Squid 完全指南 / 05 - 反向代理

第五章：反向代理

5.1 反向代理概述

反向代理（Reverse Proxy）代表后端服务器接收客户端请求，提供缓存加速、负载均衡和安全防护等功能。客户端无感知代理的存在。

                    ┌─────────────────────┐
[互联网用户] ──────→│  Squid 反向代理      │
                    │  • 缓存静态内容      │
[搜索引擎爬虫] ────→│  • SSL 卸载          │
                    │  • 负载均衡          │────→ [Web Server 1]
[移动端用户] ──────→│  • 安全过滤          │────→ [Web Server 2]
                    │  • 压缩传输          │────→ [Web Server 3]
                    └─────────────────────┘

5.2 基础反向代理配置

5.2.1 单后端服务器

# Squid 反向代理 — 单后端
http_port 80
https_port 443 cert=/etc/squid/ssl/site.pem key=/etc/squid/ssl/site.key

# 定义后端服务器
cache_peer webserver.local parent 80 0 \
    no-query originserver \
    name=backend

# 访问控制
acl all src all
http_access allow all

# 反向代理头
request_header_add X-Real-IP "%>a" all
request_header_add X-Forwarded-For "%>a" all
request_header_add X-Forwarded-Proto "%>PROTO" all

# 缓存策略
cache_dir ufs /var/spool/squid 5000 16 256

# 隐藏后端信息
via off
forwarded_for delete

5.2.2 多后端服务器（同域名）

http_port 80

# 轮询负载均衡
cache_peer web1.example.com parent 80 0 \
    no-query originserver round-robin \
    weight=3 name=web1
cache_peer web2.example.com parent 80 0 \
    no-query originserver round-robin \
    weight=2 name=web2
cache_peer web3.example.com parent 80 0 \
    no-query originserver round-robin \
    weight=1 name=web3

# 优先使用后端，不使用对等体
prefer_direct off
never_direct allow all

5.2.3 多虚拟主机

http_port 80

# 站点 A
cache_peer web1.example.com parent 80 0 \
    no-query originserver \
    name=site_a

# 站点 B
cache_peer web2.example.com parent 80 0 \
    no-query originserver \
    name=site_b

# 基于域名路由
acl site_a_req dstdomain www.example.com api.example.com
acl site_b_req dstdomain blog.example.com shop.example.com

cache_peer_access site_a allow site_a_req
cache_peer_access site_b allow site_b_req

# 拒绝未匹配的请求
cache_peer_access site_a deny all
cache_peer_access site_b deny all

http_access allow all

5.3 SSL 卸载 (SSL Offloading)

5.3.1 基础 SSL 配置

# HTTP 端口
http_port 80

# HTTPS 端口 — SSL 卸载
https_port 443 \
    cert=/etc/squid/ssl/site.crt \
    key=/etc/squid/ssl/site.key \
    cafile=/etc/squid/ssl/ca-bundle.crt \
    options=NO_SSLv3,NO_TLSv1,NO_TLSv1_1 \
    cipher=ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384

# 后端使用 HTTP 通信
cache_peer webserver.local parent 80 0 \
    no-query originserver name=backend

5.3.2 生成自签名证书（测试用）

# 创建 SSL 目录
sudo mkdir -p /etc/squid/ssl
cd /etc/squid/ssl

# 生成自签名证书
sudo openssl req -new -newkey rsa:2048 -days 3650 -nodes -x509 \
    -subj "/C=CN/ST=Beijing/L=Beijing/O=MyCompany/CN=example.com" \
    -keyout site.key -out site.crt

# 设置权限
sudo chmod 600 site.key
sudo chown proxy:proxy site.key site.crt

5.3.3 Let’s Encrypt 证书

# 安装 certbot
sudo apt install -y certbot

# 获取证书
sudo certbot certonly --standalone -d www.example.com

# 合并证书供 Squid 使用
sudo cat /etc/letsencrypt/live/www.example.com/fullchain.pem \
    /etc/letsencrypt/live/www.example.com/privkey.pem \
    > /etc/squid/ssl/site.pem

