• squid.conf

maximum_object_size 300 MB
maximum_object_size_in_memory 300 MB
minimum_object_size 1 KB
ssl_bump server-first all
cache_dir ufs /var/spool/squid 3000 16 256

Код: Выделить всё

iptables -t nat -A PREROUTING -i tun0 -p tcp --dport 443 -j REDIRECT --to-port 3128

Код: Выделить всё

sudo openssl req -new -newkey rsa:2048 -days 365 -nodes -x509 -keyout /etc/squid/squid.key -out /etc/squid/squid.crt

/etc/squid/squid.conf

Код: Выделить всё

http_port 3128 intercept ssl-bump cert=/etc/squid/squid.crt key=/etc/squid/squid.key

# Настраиваем SSL-Bump
ssl_bump bump all

Код: Выделить всё

http_port 3128 transparent
Или же
http_port 3129 intercept

Код: Выделить всё

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 3128

Код: Выделить всё

iptables -t nat -R PREROUTING 1 -i tun0 -s 10.168.4.0/24 ! -d 192.168.0.0/16 -p tcp --dport 443 -j REDIRECT --to-port 3128

Код: Выделить всё

sudo openssl req -new -newkey rsa:2048 -days 365 -nodes -x509 -keyout /etc/squid/squid.key -out /etc/squid/squid.crt

/etc/squid/squid.conf

Код: Выделить всё

http_port 3128 intercept
ssl_bump cert=/etc/squid/squid.crt key=/etc/squid/squid.key
http_port 3129

/etc/squid/squid.conf

Код: Выделить всё

cache_replacement_policy lru
cache_mem 256 Mb

NL

/etc/squid/squid.conf

Код: Выделить всё

visible_hostname localhost

http_port 3128 transparent
http_port 3129

icp_port 3130

pid_filename /var/run/squid/squid.pid

check_hostnames off
dns_v4_first on
dns_timeout 1 seconds
memory_pools on
memory_pools_limit 700 MB
#cache_effective_user squid
#cache_effective_group squid

cache_replacement_policy lru

dead_peer_timeout 50 seconds # (как долго ждать прежде, чем объявить соседа "мертвым")
cache_store_log none  # (журнал записи объектов в дисковый кеш; автор рекомендуют поставить none, т.к. программ анализа все равно нет, нужен ли?)
forwarded_for off # если включено - по умолчанию - то squid будет вставлять IP-адрес или имя в заголовок перенаправляемых

cache_access_log /var/log/squid/access.log
#cache_access_log /home/gt/home_debian/log/squid/access.log

# /root/squid_access.log  # /usr/local/squid/logs/access.log # (журнализируется каждый запрос к кешу)
#cache_log /var/log/squid/squid_cache.log  #/usr/local/squid/logs/cache.log # (журнал запусков процессов)

cache_mem 256 MB
minimum_object_size 1 KB
maximum_object_size 300 MB
maximum_object_size_in_memory 300 MB
ssl_bump server-first all
cache_swap_low 95
cache_swap_high 99
#dns_nameservers 127.0.0.1
#dns_timeout 5 seconds

# Автоматическая докачка небольших файлов
range_offset_limit 1024 KB
# Кэширование IP-адресов
ipcache_size 8192
# Настройка логов
cache_store_log none
# Закрывать наполовину закрытые соединения
half_closed_clients off

cache_dir ufs /var/spool/squid 4096 16 256

#ie_refresh off
#balance_on_multiple_ip on
pipeline_prefetch on

ftp_user anonymous@
#ftp_list_width 32
ftp_passive on
ftp_sanitycheck on

# connect_timeout 1 seconds

#cache_peer 192.168.100.227 parent 3128 0 no-query no-digest no-netdb-exchange

acl manager proto cache_object
acl localhost1 src localhost
acl all1 dst all


acl src_internet src "/etc/squid/src_internet"

