centos 查看代 centos查看网络

如何在CentOS或RHEL上搭建Squid透明Web代理系统

使用透明代理有几个好处。首先，对最终用户来说，透明代理可以改善上网浏览体验，因为缓存了经常访问的网站内容，同时给他们带来的配置开销最小。对管理员来说，透明代理可用于执行各种管理政策，比如内容/URL/IP过滤和速率限制等。

代理服务器充当客户端和目的地服务器之间的中介。客户端将请求发送到代理服务器，随后代理服务器评估请求，并采取必要的动作。在本教程中，我们将使用Squid搭建一个Web代理服务器，而Squid是一种健壮的、可定制的、稳定的代理服务器。就个人而言，大概一年来我管理着一台拖有400多个客户端工作站的Squid服务器。虽然平均而言我大概一个月就要重启一次服务，但处理器和存储使用率、吞吐量以及客户端响应时间都表现不错。

我们将配置Squid以获得下列拓扑结构。CentOS/RHEL设备有一块网卡（eth0）连接到专有局域网，另一块网卡（eth1）则连接到互联网。

Squid的安装

想使用Squid搭建透明代理系统，我们首先要添加必要的iptables规则。这些规则应该会帮助你开始上手，不过务必要确保它们与任何的现有配置没有冲突。

# iptables-t nat-A POSTROUTING-o eth1-j MASQUERADE# iptables-t nat-A PREROUTING-i eth0-p tcp--dport 80-j REDIRECT--to-port 3128

第一条规则将引起来自eth1（广域网接口）的所有出站数据包都有eth1的源IP地址（也就是启用NAT）。第二条规则将把来自eth0（局域网接口）的所有入站HTTP数据包（发往TCP 80）重定向至Squid侦听端口（TCP 3128），而不是直接将其转发到广域网接口。

我们使用yum，开始安装Squid。

# yum install squid

现在，我们将改动Squid配置，将其变成透明代理系统。我们将局域网子网（比如10.10.10.0/24）定义为有效的客户端网络。不是来自该局域网子网的任何流量将被拒绝访问。

# vim/etc/squid/squid.conf visible_hostname proxy.example.tst http_port 3128 transparent##定义我们的网络## acl our_network src 10.10.10.0/24##确保我们的网络允许访问## http_access allow our_network##最后拒绝其他的所有流量## http_access deny all

现在我们开启Squid服务，确保它已被添加到启动项。

# service squid start# chkconfig squid on

鉴于Squid已搭建并运行起来，我们可以测试其功能了，为此只需监测Squid日志。从连接至该局域网的计算机访问任何URL，你应该会在日志中看到类似以下的内容。

# tailf/var/log/squid/access.log 1402987348.816 1048 10.10.10.10 TCP_MISS/302 752 GET DIRECT/173.194.39.178 text/html 1402987349.416 445 10.10.10.10 TCP_MISS/302 762 GET DIRECT/173.194.78. 94 text/html

据日志文件显示，IP地址为10.10.10.10的机器试图访问google.com，Squid处理了这个请求。

一种最基本的Squid代理服务器现已准备就绪。在本教程的余下部分，我们将调整Squid的一些参数，以控制出站流量。请注意：这仅仅为了演示。实际的政策应加以定制，以满足你的具体要求。

准备工作

在开始配置之前，我们先明确几个要点。

Squid配置解析

在阅读配置文件时，Squid以一种自上而下的方式来解析文件。自上而下地解析规则，直到发现匹配为止。一旦发现匹配，该规则就被执行；其下面的其他任何规则将被忽视。所以，添加过滤规则的最佳实践就是，按下列顺序指定规则。

explicit allow

explicit deny

allow entire LAN

deny all

Squid重启与Squid重新配置

一旦Squid配置经过改动，Squid服务就需要重启。重启服务可能需要一段时间，有时要几分钟，长短取决于活动连接的数量。在这个期间，局域网用户无法访问互联网。想避免这种服务中断，我们可以使用下面这个命令，而不是使用“service squid restart”。

# squid-k reconfigure

该命令将允许Squid使用更新后的参数来运行，而不需要重启本身。

按照IP地址过滤局域网主机

在这个演示中，我们想要搭建这样的Squid：禁止拥有IP地址10.10.10.24的主机和IP地址10.10.10.25的主机访问互联网。为此，我们创建了一个文本文件“denied-ip-file”，里面含有所有被拒绝访问的主机的IP地址，然后将该文件添加到Squid配置中。

