|
| |
| Sun Java System Web Proxy Server 4.0.1 管理指南 | |
第 7 章
配置服务器首选项本章介绍 Proxy Server 的系统设置以及如何配置这些设置。系统设置将影响整个 Proxy Server。这些设置包括代理服务器使用的用户帐户及侦听的端口等选项。
本章包括以下各节：
启动 Proxy Server本节介绍如何在不同平台上启动 Proxy Server。服务器在安装后即会运行，侦听并接受请求。
从管理界面启动 Proxy Server
"Start/Stop Server" 页面会显示服务器的状态。
在 UNIX 或 Linux 上启动 Proxy Server
在 Windows 上启动 Proxy Server
启动启用了 SSL 的服务器
要启动启用了 SSL 的服务器，需要提供口令。尽管可以通过将口令以纯文本格式存储在某个文件中来自动启动启用了 SSL 的服务器，但建议不要使用这种方法。
注意
将启用了 SSL 的服务器的口令以纯文本格式存放在服务器启动脚本中会带来很大的安全风险。任何可以访问该文件的用户都有权访问启用了 SSL 的服务器的口令。在将启用了 SSL 的服务器的口令保存为纯文本格式之前，请考虑可能带来的安全风险。
服务器的启动脚本、密钥对文件和密钥口令应归超级用户所有（如果服务器是由非超级用户安装的，则应属于该用户帐户），并且只有所有者具有读/写权限。
在 UNIX 或 Linux 上自动启动启用了 SSL 的服务器
停止 Proxy Server本节介绍在不同平台上停止 Proxy Server 的各种方法。
从管理界面停止 Proxy Server
"Start/Stop Server" 页面会显示服务器的状态。
在 UNIX 或 Linux 上停止 Proxy Server
关闭服务器后，服务器可能需要几秒钟时间完成关闭过程并将状态更改为 "Off"。
如果系统崩溃或脱机，服务器将停止，正在处理的任何请求都将丢失。
在 Windows 上停止 Proxy Server
重新启动 Proxy Server本节介绍在不同平台上重新启动 Proxy Server 的各种方法。
重新启动服务器（UNIX 或 Linux）
您可以使用以下方法之一启动服务器：
由于安装脚本无法编辑 /etc/rc.local 或 /etc/inittab 文件，因此必须使用文本编辑器对其进行编辑。如果不知道如何编辑这些文件，请向系统管理员咨询或参见系统文档。
从命令行重新启动 Proxy Server
使用 inittab 重新启动服务器
在 /etc/inittab 文件的一行中添加以下文本：
prxy:23:respawn:server_root/proxy-serverid/start -start -i
其中 server_root 是服务器的安装目录，proxy-serverid 是服务器的目录。
-i 选项可以防止将服务器置于后台进程。
停止服务器之前必须删除此行。
使用系统 RC 脚本重新启动服务器
如果使用 /etc/rc.local 或您系统的等效文件，请将下面一行文本添加到 /etc/rc.local 文件中：
server_root/proxy-serverid/start
将 server_root 替换为服务器的安装目录。
重新启动服务器 (Windows)
可以使用以下方法重新启动服务器
在 Windows 上重新启动服务器
设置终止超时
服务器停止后，将不再接收新的连接，而只是等待所有未完成的连接完成。服务器超时前的等待时间可以在 magnus.conf 文件中配置。默认情况下，该时间设置为 30 秒。要更改此值，将下面一行文本添加到 magnus.conf 文件中：
TerminateTimeout seconds
其中 seconds 代表服务器在超时之前等待的秒数。
配置此值的优点是服务器将等待更长时间以便连接完成。但是，由于服务器通常从非响应的客户机打开连接，因此增加终止超时可能会增加服务器关闭所用的时间。
查看服务器设置在安装过程中会为 Proxy Server 配置一些设置。通过 Server Manager 可以查看上述以及其他系统设置。"View Server Settings" 页面将列出 Proxy Server 的所有设置。如果尚未保存和应用更改，此页面还会通知此信息。在此情况下，需要保存更改并重新启动 Proxy Server 才能开始使用新配置。