#acl limit_unlim maxconn 50

# acl unlim src 192.168.200.0/27


# Свежесть объектов 30 дней
refresh_pattern -i \.pdf$  43200 100% 43200 override-lastmod override-expire
refresh_pattern -i \.zip$  43200 100% 43200 override-lastmod override-expire
refresh_pattern -i \.tar$  43200 100% 43200 override-lastmod override-expire
refresh_pattern -i \.gz$   43200 100% 43200 override-lastmod override-expire
refresh_pattern -i \.tgz$  43200 100% 43200 override-lastmod override-expire
refresh_pattern -i \.exe$  43200 100% 43200 override-lastmod override-expire
refresh_pattern -i \.prz$  43200 100% 43200 override-lastmod override-expire
refresh_pattern -i \.ppt$  43200 100% 43200 override-lastmod override-expire
refresh_pattern -i \.inf$  43200 100% 43200 override-lastmod override-expire
#refresh_pattern -i \.swf$  43200 100% 43200 override-lastmod override-expire
refresh_pattern -i \.mid$  43200 100% 43200 override-lastmod override-expire
refresh_pattern -i \.wav$  43200 100% 43200 override-lastmod override-expire
refresh_pattern -i \.mp3$  43200 100% 43200 override-lastmod override-expire
refresh_pattern -i \.mp4$  43200 100% 43200 override-lastmod override-expire
refresh_pattern -i \.flv$  43200 100% 43200 override-lastmod override-expire
refresh_pattern -i \.avi$  43200 100% 43200 override-lastmod override-expire
refresh_pattern -i \.mpg$  43200 100% 43200 override-lastmod override-expire
refresh_pattern -i \.mpeg$  43200 100% 43200 override-lastmod override-expire
#refresh_pattern -i \.js$  43200 100% 43200 override-lastmod override-expire
refresh_pattern -i static\.pornolab\.net 43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
#http://static.pornolab.net/templates/default/css/theme.css?v=15
#http://static.pornolab.net/js/main.js?v=17
#http://static.pornolab.net/templates/default/css/main.css?v=15
#http://static.pornolab.net/js/jquery.pack.js?v=17



#Далее на очереди реклама. Конечно её можно вырезать с помощью bfilter и/или adzapper, но ни один фильтр не может убрать всей рекламы, потому на всякий случай добавим правила для кэширования рекламы:

refresh_pattern http://static\.                    43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache ignore-reload ignore-private ignore-auth
refresh_pattern http://ad\.                        43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern http://ads\.                       43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern http://adv\.                       43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern http://click\.                     43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern http://count\.                     43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern http://counter\.                   43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern http://engine\.                    43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern http://img\.readme\.ru             43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern http://userpic\.livejournal\.com   43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern \.ru/bf-analyze                    43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern \.ru/bf-si                         43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern /advs/                             43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern /banners/                          43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache
refresh_pattern /cgi-bin/iframe/                   43200   100%    43200 override-lastmod override-expire ignore-reload ignore-no-cache



#cache_peer 91.220.173.160 parent 3128 0 no-query no-digest no-netdb-exchange round-robin weight=1
#cache_peer 192.168.100.22 parent 8080 0 no-query no-digest no-netdb-exchange round-robin weight=1
#cache_peer 192.168.100.18 parent 3128 0 no-query no-digest no-netdb-exchange round-robin weight=2
#cache_peer 192.168.100.9 parent 3129 0 no-query no-digest no-netdb-exchange round-robin weight=3
#cache_peer 192.168.100.39 parent 3129 0 no-query no-digest no-netdb-exchange round-robin weight=3
#cache_peer 192.168.100.151 parent 3129 0 no-query no-digest no-netdb-exchange round-robin weight=3
#cache_peer 192.168.100.152 parent 3129 0 no-query no-digest no-netdb-exchange round-robin weight=3

##########################################
# открыть, если не подключен openvpn

# Разрешает доступ через другой прокс из указанного списка и запрещает всем
#always_direct: контролирует, какие запросы всегда должны посылаться напрямую к серверу назначения.
#never_direct: контролирует, какие запросы никогда не должны посылаться напрямую к серверу назначения.