# vim/etc/squid/denied-ip-file 10.10.10.24 10.10.10.25# vim/etc/squid/squid.conf##首先我们创建访问控制列表（ACL），隔离被拒绝访问的IP地址##acl denied-ip-list src"/etc/squid/denied-ip-file"##然后，我们应用ACL## http_access deny denied-ip-list##明确拒绝## http_access allow our_network##允许局域网## http_access deny all##拒绝所有deny all##

现在我们需要重启Squid服务。Squid将不再认可来自这些IP地址的请求。如果我们检查squid日志，就会发现来自这些主机的请求处于“TCP_DENIED”状态。

过滤黑名单中的网站

这个方法将只适用于HTTP。假设我们想阻止badsite.com和denysite.com，就可以将这两个网址添加到文件，并且将引用添加到squid.conf。

# vim/etc/squid/badsite-file badsite denysite# vim/etc/squid/squid.conf## ACL定义##acl badsite-list url_regex"/etc/squid/badsite-file"## ACL应用## http_access deny badsite-list http_access deny denied-ip-list##之前设置，但这里不起作用## http_access allow our_network http_access deny all

请注意：我们使用了ACL类型“url_regex”，这将与所请求的URL中的“badsite”和“denysite”这两个词相匹配。也就是说，凡是在URL中含有“badsite”或“denysite”（比如badsite.org、newdenysite.com或otherbadsite.net）的请求一律被阻止。

合并多个ACL

我们将创建一个访问列表，阻止IP地址为10.10.10.200的客户端和IP地址为10.10.10.201的客户端访问custom-block-site.com。其他任何客户端都能够访问该网站。为此，我们将首先创建一个访问列表以隔离这两个IP地址，然后创建另一个访问列表以隔离所需的网站。最后，我们将同时使用这两个访问列表，以满足要求。

# vim/etc/squid/custom-denied-list-file 10.10.10.200 10.10.10.201# vim/etc/squid/custom-block-website-file custom-block-site# vim/etc/squid/squid.conf acl custom-denied-list src"/etc/squid/custom-denied-list-file" acl custom-block-site url_regex"/etc/squid/custom-block-website-file"## ACL应用## http_access deny custom-denied-list custom-block-site http_access deny badsite-list##之前设置，但这里不起作用## http_access deny denied-ip-list##之前设置，但这里不起作用## http_access allow our_network http_access deny all# squid-k reconfigure

被阻止的主机现在应该无法访问上述网站了。日志文件/var/log/squid/access.log应该含有相应请求的“TCP_DENIED”。

设定最大下载文件大小

Squid可以用来控制最大的可下载文件大小。我们想把IP地址为10.10.10.200的主机和IP地址为10.10.10.201的主机的最大下载大小限制在50MB。我们之前已经创建了ACL“custom-denied-list”，以隔离来自这些源地址的流量。现在，我们将使用同一个访问列表来限制下载文件大小。

# vim/etc/squid/squid.conf reply_body_max_size 50 MB custom-denied-list# squid-k reconfigure

建立Squid缓存层次体系

Squid支持缓存的方式是，将经常访问的文件存储在本地存储系统中。设想一下：你的局域网上有100个用户在访问google.com。要是没有缓存功能，就要为每一个请求单独获取Google标识或涂鸦。Squid可以将标识或涂鸦存储在缓存中，以便从缓存来提供。这不仅改善了用户感觉得到的性能，还减少了带宽使用量。这可以说是一举两得。

想启用缓存功能，我们可以改动配置文件squid.conf。

# vim/etc/squid/squid.conf cache_dir ufs/var/spool/squid 100 16 256

数字100、16和256有下列含义。

•为Squid缓存分配100 MB存储空间。如果你愿意，也可以加大所分配的空间。

•16个目录（每个目录里面含有256个子目录）将用于存储缓存文件。这个参数不应该改动。

我们可以通过日志文件/var/log/squid/access.log来证实Squid缓存是否被启用。如果缓存成功命中，我们应该会看到标有“TCP_HIT”的项。

总而言之，Squid是一种功能强大的、基于行业标准的Web代理服务器，被全球各地的系统管理员们广泛使用。Squid提供了简易的访问控制功能，可用于管理来自局域网的流量。它既可以部署到大企业网络中，也可以部署到小公司网络中。

CentOS系统怎样安装DNS服务器

CentOS系统安装DNS服务器方法

DNS安装配置

在 RHEL5、6中 DNS都是用的是 bind软件包，而在 RHEL/CentOS 7用的是 unbound安装包，配置文件也有了改变。我们来看一下：

2.1.安装：

代码如下:

[root@linuxprobe~]# yum-y install unbound

Loaded plugins: langpacks, product-id, subscription-manager

This system is not registered to Red Hat Subscription Management. You can use subscription-manager to register.

