部署 Web 服务器和反向代理

流程

1. 安装 httpd 软件包：

   # dnf install httpd

2. 如果使用 firewalld，请在本地防火墙中打开 TCP 端口 80 ：

   # firewall-cmd --permanent --add-port=80/tcp
   # firewall-cmd --reload

3. 启用并启动 httpd 服务：

   # systemctl enable --now httpd

4. 可选：将 HTML 文件添加到 /var/www/html/ 目录中。

   注意

   在 向/var/www/html/ 添加内容时，在httpd默认运行的情况下，文件和目录必须可被用户读取。内容所有者可以是 root 用户和 root 用户组，也可以是管理员选择的其他用户或组。如果内容所有者是 root 用户和 root 用户组，则文件必须可被其他用户读取。所有文件和目录的 SELinux 上下文必须为 httpd_sys_content_t，其默认应用于 /var/www 目录中的所有内容。

流程

1. 安装 httpd 软件包：

   # dnf install httpd

2. 编辑 /etc/httpd/conf/httpd.conf 文件：

   1. 为 example.com 域添加以下虚拟主机配置：

      <VirtualHost *:80>
          DocumentRoot "/var/www/example.com/"
          ServerName example.com
          CustomLog /var/log/httpd/example.com_access.log combined
          ErrorLog /var/log/httpd/example.com_error.log
      </VirtualHost>

      这些设置配置以下内容：

      • <VirtualHost *:80> 指令中的所有设置都是针对这个虚拟主机的。
      • DocumentRoot 设置虚拟主机的 Web 内容的路径。

      • ServerName 设置此虚拟主机为其提供内容服务的域。

        要设置多个域，请在配置中添加 ServerAlias 参数，并在此参数中指定用空格分开的额外域。

      • CustomLog 设置虚拟主机的访问日志的路径。

      • ErrorLog 设置虚拟主机错误日志的路径。

        注意

        Apache 还将配置中找到的第一个虚拟主机用于与ServerName和Server Alias参数中设置的任何域不匹配的请求。这还包括发送到服务器 IP 地址的请求。

3. 为 example.net 域添加类似的虚拟主机配置：

   <VirtualHost *:80>
       DocumentRoot "/var/www/example.net/"
       ServerName example.net
       CustomLog /var/log/httpd/example.net_access.log combined
       ErrorLog /var/log/httpd/example.net_error.log
   </VirtualHost>

4. 为两个虚拟主机创建文档根目录：

   # mkdir /var/www/example.com/
   # mkdir /var/www/example.net/

5. 如果您在 DocumentRoot 参数中设置的路径不在/var/www/中，请在两个文档根中设置 httpd_sys_content_t 上下文：

   # semanage fcontext -a -t httpd_sys_content_t "/srv/example.com(/.*)?"
   # restorecon -Rv /srv/example.com/
   # semanage fcontext -a -t httpd_sys_content_t "/srv/example.net(/.\*)?"
   # restorecon -Rv /srv/example.net/

   这些命令在/srv/example.com/和/srv/ example.net/ 目录中设置 httpd_sys_content_t上下文。

   请注意，您必须安装 policycoreutils-python-utils 软件包才能运行restorecon 命令。

6. 如果您使用 firewalld，请在本地防火墙中打开端口 80 ：

   # firewall-cmd --permanent --add-port=80/tcp
   # firewall-cmd --reload

7. 启用并启动 httpd 服务：

   # systemctl enable --now httpd

验证

1. 在每个虚拟主机的文档 root 中创建不同的示例文件：

   # echo "vHost example.com" > /var/www/example.com/index.html
   # echo "vHost example.net" > /var/www/example.net/index.html

2. 使用浏览器并连接到 http://example.comWeb 服务器显示example.com虚拟主机中的示例文件。
3. 使用浏览器并连接到 http://example.netWeb 服务器显示example.net虚拟主机中的示例文件。

流程

1. 编辑/etc/httpd/conf/httpd.conf文件，并将以下设置添加到你要为其配置客户端验证的<VirtualHost>指令中：

   <Directory "/var/www/html/Example/">
     SSLVerifyClient require
   </Directory>

