服務(wù)器squid中文權(quán)威指南

1、（6章著數(shù)臺(tái) Squid 服務(wù)器，多次參閱 s（他Squid 的創(chuàng)（6章著數(shù)臺(tái) Squid 服務(wù)器，多次參閱 s（他Squid 的創(chuàng)人）的這本書(shū)，原書(shū)名是Squid:The Definitive Guide 上網(wǎng)用戶，Squid Sina,NetEase這樣的大型站點(diǎn)，Squid 的控ACL類外部6.1.5 Squid如何匹控制元控ACL類外部6.1.5 Squid如何匹控制元6.2.2 Squid如何匹規(guī)常見(jiàn)用squid與非HTTP服務(wù)器會(huì).使用IP地請(qǐng)s示6.3.91控ACLSquid ，控ACLSquid ，基本的 ACL 元素語(yǔ)法如下：aclnametypevalue1value2ac

2、laclHttp_portsport808000aclHttp_portsportaclHttp_portsport8000 aclHttp_portsport6.1.1 ACLSquid 大約有 25 個(gè)不同的 ACL 一些有通用基本src 和 dst ACL IP squidACLIP等形式編寫(xiě)地址。squid 支持IP 地址寫(xiě)法（由”.”連接4 個(gè)小256 的數(shù)字）和無(wú)類域間路由規(guī)范。另外，假如你忽略掩碼，squid會(huì)自動(dòng)計(jì)算相應(yīng)的掩碼。例如，下例中的每組是aclFoosrcaclFoosrc1/32 acl Foo src 1aclXyzsrcaclXyzsrcaclBarsrcacl

3、Barsrc2aclBarsrcaclFoosrcaclBarsrcaclFoosrcaclParseIpData:WARNING:NetmaskmasksawaypartofthespecifiedIPin aclFoosrc/32 aclFoosrcaclBarsrc-acl Foo src /24 acl Foo src /24 acl Foo src /24 acl Foo src /24 acl Foo src /24 acl Foo src /24 acl Foo src /24 acl Foo src /24 acl Foo src /24你也能在 IP ACL 里指定主機(jī)名，例

4、如：squid IP 地址。一旦啟動(dòng)，squid 不會(huì)對(duì)主機(jī)名的地址發(fā)起第二次 DNS 查詢。這樣，假如在 squid 運(yùn)行中地址已改變，squid 不會(huì)注意到。成多個(gè)IP 地址，squid將每一個(gè)增加到ACL 里。注意你也可以對(duì)主 配置文件，所以這些 DNS 查詢不使用 機(jī)制的 gethostbyname()函數(shù)。這樣，將 的非阻塞 IP 緩存接口。代替的，它們使用阻塞主機(jī)名轉(zhuǎn)換到IP 地址的過(guò)程會(huì)延squid 的src,dst,myipACLsquid 以一種叫做 splay tree 的數(shù)據(jù)結(jié)構(gòu)在內(nèi)存里IP 地址 ACL （。splay tree 有一些有趣的自我調(diào)整的特性，其中之一是在

5、 aclFoosrc3aclFoosrcWARNING:becauseofthisisignoredtokeepsplaytreesearching 同的 ACL 列表中。aclFoosrcWARNING:becauseofthisisignoredtokeepsplaytreesearching 同的 ACL 列表中。：ACL以開(kāi)頭，squid 機(jī)名匹配同的 ACL:aclAaclB ACLB squid splay tree 的數(shù)據(jù)結(jié)構(gòu)splaytreeACL，就像它處理 IP 地址。splaytree的特定搜索條目。例如，假設(shè)搜索條目是 。該主機(jī)名同時(shí)匹配和 4Table6-nameUR

6、LMatchesACLMatchesACLaclFoo isaofisignoredtokeepsplaytreesearchingWARNING:becauseofthisWARNING:YoushouldaclFoo isaofisignoredtokeepsplaytreesearchingWARNING:becauseofthisWARNING:YoushouldprobablyremovefromtheACLnamedsquid ：aclFoo 該類型的ACL被設(shè)計(jì)成匹配用戶名。squid可能通過(guò)RFC1413ident協(xié)議或者通過(guò)HTTPACL 對(duì)用戶名使用正則表達(dá)式匹配（iden