# Squid 配置
# https_port 443 cert=/etc/squid/ssl/site.pem

# 设置证书续期钩子
sudo tee /etc/letsencrypt/renewal-hooks/post/squid-reload.sh <<'EOF'
#!/bin/bash
cat /etc/letsencrypt/live/www.example.com/fullchain.pem \
    /etc/letsencrypt/live/www.example.com/privkey.pem \
    > /etc/squid/ssl/site.pem
systemctl reload squid
EOF
sudo chmod +x /etc/letsencrypt/renewal-hooks/post/squid-reload.sh

5.3.4 SNI 多证书支持

# 基于 SNI 的多域名 SSL
# 方法一：多证书文件
https_port 443 \
    cert=/etc/squid/ssl/default.pem \
    tls-cert=/etc/squid/ssl/site_a.pem \
    tls-cert=/etc/squid/ssl/site_b.pem

# 方法二：使用 ssl_crtd 动态证书（需编译 --enable-ssl-crtd）
# 适合大量域名的场景

5.3.5 SSL/TLS 安全配置

# 禁用不安全的协议
https_port 443 \
    cert=/etc/squid/ssl/site.pem \
    options=NO_SSLv2,NO_SSLv3,NO_TLSv1,NO_TLSv1_1 \
    cipher=ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305

# SSL 会话缓存
ssl_session_cache shared:SSL:50MB
ssl_session_timeout 4 hours

# OCSP Stapling（Squid 6.x）
# https_port 443 ... options=OCSP Stapling

5.4 负载均衡策略

5.4.1 轮询 (Round Robin)

# 默认的负载均衡方式
cache_peer web1.local parent 80 0 no-query originserver round-robin
cache_peer web2.local parent 80 0 no-query originserver round-robin
cache_peer web3.local parent 80 0 no-query originserver round-robin

5.4.2 加权轮询 (Weighted Round Robin)

# weight 参数控制流量分配比例
cache_peer web1.local parent 80 0 no-query originserver round-robin weight=5
cache_peer web2.local parent 80 0 no-query originserver round-robin weight=3
cache_peer web3.local parent 80 0 no-query originserver round-robin weight=2

# web1 处理 50%，web2 处理 30%，web3 处理 20%

5.4.3 基于 URL 哈希的负载均衡

# 相同 URL 始终路由到同一后端（缓存友好）
cache_peer web1.local parent 80 0 no-query originserver sourcehash
cache_peer web2.local parent 80 0 no-query originserver sourcehash
cache_peer web3.local parent 80 0 no-query originserver sourcehash

# 基于客户端 IP 哈希（会话保持）
cache_peer web1.local parent 80 0 no-query originserver userhash
cache_peer web2.local parent 80 0 no-query originserver userhash

5.4.4 健康检查与故障转移

# 健康检查配置
cache_peer web1.local parent 80 0 \
    no-query originserver round-robin \
    connect-timeout=5 \
    read-timeout=30 \
    retry=3

# 仅当后端宕机时才查询其他节点
# Squid 默认不会主动健康检查，但会在连接失败时切换

# 定义备用服务器（权重低）
cache_peer backup.local parent 80 0 \
    no-query originserver round-robin weight=1

5.4.5 负载均衡对比

策略	Squid 选项	适用场景	缓存友好
轮询	`round-robin`	通用	★★★
加权轮询	`round-robin weight=N`	异构服务器	★★★
URL 哈希	`sourcehash`	CDN、缓存优化	★★★★★
IP 哈希	`userhash`	会话保持	★★★
最少连接	不原生支持	—	—

注意：Squid 的负载均衡能力相对简单。如需高级负载均衡（最少连接、健康检查、灰度发布），建议在 Squid 前使用 Nginx 或 HAProxy，Squid 专注缓存加速。