   SSLVerifyClient require设置定义了服务器必须成功验证客户端证书，然后客户端才能访问/var/www/html/Example/目录中的内容。

2. 重启httpd服务：

   # systemctl restart httpd

验证

1. 使用curl工具在没有客户端身份验证的情况下访问https://example.com/Example/URL：

   $ curl https://example.com/Example/
   curl: (56) OpenSSL SSL_read: error:1409445C:SSL routines:ssl3_read_bytes:tlsv13 alert certificate required, errno 0

   这个错误表示 web 服务器需要客户端证书验证。

2. 将客户端私钥和证书以及 CA 证书传递给curl以便使用客户端身份验证来访问相同的URL：

   $ curl --cacert ca.crt --key client.key --cert client.crt https://example.com/Example/

   如果请求成功，curl会显示存储在/var/www/html/Example/目录中的index.html文件。

流程

1. 安装httpd-manual软件包：

   # dnf install httpd-manual

2. 可选：默认情况下，所有连接到 Apache HTTP 服务器的客户端都可以显示手册。要限制对特定 IP 范围的访问，如192.0.2.0/24 子网，编辑/etc/httpd/conf.d/manual.conf文件，并将Require ip 192.0.2.0/24设置添加到 <Directory "/usr/share/httpd/manual">指令中：

   <Directory "/usr/share/httpd/manual">
   ...
       Require ip 192.0.2.0/24
   ...
   </Directory>

3. 重启httpd服务：

   # systemctl restart httpd

验证

1. 要显示 Apache HTTP 服务器手册，使用 Web 浏览器连接到http://host_name_or_IP_address/manual/

流程

1. 安装nginx软件包：

   • 要将 NGINX 1.20 作为 RPM 软件包的此应用程序流的初始版本安装：

     # dnf install nginx

     注意

     如果您之前启用了 NGINX 模块流，这个命令会从启用的流中安装 NGINX 版本。

   • 要从模块流安装替代的 NGINX 后期版本：

     1. 显示可用的 NGINX 模块流：

        # dnf module list nginx
        ...
        rhel-AppStream
        Name        Stream        Profiles        Summary
        nginx       1.22          common [d]      nginx webserver
        ...
        Hint: [d]efault, [e]nabled, [x]disabled, [i]nstalled

     2. 启用所选流：

        # dnf module enable nginx:stream_version

     3. 安装 nginx 软件包：

        # dnf install nginx

2. 打开 NGINX 应该在其防火墙中提供其服务的端口。例如，要在firewalld中为HTTP（端口 80）和 HTTPS（端口 443）开放默认端口，请输入：

   # firewall-cmd --permanent --add-port={80/tcp,443/tcp}
   # firewall-cmd --reload

3. 设置nginx服务在系统启动时自动启动:

   # systemctl enable nginx

4. 可选：启动 nginx 服务：

   # systemctl start nginx

   如果您不想使用默认配置，请跳过这一步，并在启动该服务前相应地配置 NGINX。

验证

1. 使用 dnf 工具验证是否已安装 nginx 软件包。

   • 如果是 NGINX 1.20 RPM 软件包：

     # dnf list installed nginx
     Installed Packages
     nginx.x86_64    1:1.20.1-4.el9       @rhel-AppStream

   • 如果是所选的是 NGINX 模块流：

     # dnf list installed nginx
     Installed Packages
     nginx.x86_64    1:1.22.1-3.module+el9.2.0+17617+2f289c6c    @rhel-AppStream

2. 确保在 firewalld 中打开了 NGINX 需要的端口：

   # firewall-cmd --list-ports
   80/tcp 443/tcp

3. 验证nginx服务是否已启用：

   # systemctl is-enabled nginx
   enabled

流程

1. 编辑/etc/nginx/nginx.conf文件：

   1. 默认情况下，/etc/nginx/nginx.conf文件已包含catch-all配置。如果您已从配置中删除了这部分，请将以下server块重新添加到/etc/nginx/nginx.conf文件中的http块中：

      server {
          listen       80 default_server;
          listen       [::]:80 default_server;
          server_name  _;
          root         /usr/share/nginx/html;
      }

