老管网络日志 | funpower's blog

by funpower，2009年1月5日21：31，funpower#gmail.com，转载请注明出处。水平有限，文中难免有错误，望指正。

前段时间将一个网络中的核心交换机替换为H3C S7506E，与核心相连的四十几个边界交换机都为3COM 4400，在网络切割中出现了一些小问题，做个笔记。

简单拓扑图：

1、速率及全双工、半双工问题

经调试下来，H3C S7506E与3COM 4400都设置为自协商，光纤口也不能起来，有可能是品牌不同引起，最后将两边都强制为1000兆且全双工，光纤口就起来了。

因此切割前一定要先查看所有边界交换机的速率及全双工、半双工设置，进入3COM交换机管理界面后输入：phy eth sum 1:26，查看显示的光纤口的设置。

上图mode显示为1000full，即模式为强制1000兆并且全双工，如果显示为1000<auto>，为1000兆并且自动协商，需改为强制全双式，输入命令：phy eth portmode，然后输入1:26，接下来是确定自动协商为disable还是enable，这里要强制，不协商，所以输入disable，接下来为端口模式，输入1000full，步骤如下图。

这样就把一个边界交换机的光纤口设置为强制1000及全双工了。

然后连接到H3C S7506E核心交换机上，将连接至边界交换机的光纤口也都改成1000兆且全双工，如下：

[center7506]interface gig2/0/1
[center7506-GigabitEthernet2/0/1]speed 1000
[center7506-GigabitEthernet2/0/1]duplex full
[center7506-GigabitEthernet2/0/1]q

2、3COM交换机VLAN1带标记的问题

在调试过程中，出现了一个问题，边界交换机的其它VLAN都能和三层交换通讯且可以出防火墙上互联网，唯独VLAN1不能和三层通讯，最后发现是所有的边界交换机把VLAN1口也打上TAG标记再送给核心三层，如下图：

但H3C默认是不认打标记的VLAN1的帧，所以会产生其它非VLAN1打标记都能和三层通讯。此时有两种解决方法，第一是将所有的边界交换机都改成VLAN1不打标记，第二种方法就是如果核心交换机支持HYBRID模式，就可以将核心交换机的和边界交换机相连的所有光纤口都从TRUNK模式改为HYBRID模式。这里采用了第二种方法：具体如下：

[center7506]interface gig 2/0/1
[center7506-GigabitEthernet2/0/1]undo port link-type trunk
[center7506-GigabitEthernet2/0/1]port link-type hybrid
[center7506-GigabitEthernet2/0/1]port hybrid vlan 1 to 2 4 to 46 51 to 59 tagged
[center7506-GigabitEthernet2/0/1]q

这样就将光口2/0/1改为了hybrid模式，这样就强制该端口的VLAN1也打上tag。就能认边界发过来的带tag的VLAN1的帧了。

by funpower，2009年1月4日23：33，funpower#gmail.com，转载请注明出处。水平有限，文中难免有错误，望指正。

网络说明：
1、RouterOS公网IP：218.50.45.xxx/248
2、企业内网服务器资源IP：192.168.0.0/04
3、远端用户端入后的IP：192.168.5.0/24
4、本例中建立一个pptp用户：用户名user，密码123456

简单网络拓扑图：

首先介绍一下PPTP，字面意思理解就是一种点对点隧道协议，Point to Point Tunneling Protocol，用于在IP网络上建立PPP会话隧道。通常用在出差人员在外想使用公司内部资源，不可以通过拔入公司的PPTP SERVER，会话建立后，计算机就会多出一个VPN IP，如下图，这样就可以像在公司访问企业内部资源一样了。

下面就开始简单介绍如何在RouterOS上建立公司的PPTP Server：

1、利用winbox登陆RouterOS服务器

2、建立远端用户地址池
选择IP—>池，在打开的窗口中点击“+”，然后输入池名称pptp_pool，地址输入192.168.5.1-192.168.5.254，新的池输入none（默认），最后点击“OK”。

