linux 代理服务器工作原理

代理服务原理

代理服务器有很多种，大体来说有http，ftp，socks代理三种，其中又分透明代理和不透明代理。其中透明代理一般是网关，是硬件。所以这里讨论不透明代理。

当机器通过代理服务器上网时。通讯是分两次的，先是机器和代理服务器通讯，再是代理服务器和目的地址通讯。

机器和代理服务器通讯时，目的IP是代理服务器的IP。代理服务器和目的地址通讯时，源IP是代理服务器的IP，当外部的数据也是一样的，在内网中，出现的IP数据，全是内网和代理服务器的IP。因此，从IP包头是看不出任何与外面通讯的信息的。只有从数据中才能看到。

例如，用http代理上网。

过程是

机器和代理服务器建立TCP连接。

机器发出GET命令。这时GET命令中包含URL或IP地址，明文。

代理服务器将其中的URL转换为IP地址，可能会有DNS。将源数据包中的数据拷贝下来。去掉URL，重新组包，再发出去。

我们需要解析第一个GET包。

现在来看几种代理方式。

http (get)

http (connect)

ftp (user user@host:port)

ftp (user user@host port)

ftp (open host)

ftp (site host)

ftp (site user@host)

socks5

socks4

这些代理方式都有一个特点。就是在连接时，都会先和代理服务器连接，发出请求，一般为

command url，command就是get，connect，user 等。http和ftp都一样，可以通过关键字来识别。而且url是明文。Socks有些特别。它不是明文的，而是十六进制数据。要获得IP地址，还要经过转换。

ＩＳＳＮ　１　００９－３０４４　Ｃｏｍｐｕｔｅｒ　Ｋｎｏｗｌｅｄｇｅ　ａｎｄ　Ｔｅｃｈｎｏｌｏｇｙ电脑知识与技术　Ｖｏ１．６，Ｎｏ．６，Ｆｅｂｒｕａｒｙ　２０１０，ＰＰ．１３０９—１３１　１　Ｅ—ｍａｉｌ：ｉｎｆｏ＠ｃｅｃｅ．ｎｅｔ．ｅｎ　

ｈｔｔｐ：／／ｗｗｗ．ｄｎｚｓ．ｎｅｔ．ＣＨ　

Ｔｅ１：＋８６—５５　ｌ一５６９０９６３　５６９０９６４　

基于Ｌｉｎｕｘ的网络准入控制代理服务器的设计与实现　

郭江平　

（武汉船舶职业技术学院教务处，湖北武汉４３００５０）　

摘要：网络准入控制体系中，终端与策略服务器通过代理服务器连接。该文给出网络准入控制的实现流程，定义了代理服务器的功　

能　以Ｌｉｎｕｘ内核的网络模块为基础，提出一种两级过滤规则链的网络报文过滤方法，实现了准入控制代理的安全阻断功能。该文工　

作可作为网络准入控制代理服务器的实现参考与依据。　

关键词：网络准入控制；Ｌｉｎｕｘ；安全阻断；过滤规则　

中图分类号：ＴＰ３１６　文献标识码：Ａ　文章编号：１００９—３０４４（２０１０）０６—１３０９—０３　

Ａ　Ｎｅｔｗｏｒｋ　Ａｃｃｅｓｓ　Ｃｏｎｔｒｏｌ　Ｐｒｏｘｙ　Ｓｅｒｖｅｒ　Ｂａｓｅｄ　ｏｎ　Ｌｉｎｕｘ　

Ｇｕｏ　Ｊｉａｎｇ—ｐｉｎｇ　

（Ｗｕｈａｎ　Ｉｎｓｔｉｔｕｔｅ　ｏｆ　Ｓｈｉｐｂｕｉｌｄｉｎｇ　Ｔｅｃｈｎｏｌｏｇｙ，Ｗｕｈａｎ　４３００５０，Ｃｈｉｎａ）　

Ａｂｓｔｒａｃｔ：Ｉｎ　Ｎｅｔｗｏｒｋ　Ａｃｃｅｓｓ　Ｃｏｎｔｒｏｌ　ａｒｃｈｉｔｅｃｔｕｒｅ，ｔｅｍｆｉｎａｌｓ　ａｎｄ　ｔｈｅ　ｐｏｌｉｃｙ　ｓｅｒｖｅｒ　ｗｅｒｅ　ｌｉｎｋｅｄ　ｔｈｒｏｕｇｈ　ａ　ｐｒｏｘｙ　ｓｅｒｖｅｒ．Ｉｎ　ｔｈｉｓ　ｐａｐｅｒ，ｗｅ　ｒｅｐｒｅｓｅｎｔｅｄ　ｔｈｅ　ｎｅｔｗｏｒｋ　ａｃｃｅｓｓ　ｃｏｎｔｒｏｌ　ｐｒｏｃｅｓｓ　ａｎｄ　ｄｅｆｉｎｅｄ　ｍａｉｎ　ｆｅａｔｕｒｅｓ　ｏｆ　ｔｈｅ　ＮＡＣ　ｐｒｏｘｙ　ｓｅｒｖｅｒ．Ｉｎ　ｏｒｄｅｒ　ｔＯ　ｒｅａｌｉｚｅ　ｔｈｅ　ＮＡＣ　ｐｒｏｘｙ　ｆｕｎｃｔｉｏｎ　ｏｆ　ｔｈｅ　ｓｅｃｕｒｉｔｙ　ｂｌｏｃｋ，ｗｅ　ｐｒｏｐｏｓｅｄ　ａ　ｕｖｖｏ—ｃｈａｉｎ　ｎｅｔｗｏｒｋ　ｐａｃｋｅｔ　ｆｉｌｔｅｒｉｎｇ　ｍｅｔｈｏｄ　ｂａｓｅｄ　ｏｎ　Ｌｉｎｕｘ—ｋｅｒｎｅｌ　ｎｅｔｗｏｒｋ　ｍｏｄｕｌｅ．Ｔｈｉｓ　ｗｏｒｋ　ｃａｎ　ｂｅ　ｕｓｅｄ　ａｓ　ＮＡＣ　ｐｒｏｘｙ　ｓｅｒｖｅｒ　ｒｅｆｅｒｅｎｃｅ　ａｎｄ　ｂａｓｉｓ　ｆｏｒ　ｔｈｅ　ｒｅａｌｉｚａｔｉｏｎ．　