      这些设置配置以下内容：

      • listen指令定义服务监听的 IP 地址和端口。在本例中，NGINX 监听所有 IPv4 和 IPv6 地址的80端口 。default_server参数表示，NGINX 使用此server块作为匹配 IP 地址和端口的请求的默认值。
      • server_name参数定义此server块所负责的主机名。将server_name设置为_,会将NGINX配置为接受这个server块的任何主机名。
      • root指令设置此server块的 Web 内容的路径。

   2. 将类似于example.com域的server块添加到 http块中：

      server {
          server_name  example.com;
          root         /var/www/example.com/;
          access_log   /var/log/nginx/example.com/access.log;
          error_log    /var/log/nginx/example.com/error.log;
      }

      • access_log指令为此域定义一个单独的访问日志文件。
      • error_log指令为此域定义单独的错误日志文件。

   3. 将类似于 example.com 域的一个 server 块添加到 http 块中：

      server {
          server_name  example.net;
          root         /var/www/example.net/;
          access_log   /var/log/nginx/example.net/access.log;
          error_log    /var/log/nginx/example.net/error.log;
      }

2. 为这两个域创建根目录：

   # mkdir -p /var/www/example.com/
   # mkdir -p /var/www/example.net/

3. 在两个根目录中设置httpd_sys_content_t上下文：

   # semanage fcontext -a -t httpd_sys_content_t "/var/www/example.com(/.*)?"
   # restorecon -Rv /var/www/example.com/
   # semanage fcontext -a -t httpd_sys_content_t "/var/www/example.net(/.\*)?"
   # restorecon -Rv /var/www/example.net/

   这些命令在/var/www/example.com/和/var/www/example.net/目录中设置httpd_sys_content_t上下文。

   请注意，您必须安装 policycoreutils-python-utils软件包才能运行restorecon命令。

4. 为这两个域创建日志目录：

   # mkdir /var/log/nginx/example.com/
   # mkdir /var/log/nginx/example.net/

5. 重启nginx服务：

   # systemctl restart nginx

验证

1. 在每个虚拟主机的文档 root 中创建不同的示例文件：

   # echo "Content for example.com" > /var/www/example.com/index.html
   # echo "Content for example.net" > /var/www/example.net/index.html
   # echo "Catch All content" > /usr/share/nginx/html/index.html

2. 使用浏览器并连接到 http://example.comWeb 服务器显示/var/www/example.com/index.html文件中的示例内容。
3. 使用浏览器并连接到 http://example.netWeb 服务器显示/var/www/example.net/index.html文件中的示例内容。
4. 使用浏览器连接到http://IP_address_of_the_server。Web 服务器显示/usr/share/nginx/html/index.html文件中的示例内容。

流程

1. 编辑 /etc/nginx/nginx.conf文件，并将以下server块添加到配置中的http块中：

   server {
       listen              443 ssl;
       server_name         example.com;
       root                /usr/share/nginx/html;
       ssl_certificate     /etc/pki/tls/certs/example.com.crt;
       ssl_certificate_key /etc/pki/tls/private/example.com.key;
   }

2. 可选：从 RHEL 9.3 开始，您可以使用 ssl_pass_phrase_dialog 指令为每个加密私钥配置一个在 nginx 启动时调用的外部程序。向 /etc/nginx/nginx.conf 文件中添加以下行：

   • 要为每个加密的私钥文件调用外部程序，请输入：

     ssl_pass_phrase_dialog exec:<path_to_program>;

     NGINX 使用以下两个参数调用该程序：

     • 服务器名称在 server_name 设置中指定。
     • 以下一种算法之一：RSA、DSA、EC、DH 或 UNK（如果无法识别加密算法）。

   • 如果要为每个加密的私钥文件手动输入密码短语，请输入：

     ssl_pass_phrase_dialog builtin;

     如果没有配置 ssl_pass_phrase_dialog，这是默认行为。

     注意

     如果使用此方法，但至少有一个私钥受密码保护，则 nginx 服务无法启动。在这种情况下，请使用其它方法。

   • 如果您希望 systemd 在使用 systemctl 工具启动 nginx 服务时对每个加密的私钥提示输入密码短语，请输入：

     ssl_pass_phrase_dialog exec:/usr/libexec/nginx-ssl-pass-dialog;