3、配置PPTP Server

配置Interfaces（启用PPTP Server）：
点击主菜单的PPP，在弹出的菜单中选择Interfaces选项，然后点击PPTP Server，在enable上打钩，Max MTU和Max MRU都改成1460，其余设置参考下图，完成后点击“OK”。

再选择此窗口的“+”按扭，并选择“PPTP Server”，名称默认，直接点击“OK”，如下图。

这时Interfaces窗口下就多了个name为pptp-in1的项了，选择它点击右键选“启用”，如下图。

配置Profiles（配置PPTP配置文件）：
配置完刚才的Interfaces窗口后，点击窗口的Profiles选项栏，如下图：

再点击“+”，Name设置为pptp-profiles，Local Address设置为公网IP218.50.45.xxx，Remote Address设置为刚才新建的地址池pptp_pool，其他设置参考如下两张图，设置完后点击“OK”。

配置Secrets（配置PPTP登陆用户名密码）：
选择Secrets选项栏后，点击“+”按扭，name输入user，密码输入123456，Service选择pptp，Profile选择上一步建立的pptp_profiles，点击“OK”，这样就建立了一个用户名为user，密码为123456的pptp登陆用户。如下图。

至此，企业服务器端RouterOS上的PPTP Server设置全部完成。

4、在远程移动办公的计算机上建立PPTP拔号连接

打开一个新建链接，点击下一步

选择“连接到我的公共场所的网络”

选择“虚拟专用网络连接”

任意输入一个pptp连接名称

选择“不拔初始连接”

这里填入公司RouterOS Server的公网IP地址：218.50.45.xxx

点击完成，这样桌面上就会产生一个pptp拔号图标，双击后就能连接公司的PPTP Server，连接成功后右下角就会增加一个网络图标，并可以查看获取到的pptp信息，如下图。

by funpower，2008年12月24日23：38，funpower#gmail.com，转载请注明出处。水平有限，文中难免有错误，望指正。

总体说明，网络中有VLAN用户若干，有三条出口。在核心交换机上设置策略路由，使核心交换机根据预先设置好的ACL流的匹配来决定将数据库丢往三个出口的其中一个。简单配置步骤如下：

一、网络说明

设备管理地址：
核心交换机：型号Quidway S8508，IP 192.168.0.254（vlan1）
楼层交换机：型号Quidway 3600-28TP-SI，IP 192.168.0.20 – 192.168.0.28（vlan1）

内网VLAN及IP地址：
192.168.0.0/24，vlan1，服务器及用户A段IP
192.168.1.0/24，vlan2，用户B段IP
192.168.2.0/24，vlan3，用户C段IP
192.168.3.0/24，vlan4，用户D段IP
10.8.0.0/24，vlan5，用户E段IP

三个出口设备内网IP地址：
外网1出口防火墙内网IP地址：192.168.0.11，所在核心交换机端口：inter gig 3/3/1
外网2出口防火墙内网IP地址：192.168.0.12，所在核心交换机端口：inter gig 3/3/2
外网3出口防火墙内网IP地址：192.168.0.13，所在核心交换机端口：inter gig 3/3/3

分布：
楼宇A：所在核心交换机端口：inter gig 6/1/1，存在vlan：vlan1、vlan3、vlan5
楼宇B：所在核心交换机端口：inter gig 6/1/2，存在vlan：vlan1、vlan4、vlan5
楼宇C：所在核心交换机端口：inter gig 6/1/3，存在vlan：vlan1、vlan2、vlan4、vlan5
楼宇D：所在核心交换机端口：inter gig 6/1/4，存在vlan：vlan1、vlan2、vlan3、vlan5
网络中心服务器群：所在核心交换机端口：inter gig 3/1/1，存在vlan：vlan1

网络拓扑图：

二、实现功能

1、当楼宇A、B、C、D中vlan1、vlan2及vlan3的用户电脑访问网络时从外网1也就是核心交换机的gig 3/3/1端口上出去
2、当这些楼宇中的vlan4的用户电脑访问网络时从外网2出口出去
3、当这些楼宇的vlan5中的用户电脑访问网络时从外网3出口出去
4、所有vlan均能访问vlan1的服务器群网段