Resolving Dependencies

---> Running transaction check

---> Package unbound.x86_64 0:1.4.20-19.el7 will be installed

---> Finished Dependency Resolution

·····

启动服务

代码如下:

[root@linuxprobe~]# systemctl restart unbound//启动DNS服务

[root@linuxprobe~]# systemctl enable unbound

ln-s‘/usr/lib/systemd/system/unbound.service‘‘/etc/systemd/system/multi-user.target.wants/unbound.service‘

//下次系统重启自动启动DNS服务

2.2.修改配置文件

unbound安装好之后，缺省配置文件在/etc/unbound/unbound.conf。

2.2.1.修改端口监听地址

相当于 RHEL6配置文件中的：listen-on port 53{ any;};

查看默认监听地址

代码如下:

[root@linuxprobe~]# netstat-tunlp|grep unbound

tcp 0 0 127.0.0.1:53 0.0.0.0:* LISTEN 3333/unbound

tcp 0 0 127.0.0.1:8953 0.0.0.0:* LISTEN 3333/unbound

tcp6 0 0::1:53:::* LISTEN 3333/unbound

tcp6 0 0::1:8953:::* LISTEN 3333/unbound

udp 0 0 127.0.0.1:53 0.0.0.0:* 3333/unbound

udp6 0 0::1:53:::* 3333/unbound

//默认监听本地回环地址，也就是现在只有自己能访问DNS服务，其它主机不能访问本机的DNS服务

修改监听地址代码如下:

[root@linuxprobe~]# vim/etc/unbound/unbound.conf

……

38# interface: 0.0.0.0

39 interface: 0.0.0.0

……

//找到38行，复制去掉注释行，打开监听全网功能。

重启服务查看

代码如下:

[root@linuxprobe~]# systemctl restart unbound

[root@linuxprobe~]# netstat-tunlp|grep unbound

tcp 0 0 0.0.0.0:53 0.0.0.0:* LISTEN 3461/unbound

tcp 0 0 127.0.0.1:8953 0.0.0.0:* LISTEN 3461/unbound

tcp6 0 0::1:8953:::* LISTEN 3461/unbound

udp 0 0 0.0.0.0:53 0.0.0.0:* 3461/unbound

//现在53号端口监听的是0.0.0.0，即所有网段都监听。

2.2.2.修改允许查询的范围

在 RHEL6中，DNS配置文件中有这样一句：allow-query{ localhost;};。此句定义的是允许向本机查询(迭代&递归)的主机范围，localhost代表只有本机可以向本机查询。而在配置中，经常改 localhost为 any，让所有主机能够向本机查询 DNS。所以，在 RHEL7中，也要做这样的修改，只不过修改内容不同而已，如下：

代码如下:

[root@linuxprobe~]# vim/etc/unbound/unbound.conf

……

177# access-control: 0.0.0.0/0 refuse

178 access-control: 0.0.0.0/0 allow

179# access-control: 127.0.0.0/8 allow

……

找到配置文件/etc/unbound/unbound.conf的第177行，缺省为注释行，把内容改为允许访问，然后保存退出，重启服务即可。

2.2.3.创建解析文件

RHEL/CentOS 5、6系统中，DNS的解析文件分正向和反向两个解析文件，并且有解析文件的模板文件。但是在 RHEL7中，正反向解析文件合并为一个，并且无模板文件，需自己创建，路径可以在主配置文件中查看：

代码如下:

[root@linuxprobe~]# vim/etc/unbound/unbound.conf

……

453# You can add locally served data with

454# local-zone:"local." static

455# local-data:"mycomputer.local. IN A 192.0.2.51"

//正向解析可参考语法

456# local-data:‘mytext.local TXT"content of text record"‘

457#

458# You can override certain queries with

459# local-data:"adserver.example.com A 127.0.0.1"

460#

461# You can redirect a domain to a fixed address with

462#(this makes example.com, www.example.com, etc, all go to 192.0.2.3)

463# local-zone:"example.com" redirect

464# local-data:"example.com A 192.0.2.3"

465#

# Shorthand to make PTR records,"IPv4 name" or"IPv6 name".

467# You can also add PTR records using local-data directly, but then

468# you need to do the reverse notation yourself.

