• U1, U2,..., Un là các interface nối vào các mạng cục bộ của người sử dụng.
• V1, V2,..., Vm là các interface nối vào các đường truyền Internet.
• W là một interface liên thông với cache proxy. W không được trùng với bất cứ Ux, Vy nào. W có địa chỉ IP là 192.168.0.1/24.

• Giao thức WCCP, thiết bị Fortigate và Squid hỗ trợ cả proxy cluster, nhưng trong ví dụ này ta chỉ làm 1 proxy cho đơn giản.
• Trong suốt tài liệu này, từ interface bao hàm cả trường hợp VLAN interface, nhưng không bao hàm trường hợp vlink interface, tức interface ảo kết nối giữa các thiết bị ảo (VDOM) trong một thiết bị Fortigate vật lý. Các vlink interface không cho phép truyền WCCP.
• Trong ví dụ này, hai interface W và fxp0 không cùng subnet, ngụ ý rằng firewall có thể liên thông gián tiếp chứ không nhất thiết phải liên thông trực tiếp với proxy.

config system wccp
edit 0
set server-list 172.16.0.2 255.255.255.255
next
end

config system interface
edit W
set wccp enable
next
end

config firewall policy
edit 13
set wccp enable
next
edit 23
set wccp enable
next
end

net.inet.ip.forwarding=1   # Enable IP routing (?)
net.inet.icmp.icmplim=0    # Don't rate limit incoming TCP connections
net.inet.icmp.icmplim_output=0
net.inet.tcp.msl=3000      # Tweak MSL to 30 seconds
net.inet.tcp.recvspace=16384 # Receive TCP window = 16kB
net.inet.tcp.sendspace=16384 # Send TCP window = 16kB
kern.maxfilesperproc=65536 # How many files per process...
kern.maxfiles=262144       # ...and per system?
kern.ipc.maxsockets=131072 # How many sockets?
kern.ipc.somaxconn=1024    # How deep is the incoming queue?
kern.ipc.nmbclusters=32768 # How many mbuf clusters to allow?

gateway_enable=”YES”       # Enable IP routing (?)

ifconfig_gre0=“inet 10.0.0.2/32 10.0.0.1 link0 link2 \
tunnel 172.16.0.2 192.168.0.1 up“
cloned_interfaces=”gre0”

pf_enable=”YES”
pf_rules=”/etc/pf.conf”
pf_flags=””
pflog_enable=”YES”
pflog_logfile=”/var/log/pflog”
pflog_flags=””

rdr on gre0 inet proto tcp from any to any port www->127.0.0.1 port 3128
pass all 
pass in on fxp0 inet proto tcp from any to 127.0.0.1 port 3128 keep state
pass out on fxp0 inet proto tcp from any to any port www keep state

• Luật pass all chỉ là luật tạm, sau này nên bỏ đi và thay thế bằng các luật kiểm soát truy nhập khác chặt chẽ hơn. Đổi hướng không có nghĩa là cho phép, nên luật thứ ba (cho phép đi vào cổng 3128 của loopback interface) là cần thiết. Tuy nhiên luật này chỉ thật sự có tác dụng khi ta loại bỏ luật pass all.
• Ta có thể nạp lại bộ luật lưu thông và khởi động lại firewall pf mà không cần phải reboot bằng câu lệnh

/sbin/pfctl -nf /etc/pf.conf  &&  /etc/rc.d/pf reload

cd /usr/ports/www/squid30
make config                    # cấu hình biên dịch
make                           # biên dịch
make install                   # cài đặt
make clean                     # dọn dẹp thư mục tạm
squid -z                       # khởi tạo cache

http_port 127.0.0.1:3128 transparent
wccp2_router 192.168.0.1

squid_enable=”YES”

• Khi cấu hình biên dịch ta phải chọn WCCP v.2 (bỏ chọn WCCP v.1) và chọn enable pf transparent. Ngoài ra nên chọn enable diskd/aufs, enable delay pools, enable removal policies, những hỗ trợ rất có ích cho việc tinh chỉnh cấu hình Squid sau này.
• Các lệnh để khởi động, dừng và khởi động lại squid mà không cần reboot là
• Code:

• /usr/local/etc/rc.d/squid [start|stop|restart]

• Lệnh để kiểm tra file cấu hình Squid
• Code:

• squid -f /usr/local/etc/squid/squid.conf -k parse

• Vài lệnh thường dùng để kiểm tra rằng cache proxy hoạt động.
• Code:

• netstat -i             # có lưu thông trên các interface hay không?
  tcpdump -n -i gre0     # có lưu thông trên gre0 hay không?
  tcpdump port 80        # có lưu thông web hay không?
  ps -aux | grep squid   # squid có chạy hay không?
  dmesg                  # xem log hệ thống
  pftop                  # xem tình trạng firewall pf

• Vài lệnh thường dùng để kiểm tra rằng cache proxy hoạt động bình thường, không quá tải, không bị nghẽn cổ chai.
• Code:

• squidclient mgr:info   # xem tình trạng cache
  uptime                 # xem tải
  top                    # xem tổng hợp tình trạng hệ thống

• Squid log vào các file /usr/local/squid/logs. Trong các log file, access.log chứa đặc biệt nhiều thông tin giúp cho việc gỡ rối.