三、配置步骤

思路：首先建立一个普通的三层网络，在核心交换机上利用默认路由将楼宇交换机来的数据包全部丢到核心的192.168.0.11上也就是外网1出口上，然后在接楼宇端口上利用核心交换机的traffic-redirect功能通过源地址acl流匹配将vlan4和vlan5的数据包丢到192.168.0.12（外网2）或192.168.0.13（外网3）上。

1、在核心上建立三层网络，并配置好各楼宇交换机，这里略过。然后在核心交换机上添加一条默认路由，这样所有的数据包就都从外网1出口出去：

ip route-static 0.0.0.0 0.0.0.0 192.168.0.11 preference 60

2、因为在接楼宇端口上应用traffic-redirect后数据包就直接丢到外网的内网口了，这样vlan4和vlan5访问vlan1的服务器群就有问题了。所以我们先在端口上做acl。

建立acl：

[center] acl number 3001
[center acl number 3001] rule 0 permit ip source 192.168.3.0 0.0.0.255 destination 192.168.0.0 0.0.0.255
[center acl number 3001] rule 1 permit ip source 10.0.8.0 0.0.0.255 destination 192.168.0.0 0.0.0.255

下发楼宇A端口：

[center] inter gig 6/1/1
[center-GigabitEthernet6/1/1] packet-filter inbound ip-group 3001

其他楼宇端口下发方法相同，这里略过。另外，对于是vlan1属性的inter gig 3/1/1，因为端口下只有一个vlan，所以就不需要做策略路由。在下发顺序上也是应该也下发acl规则，然后再下发策略路由。这样就可以先匹配内网的访问需求了。

3、在连接楼宇交换机的核心交换机端口上做策略路由

建立vlan4的acl流匹配规则：

[center] acl number 3002
[center-acl number 3002] rule 0 permit ip source 192.168.3.0 0.0.0.255

建立vlan5的acl流匹配规则：

[center] acl number 3003
[center-acl number 3003] rule 0 permit ip source 10.8.0.0 0.0.0.255

下发针对vlan4的楼宇A端口的下一跳路由：

[center] inter gig 6/1/1
[center-GigabitEthernet6/1/1] traffic-redirect inbound ip-group 3002 next-hop 192.168.0.12

下发针对vlan5的楼宇A端口的下一跳路由：

[center] inter gig 6/1/1
[center-GigabitEthernet6/1/1] traffic-redirect inbound ip-group 3003 next-hop 192.168.0.13

这样配置后，vlan1至vlan3仍然从核心交换机的默认路由192.168.0.11外网1出口出去。如果源地址为192.168.3.0网络地址进入核心交换机的连接楼宇的端口后，针对源地址为192.168.3.0的acl规则3002就被匹配，这样就被路由至192.168.0.12的外网2出口上。同理如果是源地址为10.8.0.0网络的地址流入核心交换机的端口上则根据端口定义好的下一跳路由它将被送往192.168.0.13的外网3网络上。

最后附上核心交换机的完整配置：

#
sysname center
#
radius scheme system
server-type huawei
primary authentication 127.0.0.1 1645
primary accounting 127.0.0.1 1646
user-name-format without-domain

domain system
radius-scheme system
access-limit disable
state active
idle-cut disable
self-service-url disable