3. 出于安全考虑，配置成只有 root 用户才可以访问私钥文件：

   # chown root:root /etc/pki/tls/private/example.com.key
   # chmod 600 /etc/pki/tls/private/example.com.key

   警告

   如果私钥被设置为可以被未授权的用户访问，则需要撤销证书，然后再创建一个新私钥并请求一个新证书。否则，TLS 连接就不再安全。

4. 重启nginx服务：

   # systemctl restart nginx

流程

1. 编辑/etc/nginx/nginx.conf文件，并将以下设置添加到提供反向代理的server块中：

   location /example {
       proxy_pass https://example.com;
   }

   location块定义了 NGINX 将/example目录中的所有请求传给https://example.com。

2. 将httpd_can_network_connectSELinux 布尔值参数设置为1，以便将 SELinux 设置为允许 NGINX 转发流量：

   # setsebool -P httpd_can_network_connect 1

3. 重启nginx服务：

   # systemctl restart nginx

流程

1. 编辑/etc/nginx/nginx.conf文件并添加以下设置：

   http {
       upstream backend {
           least_conn;
           server server1.example.com;
           server server2.example.com;
           server server3.example.com backup;
       }
   
       server {
           location / {
               proxy_pass http://backend;
           }
       }
   }

   在名为backend的主机组中的least_conn指令定义了 NGINX 将请求发送到server1.example.com或server2.example.com，具体取决于哪个主机具有最少的活动连接数。NGINX 仅在其他两个主机不可用时使用server3.example.com作为备份。

   proxy_pass指令设置为http://backend 时，NGINX 充当反向代理，并使用backend主机组根据该组的设置分发请求。

   您还可以指定其他方法，而不是least_conn负载均衡方法：

   • 不指定方法，使用轮询的方式在服务器间平均分发请求。
   • ip_hash根据从 IPv4 地址的前三个八位字节或客户端的整个 IPv6 地址计算的哈希值将来自一个客户端地址的请求发送到同一台服务器。
   • hash，根据用户定义的密钥（可以是字符串、变量或两者的组合）来确定服务器。用consistent参数来进行配置，NGINX可根据用户定义的哈希密钥值向所有的服务器分发请求。
   • random将请求发送到随机挑选的服务器。

2. 重启nginx服务：

   # systemctl restart nginx

流程

1. 安装 squid 软件包：

   # dnf install squid

2. 编辑 /etc/squid/squid.conf 文件：

   1. 调整 localnet 访问控制列表(ACL)以匹配应该允许使用代理的 IP 范围：

      acl localnet src 192.0.2.0/24
      acl localnet 2001:db8:1::/64

      默认情况下，/etc/squid/squid.conf 文件包含 http_access allow localnet 规则，该规则允许使用 localnet ACL 中指定的所有 IP 范围的代理。请注意，您必须在 http_access allow localnet 规则前指定所有 localnet ACL。

      重要

      删除所有与您的环境不匹配的现有 acl localnet 条目。

   2. 以下 ACL 存在于默认配置中，并将 443 定义为使用 HTTPS 协议的端口：

      acl SSL_ports port 443

      如果用户也可以在其它端口上使用 HTTPS 协议，请为每个端口添加 ACL：

      acl SSL_ports port port_number

   3. 更新 acl Safe_ports 规则列表，以配置 Squid 可对哪个端口建立连接。例如，若要配置使用代理的客户端只能访问端口 21(FTP)、80(HTTP)和 443(HTTPS)上的资源，请在配置中只保留以下 acl Safe_ports 语句：

      acl Safe_ports port 21
      acl Safe_ports port 80
      acl Safe_ports port 443

      默认情况下，配置包含 http_access deny !Safe_ports 规则，该规则定义禁止对定义在 Safe_ports ACL 中端口的访问。

   4. 在 cache_dir 参数中配置缓存类型、缓存目录的路径、缓存大小以及特定于其它缓存类型的设置：

      cache_dir ufs /var/spool/squid 10000 16 256

      有了这些设置：

      • squid 使用 ufs 缓存类型。
      • Squid 将其缓存存储在 /var/spool/squid/ 目录中。
      • 缓存增长到 10000 MB。
      • Squid 在 /var/spool/squid/ 目录中创建 16 level-1 子目录。