cache_replacement_policy       heap LFUDA   # thuật toán cache đĩa
memory_replacement_policy      heap GDSF    # thuật toán cache RAM
cache_swap_low                 90
cache_swap_high                95
maximum_object_size_in_memory  32 KB   # file lớn nhất có thể RAM cache
cache_dir                      aufs /usr/local/squid/cache 30000 16 256
                                       # I/O không đồng bộ và
                                       # cache tối đa 30000 MB
cache_mem                      80 MB   # lượng bộ nhớ bổ sung
memory_pools                   off
maximum_object_size            1000 MB # file lớn nhất có thể cache
quick_abort_min                0 KB     
quick_abort_max                0 KB     
log_icp_queries                off
client_db                      off
buffered_logs                  on
half_closed_client             off

• Các thuật toán heap LFUDA và heap GDSF làm tăng hiệu quả cache lên rất nhiều lần so với thuật toán LRU mặc định.
• Chế độ aufs, HDD I/O không đồng bộ với xử lý đa luồng, cũng làm tăng tốc độ truy xuất HDD lên nhiều lần so với chế độ ufs mặc định; aufs nguyên thủy được lập trình trên Linux nhưng trên các phiên bản mới của FreeBSD chạy cũng rất tốt.
• Một chế độ non-blocking HDD I/O khác, hoàn toàn FreeBSD, là chế độ diskd. Khi dùng chế độ này, nên kết hợp với soft updates (mặc định bật sẵn khi cài đặt, xem tài liệu FreeBSD manual) để đạt được hiệu quả tối đa. Chế độ diskd + soft updates bảo toàn dữ liệu tốt hơn chế độ aufs trước các sự cố mất điện.
• Độ lớn cache_dir bao nhiêu là tối ưu còn tùy thuộc vào kích thước RAM của máy. Cứ 1 GB HDD cache thì cần 32 MB RAM để duy trì cache. (Con số 32 MB là không thống nhất, có người cho rằng 10 MB và có người khác cho rằng 100 MB.) Lượng RAM đòi hỏi bởi Squid không nên lớn hơn 50% (có người đưa ra con số 100%) lượng RAM của máy. Do đó cache_dir nên thỏa
• Code:

• độ lớn cache_dir * 32/1024 + cache_mem + 20 = 0.5 * lượng RAM của máy [MB]

• Trong đó, vế trái chính là lượng RAM yêu cầu cho Squid. Nếu cache_dir làm vế trái lớn hơn kích thước bộ nhớ RAM của máy thì bộ nhớ ảo sẽ bắt đầu swap, khiến cache chậm lại.
• Ngoài ra, độ lớn cache_dir còn tùy thuộc vào dung lượng HDD. Cache_dir không nên lớn hơn 50% dung lượng HDD. (Con số này cũng không thống nhất, một số người cho rằng 60%, số khác 70% và một số khác nữa kể cả tác giả của squid.conf cho rằng 80%.)
• Maximum_object_size (kích thước đối tượng lớn nhất cho phép cache) bao nhiêu là tối ưu tùy thuộc dung lượng cache. Nói chung, khi đã dùng cache_replacement_policy là một dạng heap nào đó, dùng maximum_object_size thật lớn thì sẽ hiệu quả hơn.
• Giữa maximum_object_size_in_memory và dung lượng RAM cũng có mối liên quan tương tự như thế.
• Khi thay đổi giá trị các tham số của cache, phải chờ một thời gian để nội dung cache thay đổi được một cách đáng kể thì mới thấy tác dụng.
• Mặc định, Squid cache vào vào các thư mục con trong /usr/local/squid/cache. Nếu có nhiều HDD, nên dành riêng HDD cho cache để cải thiện năng lực xử lý. Và HDD nên format bằng một file system có khả năng xử lý tốt rất nhiều file nhỏ.

• Điều chỉnh lại bộ luật firwall pf.conf, chỉnh lại cấu hình squid.conf để thêm an ninh.
• Thiết đặt delay_pools để định hình lưu thông Web ngay trong Squid.
• Sử dụng module quản trị squid trong Webmin và vài phần mềm phân tích log khác (chẳng hạn Calamaris) để lấy số liệu thống kê, trên cơ sở đó tiếp tục chỉnh cấu hình.
• Cài đặt một số tiện ích khác để hỗ trợ cho việc quản trị Squid.

Bác pnco quá khen rồi.

Thật ra, có vài điểm mà tôi vẫn chưa hiểu rõ, vẫn cứ thắc mắc hoài. (Tôi là newbie, mới dùng FreeBSD được khoảng 1/2 năm nay thôi.) Nên tôi gửi bài lên để chia xẻ chút kinh nghiệm nhưng cũng đồng thời để mọi người cho ý kiến chỉ giáo thêm:

- Hai tham số net.inet.ip.forwarding=1 trong /etc/sysctl.conf và gateway_enable=”YES” trong /etc/rc.conf có tác dụng như nhau hay là khác nhau? Nếu khác thì khác như thế nào?

- Chế độ diskd (+soft updates) được xem là an toàn hơn aufs. Chúng thật ra hoạt động như thế nào? Khác nhau như thế nào?

- Cứ 1 GB HDD cache thì cần 32 MB RAM để duy trì cache. Con số 32 MB là không thống nhất, có người cho rằng 10 MB và có người khác cho rằng 100 MB. Vậy rút cuộc, bao nhiêu MB mới là đúng?

- Lượng RAM dùng cho squid không nên lớn hơn 50% (hay 100%) lượng RAM của máy. Vì sao 50% (hay 100%) mà không phải là 60% hay 90%?

- FreeBSD tôi chỉ cài đặt phần giao diện text, không cài đặt giao diện đồ họa nào cả. Trong điều kiện đó, nên cài đặt thêm những tiện ích nào để hỗ trợ cho việc quản trị squid?