domain default enable system
#
local-server nas-ip 127.0.0.1 key huawei
#
Xbar load-single
#
temperature-limit 3 10 65
temperature-limit 4 10 50
temperature-limit 5 10 50
temperature-limit 6 10 65
#
dot1x
#
acl number 3001
rule 0 permit ip source 10.10.6.0 0.0.0.255 destination 192.168.0.0 0.0.0.255
rule 0 permit ip source 192.168.3.0 0.0.0.255 destination 192.168.0.0 0.0.0.255
acl number 3002
rule 0 permit ip source 192.168.3.0 0.0.0.255
acl number 3003
rule 0 permit ip source 10.8.0.0 0.0.0.255
#
vlan 1
description bangong_and_server
#
vlan 2
description user_a
#
vlan 3
description user_b
#
vlan 4
description user_c
#
vlan 5
description user_d
#
interface Vlan-interface1
description bangong_and_server
ip address 192.168.0.254 255.255.255.0
#
interface Vlan-interface2
description user_a
ip address 192.168.1.254 255.255.255.0
#
interface Vlan-interface3
description user_b
ip address 192.168.2.254 255.255.255.0
#
interface Vlan-interface4
description user_c
ip address 192.168.3.254 255.255.255.0
#
interface Vlan-interface5
description user_d
ip address 10.8.0.254 255.255.255.0
#
interface Aux4/0/1
#
interface M-Ethernet4/0/0
#
interface GigabitEthernet3/1/1
description to_server-group
#
interface GigabitEthernet3/1/2
#
interface GigabitEthernet3/1/3
#
interface GigabitEthernet3/1/4
#
interface GigabitEthernet3/2/1
#
interface GigabitEthernet3/2/2
#
interface GigabitEthernet3/2/3
#
interface GigabitEthernet3/2/4
#
interface GigabitEthernet3/3/1
description to_waiwang1
#
interface GigabitEthernet3/3/2
description to_waiwang3
#
interface GigabitEthernet3/3/3
description to_waiwang3
#
interface GigabitEthernet3/3/4
#
interface GigabitEthernet6/1/1
port link-type trunk
port trunk permit vlan all
packet-filter inbound ip-group 3001 rule 0 system-index 1
packet-filter inbound ip-group 3001 rule 1 system-index 2
traffic-redirect inbound ip-group 3002 rule 0 system-index 3 next-hop 192.168.0.12
traffic-redirect inbound ip-group 3003 rule 0 system-index 4 next-hop 192.168.0.13
#
interface GigabitEthernet6/1/2
port link-type trunk
port trunk permit vlan all
packet-filter inbound ip-group 3001 rule 0 system-index 5
packet-filter inbound ip-group 3001 rule 1 system-index 6
traffic-redirect inbound ip-group 3002 rule 0 system-index 7 next-hop 192.168.0.12
traffic-redirect inbound ip-group 3003 rule 0 system-index 8 next-hop 192.168.0.13
#
interface GigabitEthernet6/1/3
port link-type trunk
port trunk permit vlan all
packet-filter inbound ip-group 3001 rule 0 system-index 9
packet-filter inbound ip-group 3001 rule 1 system-index 10
traffic-redirect inbound ip-group 3002 rule 0 system-index 11 next-hop 192.168.0.12
traffic-redirect inbound ip-group 3003 rule 0 system-index 12 next-hop 192.168.0.13
#
interface GigabitEthernet6/1/4
port link-type trunk
port trunk permit vlan all
packet-filter inbound ip-group 3001 rule 0 system-index 14
packet-filter inbound ip-group 3001 rule 1 system-index 15
traffic-redirect inbound ip-group 3002 rule 0 system-index 16 next-hop 192.168.0.12
traffic-redirect inbound ip-group 3003 rule 0 system-index 17 next-hop 192.168.0.13
#
interface GigabitEthernet6/2/1
#
interface GigabitEthernet6/2/2
#
interface GigabitEthernet6/2/3
#
interface GigabitEthernet6/2/4
#
interface GigabitEthernet6/3/1
#
interface GigabitEthernet6/3/2
#
interface GigabitEthernet6/3/3
#
interface GigabitEthernet6/3/4
#
interface NULL0
#
ip route-static 0.0.0.0 0.0.0.0 192.168.0.11 preference 60
#
snmp-agent
snmp-agent local-engineid 80507DBD05757576F5DD55A46877
snmp-agent community write jsisaa
snmp-agent sys-info version all
#
user-interface con 0
user-interface aux 0
user-interface vty 0 4
user privilege level 3
set authentication password simple winsaaa
#
return