有两种类型的设置：技术和内容。服务器的内容设置取决于如何配置服务器。通常，代理服务器会列出所有模板、URL 映射和访问控制。对于单个模板，此页面将列出模板名称、模板的正则表达式和模板设置，如高速缓存设置。
Proxy Server 的技术设置来自 magnus.conf 文件和 server.xml 文件，内容设置来自 obj.conf 文件。上述文件位于服务器根目录下名为 proxy-id/config 的子目录中。
查看 Proxy Server 的设置
查看和恢复配置文件的备份可以查看或恢复配置文件（server.xml、magnus.conf、obj.conf、mime types、server.xml.clfilter、magnus.conf.clfilter、obj.conf.clfilter、socks5.conf、bu.conf、icp.conf、parray.pat、parent.pat、proxy-id.acl）的备份副本。当前配置出现问题时，可利用此功能恢复到以前的配置。例如，如果对代理服务器的配置进行了若干更改，之后代理服务器并未按预想的方式工作（例如，您拒绝了对某个 URL 的访问，但代理服务器却仍为该请求提供服务），则可返回以前的配置，然后重新更改配置。
查看以前的配置
恢复配置文件的备份副本
还可以设置 "Restore Configuration" 页面上显示的备份数量。
设置显示的备份数量
配置系统首选项"Configure System Preferences" 页面允许设置或更改服务器的基本特征。通过此页面可以更改服务器用户、进程数、侦听队列大小、代理服务器超时以及代理服务器的中断超时。还可以启用 DNS、ICP、代理服务器阵列和父阵列。
修改系统首选项
上述选项将在以下各节介绍。
Server User
"Server User" 是代理服务器使用的用户帐户。作为代理服务器用户输入的用户名应该已经存在，并且是标准用户帐户。服务器启动时，其运行情况与由此用户启动一样。
如果要避免新建用户帐户，可以选择由在同一台主机上运行的其他服务器使用的帐户。如果运行的是 UNIX 代理服务器，则可选择 nobody 用户。但是，对于某些系统，nobody 用户可以拥有文件却不能运行程序，因而不适合用作代理服务器用户名。
在 UNIX 系统上，代理服务器产生的所有进程都分配给该服务器用户帐户。
Processes
"Processes" 字段显示服务请求可用的进程数量。默认情况下，该字段值为 1。除非需要，否则请勿修改此设置。
Listen Queue Size
"Listen Queue Size" 字段指定侦听套接字上的最大暂挂连接数。
DNS
“域名服务”(DNS) 将 IP 地址恢复为主机名。Web 浏览器与服务器连接时，服务器获取的只是客户机的 IP 地址，例如 198.18.251.30。服务器没有获取主机名信息，如 www.example.com。对于访问日志记录和访问控制，服务器可将 IP 地址解析为主机名。在 "Configure System Preferences" 页面中，可以指定服务器是否将 IP 地址解析为主机名。
ICP
“Internet 高速缓存协议”(ICP) 是一种消息传递协议，该协议可以使高速缓存彼此通信。高速缓存可以就是否存在高速缓存的 URL 及这些 URL 的最佳检索位置，使用 ICP 发送查询和回复。可以在 "Configure System Preferences" 页面启用 ICP。有关 ICP 的更多信息，参见通过 ICP 邻域进行路由选择。
Proxy Array
代理服务器阵列是作为一个高速缓存使用的多个代理服务器的阵列，其目的是实现分布式高速缓存。如果在 "Configure System Preferences" 页面启用了 "Proxy Array" 选项，则意味着配置的代理服务器是某代理服务器阵列的成员，而且该阵列中的所有其他成员都是其同级服务器。有关使用代理服务器阵列的更多信息，参见通过代理服务器阵列进行路由选择。
Parent Array