配置防火墙透明代理

应用场景

代理服务器是介于浏览器和Web服务器之间的一台服务器，有了它之后，浏览器不是

直接到Web服务器去取回网页而是向代理服务器发出请求，Request信号会先送到代理服务

器，由代理服务器来取回浏览器所需要的信息并传送给你的浏览器。而且，大部分代理服务

器都具有缓冲的功能，就好象一个大的Cache，它有很大的存储空间，它不断将新取得数据

储存到它本机的存储器上，如果浏览器所请求的数据在它本机的存储器上已经存在而且是最

新的，那么它就不重新从Web服务器取数据，而直接将存储器上的数据传送给用户的浏览

器，这样就能显著提高浏览速度和效率（速度会随着代理服务器地理位置的不同以及网络传

输情况而改变），而且国外的网络大部分都是没有限制访问网站或者所限制的不同，所以我

们有很大的机会通过代理服务器去访问那些原本不能够去的网站

对于服务提供商来说：

● 大部分代理服务器都具有缓冲的功能。它有一个很大的Cache（一个很大的硬盘缓冲

区），不断地将新取得的数据保存在Cache中。如果浏览器所请求的数据在其缓冲区中已经

存在而且是最新的，那么它就不会重新到Web服务器取数据，而直接将缓冲区中的数据传

送给浏览器，从而显著地提高浏览速度；

● 代理服务器能够提供安全功能。它连接Internet与Intranet，有防火墙功能。由于内

部网与外部网之间没有其它的直接连接，所有的通信都必须通过代理服务器，因此外界不能

直接访问到内部网，使得内部网的安全性得到提高。同时也可以设置IP地址过滤，来限制

内部网对外部的访问权限。

● 可以节省IP开销。由于所有用户对外只占用一个有效的IP，所以不必租用过多的有

效IP地址，降低网络的维护成本。由于目的服务器只能查出所使用的代理服务器的IP，所

以对防止网络黑客还有一个不言而喻的好处，那就是通过这种方法隐藏自己的真实IP地址。

对于个人来说：

代理服务器的最大的好处是可以通过代理来访问本身不能访问到的地方。例如169的

Linux1 代理服务器 squid.conf的其它配置选项

学习squid代理服务器，有必要对其他有用的配置选项做一个全面的了解。下面就分类来介绍这些选项。

1．网络选项

 tcp_incoming_address

该配置选项用来指定监听来自客户或其他squid代理服务器的绑定ip地址。

 tcp_outgoing_address

该配置选项用来指定向远程服务器或其他squid代理服务器发起连接的ip地址。

 udp_incoming_address

该配置选项用来为ICP套接字指定接收来自其他squid代理服务器的包的ip地址。

 udp_outgoing_address

该配置选项用来为ICP套接字指定向其他squid代理服务器发送包的ip地址（缺省为没有绑定任何IP地址。该绑定地址可以用IP指定，也可以用完整的域名指定）。

2．交换空间设定选项

 cache_swap_high (percent，0-100)

squid使用大量的交换空间来存储对象。经过一定的时间以后，该交换空间就会用完，所以还必须定期的按照某种指标来将低于某个水平线的对象清除。squid使用所谓的“最近最少使用算法”（LRU）来做这一工作。当已使用的交换空间达到cache_swap_high时，squid就根据LRU所计算的得到每个对象的值将低于某个水平线的对象清除。这种清除工作一直进行直到已用空间达到cache_swap_low。这两个值用百分比表示，如果用户所使用的交换空间很大的话，建议用户减少这两个值的差距，因为这时一个百分点就可能是几百兆空间，这势必影响squid的性能。缺省设置为cache_swap_low 90和cache_swap_high 95。

 maximum_object_size

该选项说明大于该值的对象将不被存储。如果用户想要提高访问速度，就请降低该值；如果用户想最大限度地节约带宽，降低成本，请增加该值。单位为KB，缺省设置为maximum_object_size 4096 KB。