最近碰了几台清华得实的防火墙，写个笔记，这里以一台全新的清华得实2800防火墙为例，通过清华得实JAVA管理控制台进行简单配置实现上网功能，没做更多的规则(rule)及地址转换(NAT)等功能。网络信息如下：

防火墙外网口，E0，218.90.x.x/255.255.255.248
防火墙内网口，E1，192.168.200.250/255.255.255.0

简要步骤如下：

1、连接防火墙

防火墙加电，利用防火墙自带的连接线将防火墙后侧的“控制口”与计算机的串口相连，出现NetST login登陆字样后输入用户名密码进入，通过串口连接时的选项如下图：

2、设置防火墙内网口

设置完内网口再添加管理权限，就可以利用清华得实的JAVA控制台来配置防火墙了，在刚进入的界面中进行如下操作：

admin@NetST# set interface e1 192.168.200.250/24

运行完后再使用如下命令查看E1接口上显示的IP是否为192.168.200.250

admin@NetST# show interface

下来添加可管理这台防火墙的IP，操作如下(这里添加一台IP为192.168.200.168的计算机可以管理此防火墙)：

admin@NetST# add nms 192.168.200.168

接下来使用如下命令来查看添加是否成功：

admin@NetST# check nms

如看到如下信息则添加成功。

No.           IP
1             192.168.200.168

接下来使用如下命令使配置生效：

admin@NetST# start fw

3、使用JAVA控制台连接防火墙进行配置

双击安装好的“NetST管理控制台”图标，出现登陆界面，输入用户名密码(默认admin/Admin123)：

进入后，点击左边“防火墙列表”右键选择添加防火墙，输入防火墙的IP，设备版本等信息(设备版本可以通过刚才串口方式输入version来查看)，填完后点击确定就可以进入防火墙的配置界面了，如下图：

4、网卡接口IP配置

内网接口E1的IP已经配置好，接下来通过控制台对外网接口E0，点击左边的“网络配置”->“网卡配置”，如下图：

5、配置防火墙的时间表规则

点击左边栏的“系统信息”->“工作日设置”，创建时要记住设置的“索引ID”。后面的时间段你可以根据客户的要求进行设置，如下图：

6、设置安全选项

点击左边的“访问控制”->“安全选项”，进行如下设置：

7、设置NAT规则

点击左边的“访问控制”->“NAT规则”，进行设置，这里要注意图中的最后一项“时间表索引”一定要和刚才新建的时间表索引中的“索引ID”相一致，如下图：

8、设置过滤(rule)规则

点击左边的“访问控制”->“过滤规则”，如下图：

9、设置外网网关和DNS

点击左边的“网络配置”->“网关-DNS配置”，添加网关，再点击DNS选项，将DNS填入，这里为221.228.255.1，网关设置如下图：

至此，防火墙已全部配置完成，当然这里只是能对内网用户提供上网功能，还没有使用防火墙的其它功能，如流量限制、地址端口映射等。

注意，文字难免有错误之处，仅供参考，见谅！

管建丰写于 2008年09月20日 01:21，email：funpower#gmail.com

在windows2000上安装sql server 2000时出现错误提示：“以前的某个程序安装已在安装计算机上创建挂起的文件操作，运行安装程序之前必须重新启动计算机。”，重启计算机也一直出现这个提示，如下图：

网上搜索资料，发现是系统中有残留程序导致不能正常安装，需将注册表中的相关键值清除并删除临时文件夹中的文件，操作如下：

1、删除注册表键值： 将注册表中HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSession Manager下的PendingFileRenameOperations键值删除，如下图：

2、删除临时文件夹中文件： 删除c:Documents and SettingsAdministratorLocal SettingsTemp目录下的所有文件，如下图：

重启电脑后就可以正常安装sql server2000了。

一直想将以前的文章归档下，今天终于找了个插件安装了一下，wordpress下常见的插件有两种，SRG Clean Archives和Extended Live Archive，安装上Extended Live Archive相对复杂一些，所以就选择了SRG Clean Archives，效果如下：