父阵列是代理服务器或代理服务器阵列路由经过的代理服务器阵列。因此，如果代理服务器访问远程服务器之前路由经过上游代理服务器阵列，则此上游代理服务器阵列将被视为父阵列。有关将父阵列用于代理服务器的更多信息，参见通过父代理服务器阵列进行路由选择。
Proxy Timeout
代理超时是代理服务器因超时终止请求之前，来自远程服务器的相邻网络数据包间允许的最大时间间隔。代理超时的默认值为 5 分钟。
调节 Proxy Server"Tune Proxy" 页面允许通过更改默认参数调节代理服务器的性能。
更改默认调节参数
添加和编辑侦听套接字在服务器能够处理请求之前，必须先通过侦听套接字接受请求，然后将请求定向到正确的服务器。安装 Proxy Server 时，将自动创建一个侦听套接字 ls1。此侦听套接字使用 IP 地址 0.0.0.0 和在安装过程中指定为代理服务器端口号的端口号。不能删除默认的侦听套接字。
使用 Server Manager 的 "Add Listen Socket" 和 "Edit Listen Sockets" 页面添加、编辑和删除侦听套接字。
本节包括以下主题：
添加侦听套接字
添加侦听套接字
- 访问 Server Manager 并单击 "Preferences" 选项卡。
- 单击 "Add Listen Socket" 链接。将显示 "Add Listen Socket" 页面。
- 指定侦听套接字的内部名称。创建侦听套接字后不能更改此名称。
- 指定侦听套接字的 IP 地址。IP 地址可以用点分对或 IPv6 记法表示，也可以是 0.0.0.0、any、ANY 或 INADDR_ANY（所有 IP 地址）。
- 指定要在其上创建侦听套接字的端口号。有效值为 1 至 65535 之间的值。对于 UNIX，创建在端口 1 至 1024 进行侦听的套接字需要超级用户权限。请将 SSL 侦听套接字配置为侦听端口 443。
- 指定要在由服务器发送至客户机的任一 URL 的主机名部分中使用的服务器名称。这会影响服务器自动生成的 URL，但不会影响存储在服务器中的目录和文件的 URL。如果服务器使用别名，则此名称应为别名。
- 从下拉式列表中指定为侦听套接字启用还是禁用安全性。
- 单击 "OK"。
- 单击 "Restart Required"。将显示 "Apply Changes" 页面。
- 单击 "Restart Proxy Server" 按钮以应用更改。
编辑侦听套接字
编辑侦听套接字
如果禁用安全性，则只显示以下参数：
如果启用安全性，将显示以下参数：
- Security。启用或禁用选定侦听套接字的安全性。
- Server Certificate Name。从下拉式列表中选择已安装的证书，以用于此侦听套接字。
- Client Authentication。指定在此侦听套接字上是否需要客户机验证。默认情况下，此项是 "Optional"。
- SSL Version 2。启用或禁用 SSL 版本 2。默认情况下会禁用此项。
- SSL Version 2 Ciphers。列出此套件中的所有加密算法。通过选中或取消选中相应的框为所编辑的侦听套接字选择要启用的加密算法。默认版本将处于取消选中状态。
- SSL Version 3。启用或禁用 SSL 版本 3。默认情况下会启用此项。
- TLS。启用或禁用 TLS（即用于加密通信的“传输层安全性”协议）。默认情况下会启用此项。
- TLS Rollback。启用或禁用 TLS 回滚。请注意，禁用 TLS 回滚将使连接容易遭到版本回滚攻击。默认情况下会启用此项。
- SSL Version 3 and TLS Ciphers。列出此套件中的所有加密算法。通过选中或取消选中相应的框为所编辑的侦听套接字选择要启用的加密算法。默认版本将处于选中状态。
- Advanced
- 单击 "OK"。
- 单击 "Restart Required"。将显示 "Apply Changes" 页面。
- 单击 "Restart Proxy Server" 按钮以应用更改。
删除侦听套接字
删除侦听套接字
MIME 类型“多用途 Internet 邮件扩展”(MIME) 类型是多媒体电子邮件和消息传递的标准。可以根据文件的 MIME 类型过滤文件，代理服务器提供了一个页面，通过该页面可以创建用于服务器的新 MIME 类型。代理服务器将此新类型添加到 mime.types 文件中。有关根据 MIME 类型阻止文件的更多信息，参见按 MIME 类型过滤。