7、t_regex proxy_auth_regex。 使用對(duì)象：srcdom_regex, dstdom_regex, url_regex, urlpath_regex, browser, HYPERLINK http:/開(kāi)頭的/ 的。為了大小寫(xiě)不敏感，在 ACL 類型后面使用-i 選項(xiàng)。例如：5aclFoourl_regex-i TCP 065536。如下是一些示例: acl Foo port 123aclBarport1-ernet 路由器使系統(tǒng)(AS)號(hào)來(lái)創(chuàng)建路由表?；旧?，某個(gè)AS 號(hào)指向被同一aclFoourl_regex-i TCP 065536。如下是一些示例: acl Foo p

8、ort 123aclBarport1-ernet 路由器使系統(tǒng)(AS)號(hào)來(lái)創(chuàng)建路由表。基本上，某個(gè)AS 號(hào)指向被同一IP ISP 分配了如下網(wǎng)絡(luò)塊：/16, AS3404 ASACLgurus whois 服務(wù)器查詢語(yǔ)句基本告訴我哪個(gè) IP 網(wǎng)絡(luò)屬于該 AS 號(hào)這樣的信息被 更新 的類型僅僅在 將他們的 信息保持與日更新時(shí)才工作良好。某些 比其他人做得更好；而許多根本不更新它。請(qǐng)注意 squid 僅僅在啟動(dòng)或者reconfigure 時(shí)才AS 號(hào)轉(zhuǎn)換為網(wǎng)絡(luò)ISP RADB 接口，除非你重啟或者重配置 squid，squid 不會(huì)知道這個(gè)改變。 服務(wù)器，它控制配置里刪除 AS 接口。默認(rèn)的 wh

9、ois 服務(wù)器是 ，對(duì)許多6.1.2ACL IP 6acl MyNetwork src aclMyNetworksrc/24/24 acl MyNetwork src aclMyNetworksrc/24/24 web 站點(diǎn)。然而dst ACL 時(shí)你須謹(jǐn)慎。大部squid 接受到的用GET / 列表規(guī)則包含了dst元素時(shí)，squid必須 aclAdServersdstACLdst請(qǐng)注意，dst ACL IPsquid.confacl行里放ACL需要許多主機(jī)名，你也許該預(yù)處理配置myipSquidIPsquidnets -n時(shí)，你 IP 地址，所以該 ACL 元素僅僅當(dāng)系統(tǒng)有多個(gè) IP 地址時(shí)才

10、有用。 和工程師。子網(wǎng) 包括會(huì)計(jì)，市場(chǎng)和其他管理部門(mén)。這樣情況下的 squid 接口1squidIP 2squidIP1ACL 可能如aclEngmyipacl7squid， squid 如何轉(zhuǎn)發(fā)請(qǐng)求，以及讓某些響應(yīng)不可緩存。有用，是因?yàn)樗鼨z查請(qǐng)求url里的主機(jī)名。acl A dstaclBA 實(shí)際上IP ACL。當(dāng)配置文件時(shí)，它查 ACL squid， squid 如何轉(zhuǎn)發(fā)請(qǐng)求，以及讓某些響應(yīng)不可緩存。有用，是因?yàn)樗鼨z查請(qǐng)求url里的主機(jī)名。acl A dstaclBA 實(shí)際上IP ACL。當(dāng)配置文件時(shí)，它查 ACL IP 地址改變了ACL 的主要問(wèn)題是某些 使用 IP 地址代替主機(jī)名。假如

11、你的目標(biāo) ACLIPDNS 術(shù)上，squidDNS 匹配ACL值的東西（OReillysDNSandBINDDNS使用 dst ACL,FQDN 查詢會(huì)導(dǎo)致延時(shí)。請(qǐng)求會(huì)被延緩處理直到 FQDN 響應(yīng)返回。 長(zhǎng)時(shí)間（2分鐘）DNS aclLocalHosts的8aclHTTPportsport808000-8010IRC服務(wù)。port ACL消SMTP squid.conf aclHTTPportsport808000-8010IRC服務(wù)。port ACL消SMTP squid.conf aclSafe_portsport80 aclSafe_portsportaclSafe_portsport

12、443563 acl Safe_ports port 70aclSafe_portsportaclSafe_portsport1025-65535 acl Safe_ports port 280aclSafe_portsport591 aclSafe_portsport# ftp#https,snews # gopher# #unregisteredports # http-mgmt# gss-http #multilingsdeny（1025535 squidaclDangerous_ports791922232553109110sdeny使用 Dangerous_ports 的弊端是 sq