5.5 缓存加速配置

5.5.1 反向代理缓存策略

# 缓存目录
cache_dir ufs /var/spool/squid 20000 256 4096
cache_mem 2048 MB

# 缓存对象大小限制
maximum_object_size 256 MB
minimum_object_size 1 KB

# 缓存替换策略
cache_replacement_policy heap GDSF

# 忽略后端的 Cache-Control: no-cache
# （不推荐在生产环境使用）
# ignore_ims_on_miss on

# 强制缓存（覆盖后端的 no-store）
# （谨慎使用）
# cache_store_log stdio:/var/log/squid/store.log

5.5.2 针对不同内容的缓存策略

# 静态资源 — 长期缓存
acl static_url url_regex -i \.(jpg|jpeg|png|gif|ico|css|js|woff2|svg|mp4)$
cache allow static_url

# API 请求 — 不缓存
acl api_url url_regex -i ^https?://api\.
cache deny api_url

# 动态页面 — 短期缓存
acl dynamic_url url_regex -i \.(php|asp|jsp)$
cache allow dynamic_url

# 通用缓存规则
cache allow all

# 通过 refresh_pattern 控制缓存时间
refresh_pattern -i \.(jpg|jpeg|png|gif|ico)$ 1440 90% 43200 override-expire
refresh_pattern -i \.(css|js|woff2|svg)$ 1440 90% 43200 override-expire
refresh_pattern -i \.(mp4|webm|ogg)$ 10080 90% 43200 override-expire
refresh_pattern ^https?://api\. 0 0% 0
refresh_pattern . 60 20% 1440

5.6 HTTP 头部处理

5.6.1 添加代理头

# 添加标准代理头
request_header_add X-Real-IP "%>a" all
request_header_add X-Forwarded-For "%>a" all
request_header_add X-Forwarded-Host "%>h" all
request_header_add X-Forwarded-Proto "%>PROTO" all
request_header_add X-Request-ID "%>ha" all

# 删除 Via 和 X-Forwarded-For 中的代理信息
via off
forwarded_for delete

5.6.2 安全响应头

# 添加安全头
reply_header_add X-Content-Type-Options "nosniff" all
reply_header_add X-Frame-Options "SAMEORIGIN" all
reply_header_add X-XSS-Protection "1; mode=block" all
reply_header_add Referrer-Policy "strict-origin-when-cross-origin" all
reply_header_add Strict-Transport-Security "max-age=31536000; includeSubDomains" all

# 删除敏感响应头
reply_header_access X-Powered-By deny all
reply_header_access Server deny all

5.6.3 响应压缩

# Squid 不直接支持 gzip 压缩
# 但可以透传后端的压缩内容

# 确保 Accept-Encoding 头被传递
request_header_access Accept-Encoding allow all

# 如果需要压缩，建议在 Squid 前使用 Nginx 处理

5.7 完整反向代理配置示例

# /etc/squid/squid.conf — 反向代理生产配置

# ============ 端口 ============
http_port 80
https_port 443 \
    cert=/etc/squid/ssl/site.pem \
    key=/etc/squid/ssl/site.key \
    options=NO_SSLv3,NO_TLSv1,NO_TLSv1_1

# ============ ACL ============
acl SSL_ports port 443
acl Safe_ports port 80 443
acl CONNECT method CONNECT

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports

# 搜索引擎爬虫白名单
acl search_engine src 66.249.64.0/19    # Google
acl search_engine src 207.46.0.0/16     # Bing

# 限制请求频率（简单实现）
acl rapid_req maxconn 50
http_access deny rapid_req !search_engine

http_access allow all

# ============ 后端服务器 ============
cache_peer web1.local parent 80 0 \
    no-query originserver round-robin weight=5 \
    connect-timeout=5 \
    name=web1

cache_peer web2.local parent 80 0 \
    no-query originserver round-robin weight=3 \
    connect-timeout=5 \
    name=web2