#never_direct allow dst_pornolab
#always_direct deny dst_pornolab

always_direct allow all1
never_direct deny all1

#always_direct deny all1
#never_direct allow all1

##########################################



# Разрешает доступ через другой прокс всем

##########never_direct allow all1
##########always_direct deny all1

#!dst_pornolab

#always_direct allow dst_pornolab
#never_direct allow !dst_pornolab
#never_direct allow all1
#always_direct deny all1

# http_access deny manager all1


# always_direct allow dst_host_hidden


##always_direct deny dst_host_hidden
##never_direct allow dst_host_hidden



#http_access allow src_private dst_private !reklama1 !reklama2 !reklama3
#http_access allow src_besplatno dst_besplatno !limit !reklama1 !reklama2 !reklama3
#http_access allow src_unlim !dst_private !limit_unlim !reklama1 !reklama2 !reklama3

#header_access Referer deny all1
#header_access Expiries deny all1

forwarded_for off

request_header_access Via deny all1
request_header_access X-Forwarded-For deny all1
#header_access User-Agent deny all1
#header_replace User-Agent Mozilla

#http_access allow src_internet noreklama

# Несколько правил для резки баннеров
#acl adv url_regex -i ^.*88x31.*gif.*$
#acl adv url_regex -i ^.*88x31.*GIF.*$
#acl adv url_regex -i ^.*100x80.*gif.*$
#acl adv url_regex -i ^.*100x80.*GIF.*$
#acl adv url_regex -i ^.*100x100.*gif.*$
#acl adv url_regex -i ^.*100x100.*GIF.*$
#acl adv url_regex -i ^.*120x60.*gif.*$
#acl adv url_regex -i ^.*120x60.*GIF.*$
#acl adv url_regex -i ^.*240x120.*gif.*$
#acl adv url_regex -i ^.*240x120.*GIF.*$
#acl adv url_regex -i ^.*179x69.*gif.*$
#acl adv url_regex -i ^.*193x72.*gif.*$
#acl adv url_regex -i ^.*468x60.*gif.*$
#acl adv url_regex -i ^.*300x300.*jpg.*$
#acl adv url_regex -i ^.*300x300.*jpeg.*$
#acl adv url_regex -i ^.*advert_437.*$
#acl adv url_regex -i ^.*teaserLink-437.*$
#acl adv url_regex -i ^.*google-analytics.com.*$
#acl adv url_regex -i ^.*cdn.syndication.twimg.com.*$
#acl adv url_regex -i ^.*safebrowsing.google.com.*$
#acl adv url_regex -i ^.*200x200.*jpg.*$
#acl adv url_regex -i ^.*doubleclick.*$
#acl adv url_regex -i ^.*2bffd64abeefce6a3270953411b24368.*jpg.*$
#acl adv url_regex -i ^.*44281aa82e5ab6862d4f0a983279cd93.*jpg.*$
#acl adv url_regex -i ^.*648add87bf6741e92827a491bbb8dd03.*jpg.*$
#acl adv url_regex -i ^.*promo.*$
#acl adv url_regex -i ^.*ads\.js.*$

#url_regex: шаблон регулярного выражения для URL
#acl adv url_regex -i "/etc/squid/adv.rules"
#urlpath_regex: шаблон регулярного выражения для части URL, исключая протокол и имя хоста

#acl js urlpath_regex -i \.js(\?=rnd.*)?$
#acl js2 urlpath_regex -i \.html(\?=rnd.*)?$

# Запретить рекламу
#http_access deny adv
#http_access deny js2
#http_access deny js

#http_access deny my_filter_regex


#http_access deny coinFilter
#http_access deny my_filter
http_access allow src_internet
#!adv !my_filter_regex
#!reklama1 !reklama3 !reklama4

#!reklama3
http_access deny all1

#icp_access allow allowed_hosts
#icp_access deny all1

/etc/squid/squid.conf

Код: Выделить всё

cache_dir ufs /var/spool/squid 4096 16 256

4096 - общий кэш
16 - количество блоков кэша
256 - количество байт в блоке кэша

Сначала нужно создать список контроля доступа (ACL), который будет включать в себя все поддомены .gt. Точка перед именем домена (.gt) означает «сам домен и все его поддомены».