安装步骤如下：

1、 下载SRG Clean Archives，并上传至服务器的/wp-content/plugins/目录下

2、启用插件，进入后台管理的Plugins目录，点击Deavtivate雇用。

3、新建归档页面，进入后台管理的Manage ->  Pages，然后新建一页面，页面名称随便取，如“文章归档面”、“Archives”等，然后选择文章的“CODE”编辑方式，输入<!–srg_clean_archives–>后保存即可，如下图：

 由于Windows和FreeBSD下换行符号的不同，在windows中使用文本编辑器如UltraEdit编辑后上传至FreeBSD服务器，打开后，每行的结尾会出现“^M”，如下图：

这里，使用UltraEdit的“转换”功能就能将文本从DOS格式转换为UNIX格式，点击菜单栏[文件] -> [转换] -> [DOS转UNIX]即可，如下图。

最近在用一台老机器安装RouterOS做测试，效果不错，在管理及流量控制等方面比BSD要好的多，如是你是一个中型的单位企业，使用一台普通的P4+IDE硬盘接口的PC安装一个RouterOS，应该能完全满足上网的需求了。以下为安装及配置的简要过程：

一、下载及安装RouterOS

从网络上下载后将ISO结尾的文件镜像刻盘，然后开始安装，将光盘放入，直到出现如下画面：

依次键入“a”（选择全部安装），然后键入“i”（开始安装），这时会跳出第一个对话框：是否删除硬盘里所有数据，选“y”，接着跳出第二个对话框：是否保存原有数据，选“n”，接着就开始安装了，半分钟后，出现如下画面后按回车重启机器，这样RouterOS就完成安装了。

二、 配置内网网卡ip

先配置内网网卡地址，然后使用winbox远程配置。

重启后使用默认用户名admin密码为空登陆系统，如下图：

登陆后使用setup命令配置网卡地址，将出现如下画面：

这里选择“a”选项（配置ip地址和网关），出现下一对话框后再选择“a”，然后选择网卡，默认为“ether1”，直接回车，最后输入内网网卡地址和子网掩码，如下图。

输入完ip回车后又会出现两次对话框要求输入ip和网关，直接按两次“x”键即可退出。因为RouterOS命令是直接生效的，所以下来就可以用一台windows机器加上winbox软件来远程安装配置了。

三、配置外网网卡地址

RourterOS可以使用winbox来实现远程的管理与维护，winbox登陆界面如下：

连接后winbox的主界面如下：

接下来开始配置外网网卡ip，依次点击IP -> Addresses，如下图：

在弹出的对话框中点击“+”按扭，然后在New Address对话框中输入外网IP，这里只填Address项，为58.241.2.156/29，点击“ok”，如下图。

四、配置路由与NAT

1）路由配置

依次选择IP -> Routes，点击“+”按扭，弹出New Route对话框，Destination为0.0.0.0/0，gateway为外网网关，这里为58.241.2.153，如下图。

2）配置NAT

依次选择IP -> Firewall -> NAT，在出现的对话框中选择General选项卡，Chain选项中选择srcnat，再选择Action选项卡，Action选项中选择masquerade，点击“ok”，如下图。

至此，内网用户设置6段地址后就可以上网了，接下来做一些安全及流量的配置：

五、添加防火墙规则

点击New Terminal， 打入“/ ip firewall filter”命令，然后复制防火墙文件中的规则列表，再进入New Terminal窗口，点击右键选择“Paste”，如下图。

这样，在IP -> Firewall -> Filter Rules中可以看到刚才导入的防火墙规则了，如下图。

 六、对单个IP限速

选择Queues -> Simple Queues，点击“+”按扭，选择General，Name中填入任一名称，在Dst. Address中填入想限速的IP，如192.168.6.1/32，然后将Max Limit  (tx/rx)打钩，然后在后面的框中输入“1M/512K”，这里的1M为下载速度（tx），512K为上传速度（rx） ，点击“ok”，如下图。