cache_peer backup.local parent 80 0 \
    no-query originserver \
    connect-timeout=10 \
    name=backup

never_direct allow all

# ============ 缓存 ============
cache_dir ufs /var/spool/squid 20000 256 4096
cache_mem 2048 MB
maximum_object_size 256 MB

refresh_pattern -i \.(jpg|jpeg|png|gif|ico|webp)$ 1440 90% 43200
refresh_pattern -i \.(css|js|woff2|svg|ttf)$ 1440 90% 43200
refresh_pattern -i \.(mp4|webm|ogg|pdf|zip)$ 10080 90% 43200
refresh_pattern ^/api/ 0 0% 0
refresh_pattern . 60 20% 1440

# ============ 头部处理 ============
via off
forwarded_for delete
httpd_suppress_version_string on

request_header_add X-Real-IP "%>a" all
request_header_add X-Forwarded-For "%>a" all
request_header_add X-Forwarded-Proto "%>PROTO" all

reply_header_add X-Content-Type-Options "nosniff" all
reply_header_add X-Frame-Options "SAMEORIGIN" all
reply_header_add Strict-Transport-Security "max-age=31536000" all

reply_header_access Server deny all
reply_header_access X-Powered-By deny all

# ============ 日志 ============
access_log /var/log/squid/access.log squid
cache_log /var/log/squid/cache.log

# ============ 性能 ============
visible_hostname cdn.example.com
client_db off
pipeline_prefetch on

# 连接超时
connect_timeout 10 seconds
read_timeout 30 seconds
request_timeout 10 seconds
persistent_request_timeout 1 minute

5.8 Squid vs Nginx 反向代理

特性	Squid	Nginx
缓存能力	★★★★★ 专业级	★★★ 基础
负载均衡	★★★ 轮询/哈希	★★★★★ 丰富算法
SSL 处理	★★★★ 原生支持	★★★★★ 成熟
配置复杂度	高	中
HTTP/2	部分支持	完整支持
WebSocket	CONNECT 代理	原生支持
动态上游	不支持	支持（商业版）
监控	Cache Manager	stub_status/Plus
学习曲线	陡峭	平缓

建议：

需要强缓存能力：Squid
需要丰富负载均衡：Nginx
复杂场景：Nginx（前端 SSL + 负载均衡）→ Squid（缓存加速）→ 后端

5.9 本章小结

功能	关键配置
基础反向代理	`cache_peer ... originserver`
SSL 卸载	`https_port` + 证书配置
负载均衡	`round-robin` / `weight` / `sourcehash`
缓存加速	`cache_dir` + `refresh_pattern`
头部处理	`request_header_add` / `reply_header_add`
安全防护	ACL + 限流 + 安全头

Squid 完全指南 / 05 - 反向代理

第五章：反向代理

5.1 反向代理概述

5.2 基础反向代理配置

5.2.1 单后端服务器

5.2.2 多后端服务器（同域名）

5.2.3 多虚拟主机

5.3 SSL 卸载 (SSL Offloading)

5.3.1 基础 SSL 配置

5.3.2 生成自签名证书（测试用）

5.3.3 Let’s Encrypt 证书

5.3.4 SNI 多证书支持

5.3.5 SSL/TLS 安全配置

5.4 负载均衡策略

5.4.1 轮询 (Round Robin)

5.4.2 加权轮询 (Weighted Round Robin)

5.4.3 基于 URL 哈希的负载均衡

5.4.4 健康检查与故障转移

5.4.5 负载均衡对比

5.5 缓存加速配置

5.5.1 反向代理缓存策略

5.5.2 针对不同内容的缓存策略

5.6 HTTP 头部处理

5.6.1 添加代理头

5.6.2 安全响应头

5.6.3 响应压缩

5.7 完整反向代理配置示例

5.8 Squid vs Nginx 反向代理

5.9 本章小结

扩展阅读