求的IP地址作为单独地址处理： client_netmask 255.255.255.255如果是普通代理服务器，以上的配置已经足够。但是很多Squid都被用来做透明代理。 所谓透明代理，就是客户端不知道有代理服务器的存在，当然也不需要进行任何与代理有关的设置，从而大大方便了系统管理员。相关的选项有以下几个： httpd_accel_host virtual iptables -t nat -A PREROUTING -s 192.168.0.200/32 -p tcp –dport 80 -j REDIRECT 3128 所有设置完成後，关键且重要的任务是访问控制。Squid支持的管理方式很多，使用起来也非常简单（这也是有人宁愿使用不做任何缓存的Squid，也 不愿意单独使用iptables的原因）。 Squid可以通过IP地址、主机名、MAC地址、用户/密码认证等识别用户，也可以通过域名、域後缀、文件类 型、IP地址、端口、URL匹配等控制用户的访问，还可以使用时间区间对用户进行管理，所以访问控制是Squid配置中的重点。 Squid用ACL （Access Control List，访问控制列表）对访问类型进行划分，用http_access deny 或allow进行控制。根据需求首先定义两组用户advance和normal，还有代表所有未指明的用户组all及不允许上网的baduser，配置代 码如下： acl advance 192.168.0.2-192.168.0.10/32 http_access deny baduser acl advance 192.168.0.2-192.168.0.20/32下面这个baduser列表只包含一台计算机，其IP地址是192.168.0.100： acl baduser 192.168.0.100/32 http_access deny baduser 特别要注意的是，Squid将使用allow-deny-allow-deny……这样的顺序套用规则。例如，当一个用户访问代理服务器时， Squid会顺序测试Squid中定义的所有规则列表，当所有规则都不匹配时，Squid会使用与最後一条相反的规则。 就像上面这个例子，假设有一个用户 的IP地址是192.168.0.201，他试图通过这台代理服务器访问Internet，会发生什么情况呢？我们会发现，他能够正常访问，因为 Squid找遍所有访问列表也没有和192.168.0.201有关的定义，便开始应用规则，而最後一条是deny，那么Squid默认的下一条处理规则 是allow，所以192.168.0.201反而能够访问Internet了，这显然不是我们希望的。所以在所有squid.conf中，最後一条规则 永远是http_access deny all，而all就是前面定义的“src 0.0.0.0”。 [编辑] 高级控制 通过IP地址来识别用户很不可靠，比IP地址更好的是网卡的MAC物理地址。要在Squid中使用MAC地址识别，必须在编译时加上“–enable-arp-acl”选项，然後可以通过以下的语句来识别用户： acl advance arp 00:01:02:1f:2c:3e 00:01:02:3c:1a:8b …它直接使用用户的MAC地址，而MAC地址一般是不易修改的，即使有普通用户将自己的IP地址改为高级用户也无法通过，所以这种方式比IP地址可靠得多。 假如不想让用户访问某个网站应该怎么做呢？可以分为两种情况：一种是不允许访问某个站点的某个主机，比如ok的主机是ok.sina.com.cn，而其它的新浪资源却是允许访问的，那么ACL可以这样写： acl sinapage dstdomain ok.sina.com.cn 另一种情况是整个网站都不许访问，那么只需要写出这个网站共有的域名即可，配置如下： acl qq dstdomain .tcccent.com.cn注意tcccent前面的“.”，正是它指出以此域名结尾的所有主机都不可访问，否则就只有tcccent.com.cn这一台主机不能访问。 如果想禁止对某个IP地址的访问，如202.118.2.182，可以用dst来控制，代码如下： acl badaddr dst 202.118.2.182当然，这个dst也可以是域名，由Squid查询DNS服务器将其转换为IP。 还有一种比较广泛的控制是文件类型。如果不希望普通用户通过代理服务器下载MP3、AVI等文件，完全可以对他们进行限制，代码如下： acl mmxfile urlpath_regex \.mp3$ \.avi$ \.exe$ acl mmxfile urlpath_regex -i \.mp3$这样，无论是.mp3还是.MP3都会被拒绝。当然，-i参数适用于任何可能需要区分大小写的地方，如前面的域名控制。 如果想让普通用户只在上班时间可以上网，而且是每周的工作日，用Squid应当如何处理呢？看看下面的ACL定义： acl worktime time MTWHF 8:30-12:00 14:00-18:00 或者为了保证高级用户的带宽，希望每个用户的并发连接不能太多，以免影响他人，也可以通过Squid控制，代码如下： acl conncount maxconn 3 总之，Squid的ACL配置非常灵活、强大，更多的控制方式可以参考squid.conf.default。 [编辑] 认证 首先在编译时配置选项应包括以下配置： –enable-auth=”basic” –enable-basic-auth-helpers=”NCSA” htpasswd -c /var/squid/etc/password guest在输入两遍guest用户的密码後，一个guest用户就生成了。如果以後需要添加用户，把上面的命令去掉-c参数再运行即可。 Squid 2.5在认证处理上有了较大的改变，这里就只讨论2.5版本的处理方法，2.4及以下版本请参考squid.conf.default。在2.5版的squid.conf中，包括以下几个相关选项： 该选项指出了认证方式（basic)、需要的程序（ncsa_auth）和对应的密码文件（password） auth_param basic program /usr/bin/ncsa_auth /var/squid/etc/password auth_param basic children 5 auth_param basic realm My Proxy Caching Domain auth_param basic credentialsttl 2 hours acl normal proxy_auth REQUIRED 如 前所述，Squid是顺序处理http_access的，所以在http_access处理过程中，如果先处理normal用户，那么当前用户无论是否属 于高级用户，都会被要求进行认证；相反如果先处理高级用户，剩下的就只有需要认证的普通用户了。例如以下配置代码： … … 总结 [编辑] 服务器配置 通过本文的介绍，它可以了解Squid的基本能力。当然，它的能力远不止此，可以建立强大的代理服务器阵列，可以帮助本地的Web服务器提高性能，可以提高本地网络的安全性等。要想发挥它的功效，还需要进一步控制。
推荐参考资料:《Squid中文权威指南》 附:访问控制列表 # ACCESS CONTROLS # TAG: acl # acl aclname src ip-address/netmask … (clients IP address) //以源客户端IP地址为列表 # acl aclname srcdomain .foo.com … # reverse lookup, client IP //以域名为源列表 # acl aclname time [day-abbrevs] [h1:m1-h2:m2] ＊＊＊其它访问控制列表＊＊＊ # acl aclname url_regex [-i] ^http:// … # regex matching on whole URL //匹配以http://开始的列表
|
# pure-pw show joe