13、uid 對(duì)幾乎每個(gè)請(qǐng)求都要搜索整個(gè)列表。這對(duì) CPU 成了額外的負(fù)擔(dān)。大多數(shù)情況下，99%到達(dá) squid 的請(qǐng)求是對(duì) 80 端口的，它不出現(xiàn)端安全端口列表并匹配 端9 端，用以接受客戶請(qǐng)求。假如你在 http_port 指令里指定不止一個(gè)，那squid 端，用以接受客戶請(qǐng)求。假如你在 http_port 指令里指定不止一個(gè)，那squid aclAccelPortmyportsquidACLaclMyNetsrcsallowProxyPortMyNet s deny ProxyPort# #onlymyusers # deny others methodaclUploadsmethodTSqu

14、id 知道下列標(biāo)準(zhǔn) HTTP 方法：T, PUT, HEAD, CONNECT, OPTIONS DELETE。另外，squid WEBDAV 規(guī)范，RFC 2518 HTTP/1.1 CONNECT HTTPS/SSL NNTPS 端口（443 563。默認(rèn)的 squid.conf 這樣做：aclCONNECTmethodaclSSL_ports443sdeny 563（NNTPS 。PURGE 是另一個(gè)特殊的請(qǐng)求方法。它是 Squid 的專有方法，沒(méi)有在任何 RFC 里定義。，squid 默PURGE cache localhostaclPurgemethodaclLocalhostsrc

15、sallowPurgesdeny（或傳輸）協(xié)議。如下是有效值：http,httpssameasHTTP/TLS, FTPaclLocalhostsrcsallowPurgesdeny（或傳輸）協(xié)議。如下是有效值：http,httpssameasHTTP/TLS, FTPaclFTPprotosdeny ：aclaclLocalhostsrcsallowManagersdeny管保護(hù)。我將在0 time ACL允許你控制基于時(shí)間 0點(diǎn)的timeACLD aclWorking_hoursMTWHF08:00-17:00 aclWorking_hoursD08:00-看一個(gè)麻煩的例子。也許你是某個(gè)

16、ISP，在下午 8 點(diǎn)到早上 4 點(diǎn) aclWorking_hoursMTWHF08:00-17:00 aclWorking_hoursD08:00-看一個(gè)麻煩的例子。也許你是某個(gè) ISP，在下午 8 點(diǎn)到早上 4 點(diǎn)這段不忙的時(shí)讓 sallowOffpeak1sallowOffpeak2aclPeak04:00- ACLaclBlahtime M08:00-10:00W09:00-aclBlahtimeMW09:00-aclBlahtimeM08:00-10:00 aclBlahtimeW09:00-1 用 （1133.squidTCPsquid.conf5. ACL squid 和客戶工作

17、站連在一個(gè)局域網(wǎng)里，ident ACL 工作良域網(wǎng)使用 TCPsocket 時(shí)，你可以看到大量的外部 IP ACL squid 和客戶工作站連在一個(gè)局域網(wǎng)里，ident ACL 工作良域網(wǎng)使用 TCPsocket 時(shí)，你可以看到大量的外部 IP 地址出現(xiàn)務(wù)器IP 地址。假squid 上運(yùn)行-本地地址欄里。當(dāng) squid 發(fā)起一個(gè) ident 查詢時(shí)，它創(chuàng)建一個(gè)新的 TCP 套接字，并綁定本地 （它可能與原始服務(wù)器IP 地址相距遙遠(yuǎn)bind () 系統(tǒng)調(diào)用失squid 將這個(gè)作為失敗的注意 squid 也有個(gè)特性，對(duì)客戶端執(zhí)行懶惰 ident 查詢。在該情形下，在等待 ident 查 ident

18、 。2 http 。以 squid squid 使用大量的外部輔助程序。squid 了一些程于對(duì)許多標(biāo)準(zhǔn)數(shù)據(jù)庫(kù)包括 LDAP,NTLM,NCSA 類型的 這auth_param CL auth_param。auth_paramaclAuth1proxy_authauth_paramaclAuth1aclAuth2proxy_authdaveeric3 該類型檢查客IP 地址所屬的AS （ squid 如何AS 到IP 地址的信息 。作為示例，虛構(gòu)某 ISP 使用 AS 64222 并且通告使用3 該類型檢查客IP 地址所屬的AS （ squid 如何AS 到IP 地址的信息 。作為示例，虛構(gòu)某