本节包括以下主题：
创建新的 MIME 类型
创建 MIME 类型
- 访问 Server Manager 并单击 "Preferences" 选项卡。
- 单击 "Create/Edit MIME Types" 链接。将出现 "Create/Edit MIME Types" 页面。该页面显示代理服务器的 mime.types 文件中列出的所有 MIME 类型。
- 从下拉式列表中指定 MIME 类型的类别。此类别可以是 type、enc 或 lang。其中 type 是文件或应用程序类型、enc 是用于压缩的编码，而 lang 是语言编码。有关类别的更多信息，参见联机帮助。
- 指定出现在 HTTP 头中的内容类型。
- 指定文件后缀。"File Suffix" 指映射到 MIME 类型的文件扩展名。要指定多个扩展名，请用逗号分隔各项。文件扩展名应该是唯一的。换言之，不应将一个文件扩展名映射到两个 MIME 类型。
- 单击 "New" 按钮添加 MIME 类型。
编辑 MIME 类型
编辑 MIME 类型
删除 MIME 类型
删除 MIME 类型
管理访问控制"Administer Access Control" 页面可用于管理访问控制列表 (ACL)。ACL 使您可以控制哪些客户机可以访问您的服务器。ACL 可以屏蔽某些用户、组或主机以允许或拒绝对服务器部分内容的访问，并设置验证以便仅使有效用户和组可以访问服务器部分内容。有关访问控制的更多信息，参见控制对服务器的访问。
管理访问控制列表
- 访问 Server Manager 并单击 "Preferences" 选项卡。
- 单击 "Administer Access Control" 链接。显示 "Administer Access Control" 页面。
- 选择资源、现有 ACL，或键入 ACL 名称，然后单击 "Edit" 按钮。将显示 "Access Control Rules for" 页面。
- 进行所需更改，然后单击 "Submit"。有关访问控制的更多信息，参见“设置服务器实例的访问控制”，此主题列于控制对服务器的访问。
配置 ACL 高速缓存"Configure ACL Cache" 用于启用或禁用代理服务器验证高速缓存、设置代理服务器验证高速缓存目录、配置高速缓存表大小和设置条目到期时间。
配置 ACL 高速缓存
- 访问 Server Manager 并单击 "Preferences" 选项卡。
- 单击 "Configure ACL Cache" 链接。将显示 "Configure ACL Cache" 页面。
- 可以启用或禁用代理服务器验证高速缓存。
- 从 "Proxy Auth User Cache Size" 下拉式列表中，选择用户高速缓存中的用户数。默认大小为 200。
- 从 "Proxy Auth Group Cache Size" 下拉式列表中，选择可以为单个 UID/高速缓存条目高速缓存的组 ID 数。默认大小为 4。
- 选择高速缓存条目到期前的秒数。每次引用高速缓存中的某个条目时，都将计算其耗用时间并对照此值进行检查。如果其耗用时间大于或等于 "Proxy Auth Cache Expiration" 值，将不使用此条目。如果将此值设置为 0，则会关闭高速缓存。
如果将其设置为一个较大的值，则每次更改 LDAP 条目时，可能都需要重新启动 Proxy Server。例如，如果将该值设置为 120 秒，Proxy Server 可能会在两分钟内与 LDAP 服务器不同步。如果不经常更改 LDAP 条目，请使用一个较大的值。默认到期时间值为 2 分钟。
- 单击 "OK"。
- 单击 "Restart Required"。将显示 "Apply Changes" 页面。
- 单击 "Restart Proxy Server" 按钮以应用更改。
了解 DNS 高速缓存Proxy Server 支持 DNS 高速缓存，以减少代理服务器将 DNS 主机名解析为 IP 地址时执行 DNS 查找的次数。
配置 DNS 高速缓存