      • Squid 在每个 level-1 目录中创建 256 个子目录。

        如果您没有设置 cache_dir 指令，Squid 会在内存中存储缓存。

3. 如果您在 cache_dir 参数中设置了与 /var/spool/squid/ 不同的缓存目录：

   1. 创建缓存目录：

      # mkdir -p path_to_cache_directory

   2. 配置缓存目录的权限：

      # chown squid:squid path_to_cache_directory

   3. 如果您在 enforcing 模式下运行 SELinux，请为缓存目录设置 squid_cache_t 上下文：

      # semanage fcontext -a -t squid_cache_t "path_to_cache_directory(/.*)?"
      # restorecon -Rv path_to_cache_directory

      如果系统上没有 semanage 工具，请安装 policycoreutils-python-utils 软件包。

4. 在防火墙中打开 3128 端口：

   # firewall-cmd --permanent --add-port=3128/tcp
   # firewall-cmd --reload

5. 启用并启动 squid 服务：

   # systemctl enable --now squid

流程

1. 安装 squid 软件包：

   # dnf install squid

2. 编辑 /etc/squid/squid.conf 文件：

   1. 要配置 basic_ldap_auth 帮助工具，请在 /etc/squid/squid.conf 的顶部添加以下配置条目：

      auth_param basic program /usr/lib64/squid/basic_ldap_auth -b "cn=users,cn=accounts,dc=example,dc=com" -D "uid=proxy_user,cn=users,cn=accounts,dc=example,dc=com" -W /etc/squid/ldap_password -f "(&(objectClass=person)(uid=%s))" -ZZ -H ldap://ldap_server.example.com:389

      下面描述了在上面示例中传给 basic_ldap_auth 帮助工具的参数：

      • -b base_DN 设置 LDAP 搜索基础。
      • -D proxy_service_user_DN 设置 Squid 用来搜索目录中验证用户的帐户的可分辨名称(DN)。
      • -W path_to_password_file 设置包含代理服务用户密码的文件路径。使用密码文件可防止在操作系统的进程列表中看到密码。

      • -f LDAP_filter 指定 LDAP 搜索过滤器。Squid 将 %s 变量替换为验证用户提供的用户名。

        示例中的 (&(objectClass=person)(uid=%s)) 过滤器定义用户名必须与 uid 属性中设置的值匹配，并且与包含 person 对象类的目录条目匹配。

      • -ZZ 使用 STARTTLS 命令强制实现通过 LDAP 协议的 TLS 加密连接。在以下情况下省略 -ZZ ：

        • LDAP 服务器不支持加密的连接。
        • URL 中指定的端口使用 LDAPS 协议。
      • -H LDAP_URL 参数指定协议、主机名或 IP 地址以及 LDAP 服务器的端口，格式为 URL。

   2. 添加以下 ACL 和规则来配置 Squid 只允许经过身份验证的用户使用代理：

      acl ldap-auth proxy_auth REQUIRED
      http_access allow ldap-auth

      重要

      在 http_access deny 所有规则前指定这些设置。

   3. 删除以下规则以禁止绕过 localnet ACL 中指定的 IP 范围的代理身份验证：

      http_access allow localnet

   4. 以下 ACL 存在于默认配置中，并将 443 定义为使用 HTTPS 协议的端口：

      acl SSL_ports port 443

      如果用户也可以在其它端口上使用 HTTPS 协议，请为每个端口添加 ACL：

      acl SSL_ports port port_number

   5. 更新 acl Safe_ports 规则列表，以配置 Squid 可对哪个端口建立连接。例如，若要配置使用代理的客户端只能访问端口 21(FTP)、80(HTTP)和 443(HTTPS)上的资源，请在配置中只保留以下 acl Safe_ports 语句：

      acl Safe_ports port 21
      acl Safe_ports port 80
      acl Safe_ports port 443