19、 ISP 使用 AS 64222 并且通告使用 aclTheISPsrcacl TheISP src /12 sallowaclTheISPsrc_assallow4 一致的方式轉(zhuǎn)發(fā) 丟失?？紤]某 ISP，它比其他 更頻繁的更換路由。每個(gè) ISP 處。理論上，ISPA ISP BcacheISPB的aclISP-B-ASdst_as64222 aclISP-C-ASdst_asASACLparent3128 cache aclAllsrc ssdeny6 maxconn ACL在請(qǐng)求超過(guò)指定的數(shù)量時(shí)，會(huì)匹配這個(gè)請(qǐng)求。因?yàn)檫@個(gè)理由，你應(yīng)該僅僅在 deny 規(guī)則里使用 maxconnaclAlls

20、rc ssdeny6 maxconn ACL在請(qǐng)求超過(guò)指定的數(shù)量時(shí)，會(huì)匹配這個(gè)請(qǐng)求。因?yàn)檫@個(gè)理由，你應(yīng)該僅僅在 deny 規(guī)則里使用 maxconn?？紤]如下例子：aclOverConnLimitmaxconnsdeny 7 arp ACL cache MAC 地址（以太網(wǎng)卡的物理地址 squid 不幸的是，該特性使用非移植性代碼。假如你運(yùn)行 Solaris 或 Linux，你能使用 arp ACL 有路由器存在，你可能不能使用 arp ACL。 ifconfig和arpaclWinBoxesarp00:00:21:ff:55:38 ACLdhcp到aclDHCPUsersrcdom_rege

21、x-i因?yàn)轭I(lǐng)頭 的 符號(hào) ，該 ACL 匹配主機(jī)名。9 aclWebSitedstdom_regexaclDHCPUsersrcdom_regex-i因?yàn)轭I(lǐng)頭 的 符號(hào) ，該 ACL 匹配主機(jī)名。9 aclWebSitedstdom_regex-iaclIPaddrdstdom_regex0-squidURL主機(jī)名完全可驗(yàn)證。既然全局頂級(jí)數(shù)字結(jié)尾的，該 ACL 僅僅匹配 IP 地址，它以數(shù)字結(jié)尾。0 aclFTPMP3url_regex-i1 urlpath_regex url_regex aclSexurlpath_regex 2 aclMozillabrowsersdenyuser-age

22、ntsquidUser-Agent 頭部。某些瀏覽器例Opera sdenyuser-agentsquidUser-Agent 頭部。某些瀏覽器例Opera KDE 的Konqueror用戶可以對(duì)不同的原始服務(wù)器發(fā)送不user-agent3 ACLHTTP 4 該類型 ACL 指原始服務(wù)器的 HTTP 響應(yīng)里的 Content-Type 頭部。它僅在使用 sdeny5 ident ACL。ident_regex允許你使用正則表達(dá)式，代替嚴(yán)格的字符串 aclNumberInNameident_regex0-6 該 ACL 允許對(duì)認(rèn)證用戶名使用正則表達(dá)式。例如，如下 ACL 匹配admin,adm

23、inistrator和aclAdminsproxy_auth_regex-i6.1.3 Squid 2.5 版本介紹了一個(gè)新特性：外部 ACL。你可以指示 squid 6.1.3 Squid 2.5 版本介紹了一個(gè)新特性：外部 ACL。你可以指示 squid 發(fā)送某些信息片斷到外squid，數(shù)據(jù)匹配或不匹配。12.5 章關(guān)于這些程序的描述，以及關(guān)于如何編寫(xiě)你自己的程序的信息?，F(xiàn)在，我解釋如何定義和使用外部 ACL 類型。external_acl_typetype-nameoptionsSquid 當(dāng)前支持如下選項(xiàng) 從從RFC1413ident /usr/local/squid/libexec/

24、my-acl-prog.pl -X -5 將這些放在一個(gè)長(zhǎng)行里。squid不支持如下通過(guò)反斜杠分隔長(zhǎng)行的技術(shù)，所以請(qǐng)記住所 acl acl-name external type-name args . aclMyAclexternal 6.1.4 ACL他資源里自動(dòng)產(chǎn)生 squid ACL 列表。在如此情況下，你可以從外部文件里包含 ACL 列表aclname的 ACL 太長(zhǎng)了：aclFoo ntsaclFoonts/usr/local/squid/etc/BadC aclname的 ACL 太長(zhǎng)了：aclFoo ntsaclFoonts/usr/local/squid/etc/BadC 行里