469# local-data-ptr:"192.0.2.3 www.example.com"

//反向解析参考语法

470

471 include:/etc/unbound/local.d/*.conf

472

473# service clients over SSL(on the TCP sockets), with plain DNS inside

……

查看本机FQDN

代码如下:

[root@linuxprobe~]# hostname

linuxprobe.example.com

//由此可知，域名为example.com

创建解析文件代码如下:

[root@linuxprobe~]# vim/etc/unbound/local.d/example.conf

local-zone:"example.com." static

local-data:"example.com. 86400 IN SOA ns.example.com. root 1 1D 1H 1W 1H"

local-data:"ns.example.com. IN A 192.168.10.10"

local-data:"linuxprobe.example.com. IN A 192.168.10.10"

local-data-ptr:"192.168.10.10 ns.example.com."

local-data-ptr:"192.168.10.10 linuxprobe.example.com."

查看RHEL6上解析文件以作对比

代码如下:

[root@linuxprobe~]# vim/var/named/named.localhost

$TTL 1D

@ IN SOA@ rname.invalid.(

0; serial

1D; refresh

1H; retry

1W; expire

3H); minimum

NS@

A 127.0.0.1

AAAA::1

2.3.禁用服务用户

每个服务都是有其专用的服务用户，DNS的服务用户为 unbound，实际情况下服务用户的启用有可能有安全隐患，这里要禁用服务用户。

代码如下:

[root@linuxprobe~]# vim/etc/unbound/unbound.conf

······

211# if given, user privileges are dropped(after binding port),

212# and the given username is assumed. Default is user"unbound".

213# If you give"" no privileges are dropped.

214#username:"unbound"

215 username:""

216

217# the working directory. The relative files in this config

······

如上，找到配置文件的第214行，删除unbound即可，删除后为：username”“。

2.4.验证

代码如下:

[root@linuxprobe~]# unbound-checkconf

unbound-checkconf: no errors in/etc/unbound/unbound.conf

验证无配置问题，即可重启服务

复制代码代码如下:

[root@linuxprobe~]# systemctl restart unbound

dns验证：

修改本机DNS

代码如下:

[root@linuxprobe~]# vim/etc/sysconfig/network-scripts/ifcfg-eth0

HWADDR=00:0C:29:70:····

TYPE=Ethernet

····

IPADDR="192.168.10.10"

PREFIX="24"

···

DNS1=192.168.10.10

NAME=eth0

ONBOOT=no

[root@linuxprobe~]# systemctl restart network

nslookup验证

代码如下:

[root@linuxprobe~]# nslookup

linuxprobe.example.com.

192.168.10.10

ok dns设置成功

PS：关闭防火墙

在本次实验中我们关闭了 linux的3大防火墙。当没有关闭防火墙时，远程主机验证可能出现故障，这时需要在 DNS服务器防火墙上开放 DNS服务。我们以 firewall防火墙为例，修改一下：

代码如下:

[root@linuxprobe~]# systemctl stop iptables

[root@linuxprobe~]# systemctl stop ebtables

[root@linuxprobe~]# systemctl disable iptables

[root@linuxprobe~]# systemctl disable ebtables

[root@linuxprobe~]# firewall-cmd--add-service=dns--permanent

success

[root@linuxprobe~]# firewall-cmd--reload

success

[root@linuxprobe~]# firewall-cmd--list-all

public(default, active)

interfaces: eth0

sources:

services: dhcpv6-client dns ssh

ports:

masquerade: no

forward-ports:

icmp-blocks:

rich rules:

//DNS服务器上Firewall开放DNS访问ok

CentOS 8/6 Linux 生命终结,2022 年最好的替代方案是什么

Red Hat最近宣布，CentOS 8 Linux将不再支持并在 2021年底停止使用。取而代之的是滚动版本 CentOS Stream作为 RHEL的下游分支于 2019年推出，将持续排查漏洞，让上游版本更加稳定和安全。

但是，运行 CentOS 7的服务器不会受到影响。他们将与 RHEL 7生命周期并行更新。RHEL 7将在 2024年结束其最后一个维护周期。

但是，如果您使用的是 CentOS 8，那么 2022年有哪些替代方案？不幸的是，即使您找到了，服务器应用程序的迁移也将是另一个挑战。然而，这里有一些选项可以在 2022年取代 CentOS。