小结：因为RouterOS使用的是Linux的内核，所以在大网络环境或者大吞吐量时的表现应该表现不凡，这方面linux应该说比BSD要更出现。在安装、配置、管理等方面也比BSD要更简单，因为它使用了窗口式管理。如果在SCSI硬盘的支持上RouterOS能更好的话，相信它的性能会更强。

刚接触RouterOS，文中难免有错误。

funpower  2008-03-05   [email protected]

锐捷交换机的光电复用口 的转换，前阵子是把光口改成了电口来使用（默认开启的是电口），现在这交换机上有三个口又要改成用当电口来使用，光口改电口是使用med fiber参数来调整，通过med ?参数查看除fiber以外的值，发现只有copper和fiber，很明显电口的值就是copper，如下图：

这样，通过使用med copper参数就可以将光口改为电口了，这里我是修改gig 0/2-4口，步骤如下：

shixunlou5750#conf
Enter configuration commands, one per line. End with CNTL/Z.
shixunlou5750(config)#int range gig 0/2-4
shixunlou5750(config-if-range)#med copper
shixunlou5750(config-if-range)#end
shixunlou5750#wr

Building configuration…

[OK]
shixunlou5750#

架设一台代理，提供对外网用户的代理请求，端口仍然为3128，加入Squid认证功能。这样可以保证只提供给某些你信任的用户该服务。架设过程和架设对内网用户提供服务的过程基本相同，只是在编译安装squid时和squid的配置文件squid.conf有些不同。这次架设的服务器将保留对内网用户提供squid服务（内网用户不增加认证功能限制）的同时再增加对外网用户提供squid+认证功能。版本为FreeBSD6.2-RELEASE+Squid2.6-STABLE12。

服务器及网络信息：

外网网卡：em0；外网ip：221.6.117.50/255.255.255.240
内网网卡：em1；内网ip：128.0.0.4/255.255.252.0

架设过程：

一、FreeBSD的安装

1、最小化安装FreeBSD6.2RELEASE

2、配置内核：

jiulongproxynew# cd /usr/src/sys/i386/conf
jiulongproxynew# cp GENERIC funpower
jiulongproxynew# ee funpower

修改内核配置文件，将不需要的选项（如网卡）之类的前面打#，然后按esc并按a保存退出，再执行：

jiulongproxynew# /usr/sbin/config funpower
jiulongproxynew# cd ../compile/funpower
jiulongproxynew# make cleandepend
jiulongproxynew# make depend
jiulongproxynew# make
jiulongproxynew# make install

3、配置/etc/rc.conf：

hostname="jiulongproxynew.jscpu.com"
defaultrouter="221.6.117.97"
ifconfig_em0="inet 221.6.117.50 netmask 255.255.255.240"
ifconfig_em1="inet 128.0.0.4 netmask 255.255.252.0"
sendmail_enable="NONE"
inetd_enable="YES"
linux_enable="YES"
sshd_enable="YES"
usbd_enable="YES"

4、配置resolv.conf：

jiulongproxynew# cd /etc
jiulongproxynew# ee resolv.conf

添加如下两行：

nameserver 221.6.96.177
nameserver 221.6.96.178

5、重启服务器

二、squid的安装

1、安装perl以支持squid

jiulongproxynew# cd /usr/ports/lang/perl5
jiulongproxynew# make install

2、安装Apache，squid认证用户设置密码时使用apache的密码管理程序htpasswd

jiulongproxynew# cd /usr/ports/www/apache13
jiulongproxynew# make install

3、下载并安装squid

从http://www.squid-cache.org/Versions/v2/2.6/下载squid-2.6.STABLE16.tar.gz并通过FTP放置服务器目录中/home/funpower，然后开始解压安装：

jiulongproxynew# cd /home/funpower
jiulongproxynew# tar zxvf squid-2.6.STABLE16.tar.gz
jiulongproxynew# cd squid-2.6.STABLE16
jiulongproxynew# ./configure –prefix=/usr/local/squid –enable-auth=”basic” –enable-basic-auth-helpers=”NCSA”
jiulongproxynew# make
jiulongproxynew# make install