Затем используйте директиву always_direct, чтобы указать Squid, что для этого ACL не нужно использовать внешние кэши или родительские прокси.

Если вы также хотите, чтобы контент с этих ресурсов не сохранялся в кэше Squid (так как они «локальные»), добавьте директиву cache:

/etc/squid/squid.conf

Код: Выделить всё

acl local_gt dstdomain .gt

always_direct allow local_gt
cache deny local_gt

# Пример вашего родительского прокси (если есть)
# cache_peer 1.2.3.4 parent 3128 0 no-query default

1. Соединения со стороны клиента (Client-side)
Эти параметры определяют, как долго Squid будет ждать ответа от браузера пользователя или держать соединение открытым после завершения запроса.

client_idle_pconn_timeout: Определяет, сколько времени Squid держит открытым постоянное (keep-alive) соединение с клиентом после того, как запрос был выполнен.
Рекомендуемое значение: 1 minute или меньше (по умолчанию часто 2 минуты).

pconn_timeout: Общий таймаут для пассивных соединений.

request_timeout: Сколько времени Squid ждет поступления HTTP-запроса после установления TCP-соединения. Если клиент молчит — соединение обрывается.
Рекомендуемое значение: 30 seconds.

2. Соединения с серверами (Server-side)
Если Squid запросил данные у сайта, а сайт перестал отвечать, эти параметры помогут не «забивать» очередь.

read_timeout: Если в течение этого времени от сервера не пришло ни одного байта данных, Squid закроет соединение.
Рекомендуемое значение: 5 minutes (можно меньше, если интернет стабильный).

pconn_lifetime: Максимальное время жизни постоянного соединения с вышестоящим сервером.

half_closed_clients: По умолчанию on. Если клиент закрывает свою сторону TCP-соединения, но оставляет его «полуоткрытым», Squid может продолжать держать его.

Совет: Попробуйте установить off, чтобы Squid агрессивнее разрывал такие связи.

/etc/squid/squid.conf

Код: Выделить всё

# Тайм-аут простоя для постоянных соединений клиента
client_idle_pconn_timeout 45 seconds

# Тайм-аут ожидания самого запроса
request_timeout 30 seconds

# Как долго держать соединение с сервером при отсутствии данных
read_timeout 2 minutes

# Закрывать полуоткрытые соединения немедленно
half_closed_clients off

# Ограничение времени жизни idle-соединений к серверам
server_idle_pconn_timeout 30 seconds

Как проверить текущую ситуацию?
Чтобы понять, не исчерпаны ли лимиты, используйте встроенную утилиту squidclient:

Код: Выделить всё

squidclient mgr:filedescriptors

Эта команда покажет, сколько файловых дескрипторов (соединений) сейчас занято и какой лимит установлен.

Важное примечание по дескрипторам
Если вы закрываете соединения из-за ошибок вроде Out of file descriptors, убедитесь, что лимит в самой ОС достаточно высок. В современных системах лимит в 65535 является стандартом.

Для проверки в Linux:
Посмотрите лимит процесса:

Код: Выделить всё

cat /proc/$(pidof squid)/limits | grep "Max open files"

Если он мал (например, 1024), его нужно увеличить через ulimit или настройки systemd сервиса (LimitNOFILE=65535).

Не забудьте применить настройки:
После редактирования конфига выполните команду:

Код: Выделить всё

squid -k reconfigure

Код: Выделить всё

# Отдавать приоритет IPv6 при разрешении имен
dns_v4_first off

# Запретить использование IPv4 для исходящих соединений
tcp_outgoing_address ::

Проверка конфигурации

Код: Выделить всё

squid -k parse

squid.conf

squid.conf

Re: squid.conf

Re: squid.conf

Re: squid.conf

Re: squid.conf

Re: squid.conf

Re: squid.conf

Re: squid.conf

Re: squid.conf

Re: squid.conf