当然，每当我们谈论替代 CentOS的服务器操作系统替代品时，Ubuntu LTS版本将是第一选择。此外，Ubuntu OS的使用和处理比 CentOS容易得多，至少对我来说是这样。APT包管理器以相当快的方式安装包。

另一方面，Ubuntu拥有庞大的社区，提供在线教程和指南，用户可以在这些社区的帮助下自行解决各种问题和障碍，同时在 Ubuntu或 Debian上设置基于服务器的应用程序。

Ubuntu当前长期支持的版本是 20.04 LTS Focal fossa，开发人员将在公共支持下支持到 2025年，如果您想将其进一步扩展到 2030年，则可以使用付费选项。

Ubuntu每两年发布一个 LTS版本，而标准版本是每六个月发布一次，支持期限为九个月。

与具有 RPM包管理的 CentOS 8 Linux最接近的替代选项是 Oracle Enterprise。它也是免费和开源的，但为了获得支持，用户必须付费，否则，其余的一切都可以像 CentOS一样免费使用。Oracle Linux是从 RHEL的源代码编译而来的，因此可以说它是 Red Hat Linux的克隆，并且还提供了早期的安全更新。作为一个类似的基础，用户可以毫不费力地将他们的应用程序从 CentOS 8迁移到 Oracle Linux上的最新版本。

OpenSUSE是一个一直被低估的多功能 Linux操作系统，其中一个原因是与 Ubuntu和 CentOS相比，社区不那么广泛，以及在线教程和指南数量。它由 SUSE Software Solutions Germany GmbH提供支持。默认情况下，OpenSUSE使用Delta RPM和 ZYpp包管理作为 SUSE上的命令行包管理器。

它带有三个包管理工具 ZYpp作为标准命令行工具，YaST用于前端，RPM用于低级。

OpenmSUSE的次要版本每 12个月发布一次，而主要版本大约在 36-48个月之后发布，这个发布周期类似于 Ubuntu。

最近，基于 CentOS操作系统且主要由托管服务提供商或 VPS用户使用的 CloudLinux操作系统宣布:

尽管如此，使用基于 CentOS 8 Linux托管解决方案的 CloudLinux的用户不必担心，因为他们将在 2029年之前获得稳定且经过良好测试的更新。

在 RedHat宣布放弃 CentOS 8 LTS版本之后，立即有消息称 CentOS的联合创始人 Gregory Kurtzer将推出另一个基于 RHEL软件包的 Linux分支，称为“ Rocky Linux”，就像他对 CentOS所做的那样。我希望这一次他不会像之前那样把同样的东西卖给 RedHat或 IBM。Rocky Linux是一种开源企业操作系统，旨在与 Red Hat Enterprise Linux 100%兼容

Virtuozzo仅在内部使用 VzLinux作为容器和虚拟机的客户操作系统。因此，由于它不是从外部分发的，因此这就是我们从未听说过 VzLinux的原因。它也是基于 RedHat的 Linux，如 Alma和 Rocky Linux。

VzLinux是一个免费的多用途发行版，经过优化，可在裸机服务器、虚拟机或容器上运行。它旨在支持密集的企业级应用程序和工作负载。Virtuozzo已经准备好从 CentOS迁移过程“无需停机”的发行版，并且它以 RHEL的更新速度以及与 CentOS相比的速度而自豪。

有兴趣试用 VzLinux ISO的人可以访问Virtuozzo提供的 VzLinux官方下载页面或 repo。

Springdale Linux以前称为 PUIAS Linux是另一种 Linux操作系统。它是由可用于 Red Hat Enterprise Linux的源代码包构建的。除了官方的上游包，它还提供了其他几个附加包的存储库。该版本由美国高等研究院和普林斯顿大学维护。

作为管理员，您可以在您的服务器或桌面上试用它，更新不会像 CentOS一样成为问题，它也依赖于其上游 RHEL Linux。需要注意的是，这个项目比 CentOS更老。

官方网站

如果您使用的是 Amazon Cloud，那么 Amazon Linux就在那里，而 GCP提供了所有主要选项。另一方面， CentOS 7直到 2024年才会出现，因此无需急于寻找和切换到 CentOS替代品，尤其是服务器。当然，在 4年内我们也将有更多可靠和稳定的选择来替代 CentOS 7，直到现在，使用 CentOS 6的用户仍然可以考虑采用 Ubuntu、Debian、Oracle或 OpenSUSE。尽管如此，没有什么大问题的桌面用户可以简单地将 CentOS 8 Linux存储库迁移到 CentOS Stream以进行定期更新。