2. 用戶訪問控制列表的設(shè)置

1#將AD中的internet全局組映射到ProxyUsers
2acl ProxyUsers external NT_global_group internet
3#將AD中的nolimitedinternet全局組映射到noLimited
4acl NoLimited external NT_global_group nolimitedinternet
5#此句保證了所有用戶必須經(jīng)過身份驗(yàn)證
6acl AuthenticatedUsers proxy_auth REQUIRED
7#定義不允許下載的文件類型
8acl InvalidFiles urlpath_regex -i \.mp3$ \.avi$ \.rmvb$ \.mpg$ \.rm$ \.wma$ \.wmv$ \.scr$ \.exe$ \.ocx$ \.dll$ \.com$
9#定義不允許訪問的域名及IP地址，其存放于文件“denyDomain.list”與“denyIP.list”中
10acl denyDomain dstdomain "/etc/squid/denyDomain.list"
11acl denyIP dst "/etc/squid/denyIP.list"
12
13#允許NoLimited用戶訪問任意Internet資源
14http_access allow AuthenticatedUsers NoLimited
15http_access deny denyDomain
16http_access deny denyIP
17http_access deny InvalidFiles
18
19#禁止用戶訪問denyDomain.list以及denyIP.list中的域名及IP地址，并禁止下載InvalidFiles指定的文件類型
20http_access allow AuthenticatedUsers ProxyUsers
21acl all src 0.0.0.0/0.0.0.0
22acl manager proto cache_object
23acl localhost src 127.0.0.1/255.255.255.255
24acl to_localhost dst 127.0.0.0/8
25acl SSL_ports port 443
26acl Safe_ports port 80 # http
27acl Safe_ports port 21 # ftp
28acl Safe_ports port 443 # https
29acl Safe_ports port 70 # gopher
30acl Safe_ports port 210 # wais
31acl Safe_ports port 1025-65535 # unregistered ports
32acl Safe_ports port 280 # http-mgmt
33acl Safe_ports port 488 # gss-http
34acl Safe_ports port 591 # filemaker
35acl Safe_ports port 777 # multiling http
36acl CONNECT method CONNECT

　　請注意此配置中的兩條語句的位置。第一條“http_access allow AuthenticatedUsers NoLimited”，第二條“http_access allow AuthenticatedUsers ProxyUsers”，此兩條語句都是將權(quán)限應(yīng)用到用戶組，但不同的是位置，在Squid的ACL配置語句中，先后順序決定了其權(quán)限的不同。大家一定要多注意，細(xì)細(xì)去揣摩。

VIII. 更改winbind管道的權(quán)限

　　一定不能忘記這一點(diǎn)，沒有winbind管道的足夠的權(quán)限，系統(tǒng)是沒辦法對用戶的身份進(jìn)行驗(yàn)證的。其命令如下：

[root@proxy ~]# chown –R root:squid /var/cache/samba/winbindd_privileged
[root@proxy ~]# chmod –R 750 /var/cache/samba/winbindd_privileged

IX. 重啟所有相關(guān)服務(wù)

　　命令如下：

[root@proxy ~]# service smb restart
[root@proxy ~]# service winbind restart
[root@proxy ~]# service squid restart

　　到此為止，我們已經(jīng)成功地完成了squid代理服務(wù)器的配置。接下來，我們還需要給予IT管理員查看并監(jiān)督用戶訪問Internet行為的能力。

X. Sarg的安裝與配置

　　為了簡單起見，我們直接下載二進(jìn)制的安裝包，執(zhí)行下列命令獲得二進(jìn)制安裝包：

[root@proxy ~]# http://dag.wieers.com/rpm/packages/sarg/sarg-2.2.1-1.el5.rf.i386.rpm

　　安裝當(dāng)然更簡單了啦，沒什么好說的，執(zhí)行下列命令即可：

[root@proxy ~]# rpm –Uvh sarg-2.2.1-1.el5.rf.i386.rpm

　　安裝完后，重新啟動一下Apache服務(wù)器當(dāng)然是再好不過了。