**Cette page a été importée automatiquement de notre ancien wiki mais n'a pas encore été révisée.**

# Howto proxy avec Squid

On peut donc installer Squid pour faire office de proxy HTTP/HTTPS.
Voici un exemple de configuration :

~~~
# System
##########

# Squid normally listens to port 3128
#<http_port> 3128
<http_port> 3128 transparent

# By default, ICP queries are disabled
#icp_port 0

# Boost max FD (TODO : need ulimit ?)
max_filedescriptors 4096

# Logs
#emulate_<httpd_log> on
logformat combined   %>a %[ui %[un [%tl] "%rm %ru HTTP/%rv" %>Hs %<st "%{Referer}>h" "%{User-Agent}>h" %Ss:%Sh
access_log /var/log/squid3/access.log combined
#cache_log /var/log/squid3/cache.log
cache_store_log /var/log/squid3/store.log
#debug_options ALL,3

visible_hostname proxy.example.com

# Hint : custom error pages
# cp -r fr custom
# <http://www.squid-cache.org/Doc/config/deny_info/>
error_directory /usr/share/squid3/errors/custom
email_err_data on
#err_html_text

cache_mgr proxy@example.com

# Cache
#############

# Don't cache errors
negative_ttl 0
acl badreq http_status 400
cache deny badreq

# Gestion du cache
refresh_pattern ^ftp:           1440    20%     10080
refresh_pattern ^gopher:        1440    0%      1440
refresh_pattern .               0       20%     4320

hierarchy_stoplist cgi-bin ?
acl QUERY urlpath_regex cgi-bin \?
cache deny QUERY

coredump_dir /var/spool/squid3
cache_dir ufs /var/spool/squid3 800 16 256
cache_mem 128 MB
maximum_object_size_in_memory 512 KB
maximum_object_size 64 MB

# ACL
##############
# <http://wiki.squid-cache.org/SquidFaq/SquidAcl>

#acl all src 0.0.0.0/0
acl localhost src 127.0.0.0/8
acl localnet src 192.168.0.0/16

acl SSL_ports port 443

acl Safe_ports port 80
acl Safe_ports port 443

acl purge method PURGE
acl CONNECT method CONNECT

acl manager proto cache_object

acl ExceptionIpList src "/etc/squid3/exceptioniplist.conf"
acl ExceptionSiteList dstdom_regex "/etc/squid3/exceptionsitelist.conf"
acl BannedDestination dstdom_regex "/etc/squid3/banneddestination.conf"
acl BannedURL urlpath_regex "/etc/squid3/bannedURL.conf"

acl allowed_sites dstdomain .squid-cache.org
acl allowed_sites dstdomain .evolix.net

acl nocache_sites dstdomain .evolix.fr
acl nocache_sites dstdomain .evolix.com

# Deny requests to certain unsafe ports
<http_access> deny !Safe_ports

# Deny CONNECT to other than secure SSL ports
<http_access> deny CONNECT !SSL_ports

# admin
<http_access> allow manager localhost
<http_access> deny manager
<http_access> allow purge localhost
<http_access> deny purge

<http_access> allow allowed_sites

cache deny nocache_sites
<http_access> allow nocache_sites

<http_access> allow ExceptionSiteList
<http_access> deny BannedDestination
<http_access> deny BannedURL
<http_access> deny ExceptionIpList
<http_access> allow localnet

<http_access> deny all

### # rate limiting
### ####################
### # <http://www.squid-cache.org/Doc/config/delay_parameters/>
### # <http://www.squid-cache.org/Doc/config/delay_access/>
### 
### delay_pools 3
### 
### # Debit non limite
### delay_class 1 2
### delay_parameters 1 -1/-1 -1/-1
### 
### # Debit limite a 8000 bytes/s, soit 64 Kbps par poste
### delay_class 2 2
### delay_parameters 2 -1/-1 8000/8000
### 
### # Debit global limite a 120000 bytes/s, soit 960 Kbit/s
### # Debit postes limite a  40000 bytes/s, soit 320 Kbit/s
### delay_class 3 2
### delay_parameters 3 120000/120000 40000/40000
### 
### #delay_access 1 deny all
### #delay_access 2 deny all
### #delay_access 3 allow localnet
~~~

Créer les backlist et whitelist (vides) :

~~~
# cd /etc/squid3/
# for i in banneddestination.conf bannedURL.conf exceptioniplist.conf exceptionsitelist.conf; do touch $i; done
~~~

banneddestination.conf : Liste de sites bloqués, vous pouvez utiliser votre propre liste noire ou en récupérer une communautaire ou commerciale. Exemple :

~~~
^(.*\.)?007guard.com$
^(.*\.)?008i.com$
^(.*\.)?008k.com$
~~~

bannedURL.conf : Liste d'URLs bloqués, toute partie après le nom de domaine.
exceptioniplist.conf : Liste d'adresses IP à passer en mode blacklist. Par défaut on est en mode whitelist.
exceptionsitelist.conf : Sites autorisés pour le mode whitelist.

Configurer les pages d'erreurs en copiant le modèle Français. (Et éventuellement faire des modifications).

~~~
# cd /usr/share/squid3/errors
# cp -r fr custom
~~~


## Blacklists

<http://dsi.ut-capitole.fr/blacklists/>
<http://www.squidblacklist.org/> (payant)
<http://freecode.com/projects/sleezeball>
<http://www.urlfilterdb.com/> (payant)
<http://www.stearns.org/noads/> (obsolète)

## Ne pas cacher

Voici un exemple d'entête pour forcer un proxy à ne jamais cacher :

~~~
Cache-Control: max-age=0, no-cache, no-store, must-revalidate
Pragma: no-cache
Expires: Thu, 01 Jan 1970 00:00:42 GMT
~~~

Sur un serveur web Apache, on peut ainsi mettre en place un fichier .htaccess du type :

~~~
<Files foo.bar>
FileETag None
<ifModule mod_headers.c>
Header unset ETag
Header set Cache-Control "max-age=0, no-cache, no-store, must-revalidate"
Header set Pragma "no-cache"
Header set Expires "Thu, 01 Jan 1970 00:00:42 GMT"
</ifModule>
</Files>
~~~

En PHP, on pourra ainsi écrire le code suivant :

~~~
header("Pragma: no-cache");
header("Cache-Control: max-age=0, no-cache, no-store, must-revalidate");
header("Expires: Thu, 01 Jan 1970 00:00:42 GMT");
~~~