"Configure DNS Cache" 页面用于启用或禁用 DNS 高速缓存、设置 DNS 高速缓存的大小、设置 DNS 高速缓存条目的到期时间，以及启用或禁用反向 DNS 高速缓存。
配置 DNS 高速缓存
- 访问 Server Manager 并单击 "Preferences" 选项卡。
- 单击 "Configure DNS Cache" 链接。将显示 "Configure DNS Cache" 页面。
- 可以启用或禁用 DNS 高速缓存。
- 从 "DNS Cache Size" 下拉式列表中选择可以存储在 DNS 高速缓存中的条目数。默认大小为 1024。
- 可以设置 DNS 高速缓存的到期时间。如果 DNS 高速缓存条目到达预设的到期时间，Proxy Server 会将其从高速缓存中清除。默认 DNS 到期时间为 20 分钟。
- 可以启用或禁用未找到主机名时缓存错误。
- 单击 "OK"。
- 单击 "Restart Required"。将显示 "Apply Changes" 页面。
- 单击 "Restart Proxy Server" 按钮以应用更改。
配置 DNS 子域某些 URL 含有的主机名带有多级子域。如果第一个 DNS 服务器未能解析主机名，代理服务器检查 DNS 的时间会很长。可以设置 Proxy Server 将 "host not found" 消息返回客户机之前检查的级别数。
例如，如果客户机请求 http://www.sj.ca.example.com/index.html，代理服务器将主机名解析为 IP 地址的时间将会很长，因为代理服务器可能需要遍历 4 个 DNS 服务器，才能找到主机的 IP 地址。由于这些查找会花费很长时间，可以对代理服务器进行配置，使其必须使用超过某个数量的 DNS 服务器时，放弃查找 IP 地址。
设置代理服务器遍历的子域级别
配置 HTTP 保持活动"Configure HTTP Client" 页面用于在代理服务器上启用保持活动功能。
代理服务器支持 HTTP 保持活动数据包。默认情况下，代理服务器不使用保持活动连接。但对于某些系统，使用保持活动功能可以提高代理服务器的性能。保持活动功能是一种 TCP/IP 功能，即在完成请求后继续使连接保持打开状态，从而客户机可以快速重新使用这一打开的连接。
在标准的基于 Web 的客户机/服务器事务中，客户机可以建立与服务器的多个连接，请求多个文档。例如，如果客户机请求的 Web 页面中含有几个图像，则客户机需要单独请求各个图形文件。重新建立连接是很费时的。
配置 HTTP 保持活动
- 访问 Server Manager 并单击 "Preferences" 选项卡。
- 单击 "Configure HTTP Client" 链接。将显示 "Configure HTTP Client" 页面。
- 从下拉式列表中选择一个资源。选择 HTTP 或 HTTPS 资源，在 Proxy Server 上配置保持活动或指定正则表达式。
- 通过单击相应的 "Keep Alive" 选项，指定 HTTP 客户机是否应使用持久连接。
- 在 "Keep Alive Timeout" 字段中指定使持久连接操持打开状态的最大秒数。默认值是 29。
- 通过选择相应 "Persistent Connection Reuse" 选项，可以指定 HTTP 客户机是否可以对所有类型的请求重新使用现有持久连接。默认值是 "off"，并且对于非 GET 请求和含有主体的请求，不允许再使用持久连接。
- 在 "HTTP Version String" 字段中指定 HTTP 协议版本字符串。除非遇到具体的协议互操作性问题，否则不要指定此参数。
- 在 "Proxy Agent Header" 字段中指定 Proxy Server 产品名和版本。
- 在 "SSL Client Certificate Nickname" 字段中指定提供给远程服务器的客户机证书的别名。
- 选择相应的 "SSL Server Certificate Validation" 选项，以指示 Proxy Server 是否必须验证远程服务器提供的证书。
- 单击 "OK"。
- 单击 "Restart Required"。将显示 "Apply Changes" 页面。
- 单击 "Restart Proxy Server" 按钮以应用更改。