3、配置squid和创建认证用户及密码

将ncsa_auth拷贝至可执行目录/usr/sbin

jiulongproxynew# cd /home/funpower/squid-2.6.STABLE16
jiulongproxynew# cd helpers/basic_auth/NCSA/
jiulongproxynew# cp ncsa_auth /usr/sbin

创建squid认证用户www

jiulongproxynew# /usr/local/bin/htpasswd -c /usr/local/squid/etc/password www
New password:
Re-type new password:
Adding password for user www

输入www两遍密码后出现上面的信息就说明用户创建成功。

4、配置squid.conf

jiulongproxynew# cd /usr/local/squid/etc
jiulongproxynew# ee squid.conf

内容如下：

auth_param basic program /usr/sbin/ncsa_auth /usr/local/squid/etc/password
auth_param basic children 5
auth_param basic realm Please enter the user name and password
auth_param basic credentialsttl 2 hours

acl web src 128.0.0.0/22 //内网ip段定义
acl all src 0.0.0.0/0.0.0.0 //外网ip段定义
acl all1 proxy_auth REQUIRED //定义all1字段为需要认证
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl to_localhost dst 127.0.0.0/8
acl SSL_ports port 443
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 # https
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl CONNECT method CONNECT

#deny bbs
acl bbs url_regex -i bbs
http_access deny bbs

#deny baidu post
acl baidupost dstdom_regex post.baidu.com
acl baidupost2 dstdomain post.baidu.com
http_access deny baidupost
http_access deny baidupost2

http_access allow manager localhost
http_access deny manager
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow web //定义内网ip段为允许通过
http_access allow all all1 //定义外网ip段为允许通过，但需要认证，因为加了all1字段
icp_access allow all
http_port 3128
http_port 221.6.117.x:3128 //增加一个对本机外网地址的3128端口
hierarchy_stoplist cgi-bin ?
acl QUERY urlpath_regex cgi-bin ?
cache deny QUERY
cache_mem 64 MB
cache_dir ufs /usr/local/squid/cache 7000 16 256
access_log /dev/null
cache_log /dev/null
cache_store_log none
refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern . 0 20% 4320
acl apache rep_header Server ^Apache
broken_vary_encoding allow apache
cache_mgr [email protected]
cache_effective_user squid
cache_effective_group squid
visible_hostname jiulongproxynew.jscpu.com

4、创建用户及缓存等：

jiulongproxynew# pw groupadd squid
jiulongproxynew# pw adduser squid -g squid -s /nonexistent
jiulongproxynew# mkdir /usr/local/squid/cache
jiulongproxynew# chown -R squid /usr/local/squid/cache
jiulongproxynew# chgrp -R squid /usr/local/squid/cache
jiulongproxynew# chown -R squid /usr/local/squid/var/logs
jiulongproxynew# chgrp -R squid /usr/local/squid/var/logs
jiulongproxynew# /usr/local/squid/sbin/squid -z
jiulongproxynew# cd /usr/local/squid/sbin
jiulongproxynew# ./squid
jiulongproxynew# ee /etc/rc.local

加入如下一行:
/usr/local/squid/sbin/squid
保存退出。

5、重启服务器

三、客户端的设置及上网演示

1、内网用户

内网用户因为没有增加squid代理的认证功能，所以上网设置不变，只需在IE浏览器中设置服务器内网网卡地址128.0.0.4及3128端口即可。如下图：

2、外网（家庭）用户

外网用户，一般是家中，在使用该代理，需将IE上的代理服务器地址设置为该服务器的外网网卡地址221.6.117.50，端口仍为3128。如下图：

设置完后，在IE上打开任一网址，即会跳出一认证对话框，如下图，输入刚才创建的www用户及密码，若能访问该网站，及该服务器架设正确。