      默认情况下，配置包含 http_access deny !Safe_ports 规则，该规则定义拒绝访问 Safe_ports ACL 中未定义的端口。

   6. 在 cache_dir 参数中配置缓存类型、缓存目录的路径、缓存大小以及特定于其它缓存类型的设置：

      cache_dir ufs /var/spool/squid 10000 16 256

      有了这些设置：

      • squid 使用 ufs 缓存类型。
      • Squid 将其缓存存储在 /var/spool/squid/ 目录中。
      • 缓存增长到 10000 MB。
      • Squid 在 /var/spool/squid/ 目录中创建 16 level-1 子目录。

      • Squid 在每个 level-1 目录中创建 256 个子目录。

        如果您没有设置 cache_dir 指令，Squid 会在内存中存储缓存。

3. 如果您在 cache_dir 参数中设置了与 /var/spool/squid/ 不同的缓存目录：

   1. 创建缓存目录：

      # mkdir -p path_to_cache_directory

   2. 配置缓存目录的权限：

      # chown squid:squid path_to_cache_directory

   3. 如果您在 enforcing 模式下运行 SELinux，请为缓存目录设置 squid_cache_t 上下文：

      # semanage fcontext -a -t squid_cache_t "path_to_cache_directory(/.*)?"
      # restorecon -Rv path_to_cache_directory

      如果系统上没有 semanage 工具，请安装 policycoreutils-python-utils 软件包。

4. 将 LDAP 服务用户的密码存储在 /etc/squid/ldap_password 文件中，并为该文件设置合适的权限：

   # echo "password" > /etc/squid/ldap_password
   # chown root:squid /etc/squid/ldap_password
   # chmod 640 /etc/squid/ldap_password

5. 在防火墙中打开 3128 端口：

   # firewall-cmd --permanent --add-port=3128/tcp
   # firewall-cmd --reload

6. 启用并启动 squid 服务：

   # systemctl enable --now squid

1. 使用您在 auth_param 参数中使用的相同设置手动启动 helper 工具：

   # /usr/lib64/squid/basic_ldap_auth -b "cn=users,cn=accounts,dc=example,dc=com" -D "uid=proxy_user,cn=users,cn=accounts,dc=example,dc=com" -W /etc/squid/ldap_password -f "(&(objectClass=person)(uid=%s))" -ZZ -H ldap://ldap_server.example.com:389

2. 输入一个有效的用户名和密码，然后按 Enter 键：

   user_name password

   如果 helper 工具返回 OK，则身份验证成功。

流程

1. 安装以下软件包：

   # dnf install squid krb5-workstation

2. 以 AD 域管理员身份进行身份验证：

   # kinit administrator@AD.EXAMPLE.COM

3. 为 Squid 创建一个 keytab，将其存储在 /etc/squid/HTTP.keytab 文件中，并将 HTTP 服务主体添加到 keytab 中：

   # export KRB5_KTNAME=FILE:/etc/squid/HTTP.keytab
   # net ads keytab CREATE -U administrator
   # net ads keytab ADD HTTP -U administrator

4. 可选：如果系统最初是使用领域加入到 AD 域（通过 adcli）的，请使用以下说明来添加 HTTP 主体，并为 squid 创建一个 keytab 文件：

   1. 将 HTTP 服务主体添加到默认的 keytab 文件 /etc/krb5.keytab 中，并验证：

      # adcli update -vvv --domain=ad.example.com --computer-name=PROXY --add-service-principal="HTTP/proxy.ad.example.com" -C
      # klist -kte /etc/krb5.keytab | grep -i HTTP

   2. 加载 /etc/krb5.keytab 文件，删除除 HTTP 以外的所有服务主体，并将剩余的主体保存到 /etc/squid/HTTP.keytab 文件中：

      # ktutil
      ktutil:  rkt /etc/krb5.keytab
      ktutil:  l -e
      slot | KVNO | Principal
      -----------------------------------------------------------------------------
      1 |    2 |            PROXY$@AD.EXAMPLE.COM (aes128-cts-hmac-sha1-96)
      2 |    2 |            PROXY$@AD.EXAMPLE.COM (aes256-cts-hmac-sha1-96)
      3 |    2 |         host/PROXY@AD.EXAMPLE.COM (aes128-cts-hmac-sha1-96)
      4 |    2 |         host/PROXY@AD.EXAMPLE.COM (aes256-cts-hmac-sha1-96)
      5 |    2 | host/proxy.ad.example.com@AD.EXAMPLE.COM (aes128-cts-hmac-sha1-96)
      6 |    2 | host/proxy.ad.example.com@AD.EXAMPLE.COM (aes256-cts-hmac-sha1-96)
      7 |    2 | HTTP/proxy.ad.example.com@AD.EXAMPLE.COM (aes128-cts-hmac-sha1-96)
      8 |    2 | HTTP/proxy.ad.example.com@AD.EXAMPLE.COM (aes256-cts-hmac-sha1-96)

      在 ktutil 的交互式 shell 中，您可以使用不同的选项，直到所有不需要的主体都从 keytab 中删除了，例如：

      ktutil:  delent 1

      ktutil:  l -e
      
      slot | KVNO | Principal
      -------------------------------------------------------------------------------
      1 |   2 | HTTP/proxy.ad.example.com@AD.EXAMPLE.COM (aes128-cts-hmac-sha1-96)
      2 |   2 | HTTP/proxy.ad.example.com@AD.EXAMPLE.COM (aes256-cts-hmac-sha1-96)
      
      ktutil:  wkt /etc/squid/HTTP.keytab
      ktutil:  q

      警告

      如果 SSSD 或 Samba/winbind 将更新机器帐户密码，则 /etc/krb5.keytab 中的密钥可能会被更新。更新后，/etc/squid/HTTP.keytab 中的密钥将停止工作，您需要再次执行 ktutil 步骤来将新密钥复制到 keytab 中。

5. 将 keytab 文件的拥有者设为 squid 用户：

   # chown squid /etc/squid/HTTP.keytab

6. 可选：验证 keytab 文件是否包含代理服务器的完全限定域名(FQDN)的 HTTP 服务主体：

   # klist -k /etc/squid/HTTP.keytab
   Keytab name: FILE:/etc/squid/HTTP.keytab
   KVNO Principal
   ---- ---------------------------------------------------
   ...
      2 HTTP/proxy.ad.example.com@AD.EXAMPLE.COM
   ...

7. 编辑 /etc/squid/squid.conf 文件：

   1. 要配置 negotiate_kerberos_auth 帮助工具，请将以下配置条目添加到 /etc/squid/squid.conf 的顶部：

      auth_param negotiate program /usr/lib64/squid/negotiate_kerberos_auth -k /etc/squid/HTTP.keytab -s HTTP/proxy.ad.example.com@AD.EXAMPLE.COM

      下面描述了在上例中传给 negotiate_kerberos_auth 帮助工具的参数：

      • -k file 设置 keytab 文件的路径。请注意，squid 用户必须拥有这个文件的读取权限。

      • -s HTTP/host_name@kerberos_realm 设置 Squid 使用的 Kerberos 主体。

        另外，您可以通过将以下一个或多个参数传给帮助工具来启用日志：

      • -i 记录信息，如验证用户。

      • -d 启用调试日志记录。

        Squid 将帮助工具中的调试信息记录到 /var/log/squid/cache.log 文件。

   2. 添加以下 ACL 和规则来配置 Squid 只允许经过身份验证的用户使用代理：

      acl kerb-auth proxy_auth REQUIRED
      http_access allow kerb-auth

      重要

      在 http_access deny all 规则前指定这些设置。

   3. 删除以下规则以禁止绕过 localnet ACL 中指定的 IP 范围的代理身份验证：

      http_access allow localnet

   4. 以下 ACL 存在于默认配置中，并将 443 定义为使用 HTTPS 协议的端口：

      acl SSL_ports port 443

      如果用户也可以在其它端口上使用 HTTPS 协议，请为每个端口添加 ACL：

      acl SSL_ports port port_number

   5. 更新 acl Safe_ports 规则列表，以配置 Squid 可对哪个端口建立连接。例如，若要配置使用代理的客户端只能访问端口 21(FTP)、80(HTTP)和 443(HTTPS)上的资源，请在配置中只保留以下 acl Safe_ports 语句：

      acl Safe_ports port 21
      acl Safe_ports port 80
      acl Safe_ports port 443

      默认情况下，配置包含 http_access deny !Safe_ports 规则，该规则定义禁止对定义在 Safe_ports ACL 中端口的访问。

   6. 在 cache_dir 参数中配置缓存类型、缓存目录的路径、缓存大小以及特定于其它缓存类型的设置：

      cache_dir ufs /var/spool/squid 10000 16 256

      有了这些设置：

      • squid 使用 ufs 缓存类型。
      • Squid 将其缓存存储在 /var/spool/squid/ 目录中。
      • 缓存增长到 10000 MB。
      • Squid 在 /var/spool/squid/ 目录中创建 16 level-1 子目录。

      • Squid 在每个 level-1 目录中创建 256 个子目录。

        如果您没有设置 cache_dir 指令，Squid 会在内存中存储缓存。

8. 如果您在 cache_dir 参数中设置了与 /var/spool/squid/ 不同的缓存目录：

   1. 创建缓存目录：

      # mkdir -p path_to_cache_directory

   2. 配置缓存目录的权限：

      # chown squid:squid path_to_cache_directory

   3. 如果您在 enforcing 模式下运行 SELinux，请为缓存目录设置 squid_cache_t 上下文：

      # semanage fcontext -a -t squid_cache_t "path_to_cache_directory(/.*)?"
      # restorecon -Rv path_to_cache_directory

      如果系统上没有 semanage 工具，请安装 policycoreutils-python-utils 软件包。

9. 在防火墙中打开 3128 端口：

   # firewall-cmd --permanent --add-port=3128/tcp
   # firewall-cmd --reload

10. 启用并启动 squid 服务：

    # systemctl enable --now squid

故障排除步骤

1. 为 AD 帐户获取一个 Kerberos 票据：

   # kinit user@AD.EXAMPLE.COM

2. 可选：显示票据:

   # klist

3. 使用 negotiate_kerberos_auth_test 工具测试身份验证：

   # /usr/lib64/squid/negotiate_kerberos_auth_test proxy.ad.example.com

   如果助手工具返回令牌，则身份验证成功：

   Token: YIIFtAYGKwYBBQUCoIIFqDC...

流程

1. 编辑 /etc/squid/squid.conf 文件，并添加以下设置：

   acl domain_deny_list dstdomain "/etc/squid/domain_deny_list.txt"
   http_access deny all domain_deny_list

   重要

   在允许访问用户或客户端的第一个 http_access allow 语句前添加这些条目。

2. 创建 /etc/squid/domain_deny_list.txt 文件，并添加您要阻止的域。例如，要阻止对 example.com（包括子域）以及对 example.net 的访问，请添加：

   .example.com
   example.net

   重要

   如果您引用了 squid 配置中的 /etc/squid/domain_deny_list.txt 文件，则该文件不能为空。如果文件为空，Squid 无法启动。

3. 重启 squid 服务：

   # systemctl restart squid

流程

1. 编辑 /etc/squid/squid.conf 文件：

   • 要设置 Squid 服务侦听的端口，请在 http_port 参数中设置端口号。例如，要将端口设为 8080，请设置：

     http_port 8080

   • 要配置 Squid 服务侦听的 IP 地址，请在 http_port 参数中设置 IP 地址和端口号。例如，若要配置 Squid 仅侦听192.0.2.1 IP 地址的端口 3128 ，请设置：

     http_port 192.0.2.1:3128

     向配置文件中添加多个 http_port 参数，以配置 Squid 侦听多个端口和 IP 地址：

     http_port 192.0.2.1:3128
     http_port 192.0.2.1:8080

2. 如果您配置了 Squid 使用不同的端口作为默认值(3128)：

   1. 在防火墙中打开端口：

      # firewall-cmd --permanent --add-port=port_number/tcp
      # firewall-cmd --reload

   2. 如果您在 enforcing 模式下运行 SELinux，请将端口分配给 squid_port_t 端口类型定义：

      # semanage port -a -t squid_port_t -p tcp port_number

      如果系统上没有 semanage 工具，请安装 policycoreutils-python-utils 软件包。

3. 重启 squid 服务：

   # systemctl restart squid