25、的任何地方，以空格來(lái)分隔值，新行是包含 ACL 值的文件的分界。理解 squid 如何搜索 ACL 元素去匹配是很重要的。當(dāng) ACL 元素有多個(gè)值時(shí)，任何單個(gè) 讓aclSimpsonsidentMaggieLisaBartMargesquid Simpsons ACL 時(shí)，它ident 查詢?？匆幌拢?dāng)ident 服務(wù)返Marge 時(shí)，會(huì)發(fā)生什么呢？squid 代碼在成功匹配 Marge 前，會(huì)Simpsons ACL 。identACL值并splaytree 別是不匹配鏈表里任何正則表達(dá)式的請(qǐng)求。為了改進(jìn)這個(gè)形式，當(dāng)匹配發(fā)生時(shí)，squid 將正ACL列表的頂部，這樣會(huì)減少比較數(shù)aclort8

26、0-90101103107123ACL 匹配到原始服務(wù)器 80-90 端口，和其他獨(dú)立端80 端口的請(qǐng)求squid通過(guò)查看第一個(gè)值就匹配了該 ACL。對(duì) 9999 端口，其他每個(gè)值都先被檢查。對(duì)某個(gè)不在列表里的端口，squid要檢查所有值才宣布它不匹配。就像我已經(jīng)講過(guò)的，將最常用的值放在前面提過(guò)，ACL 控s s配置錯(cuò)誤，squidcaches 或 6.3.9scacheICPs前面提過(guò)，ACL 控s s配置錯(cuò)誤，squidcaches 或 6.3.9scacheICPs,url_regexACLno_cache 的s squid6.3.7s該 s s squididents規(guī)則（ident該

27、 s該 s該 14.3列表影響 squid 處理某T 請(qǐng)求的方法。某些老的用該在請(qǐng)求主體的content-length 頭部指示的長(zhǎng)度要多 2 個(gè)字節(jié)。更糟糕的是，某些老的 HTTP 服務(wù)器實(shí)際上依賴于這種不正確的行為。當(dāng)請(qǐng)匹配 Squid 有大量的使用 ACL 元素的其他配置指令。它們中的某些過(guò)去是全局配s該該s該該 sA。 s allow MyCsdeny當(dāng) ACL A。 s allow MyCsdeny當(dāng) ACL squid的CPU 清楚。請(qǐng)謹(jǐn)慎的編寫(xiě) always_direct,never_direct,和 no_cache 規(guī)則。在 always_direct 中，allow6.2.

28、2Squid回想一squid 元素時(shí)使用的“或”邏輯。在 acl 里的任何單值都可以 ACL1,ACL2,ACL3 ACL中的任何一個(gè)不匹配請(qǐng)求，squid 停止搜索該規(guī)則，并繼續(xù)處理下一條。對(duì)某個(gè)規(guī)則來(lái)說(shuō)，將最少匹配的 ACL 放在首位，能使效率最佳?？紤]如下示例：aclAmethodaclB portsdenyA該 sdenyBaclAsrc aclBsrcaclAsrcsdenyBaclAsrc aclBsrcaclAsrc aclBobident配sallow 它不匹配用戶名 mary。這樣，默認(rèn)的動(dòng)作是 allow 的取反，故請(qǐng)求。類似的denyaclAllsrc aclBobide

29、ntsdenysquid樣的事。通常，你該將更具體的和受限aclAllsrc aclNet1src/24 aclNet2src/24 aclNet3src/24 aclNet4src/24 列表放在首位。例如，如下語(yǔ)句并非很好：sallowNet1WorkingHours sallowNet2WorkingHours sallowNet3sallowsdenysallows allow Net1sallowNet2 sallowsdeny 非來(lái)自本機(jī)IP cache 管理請(qǐng)求，的，更廣泛的規(guī)則。例如，默認(rèn)的 sdenysallows allow Net1sallowNet2 sallowsde

30、ny 非來(lái)自本機(jī)IP cache 管理請(qǐng)求，的，更廣泛的規(guī)則。例如，默認(rèn)的 squid aclaclLocalhostsrcsdenyCacheManageraclaclLocalhostsrc acl MyNet /24aclAllsrc s allow MyNetsdenysallowCacheManagerlocalhost s deny CacheManagersallow sdeny6.2.4 ACL 不能在一個(gè)過(guò)程里被檢查，因?yàn)楸匾男畔⒉豢捎?。和proxy_auth 類型屬于該范疇。當(dāng) squid 遇到某個(gè) ACL 不能被檢查時(shí)，它延遲決定并且發(fā)布必要信息的查詢（IP ，用戶名等

31、。當(dāng)信息可用時(shí)，squid 時(shí)的 ACL 放在規(guī)則的頂部，以避免不必要的，重復(fù)的檢查。 驗(yàn)squid 詢，它必須被快速檢查。甚至，某些 squid 詢，它必須被快速檢查。甚至，某些 ACL 類型例如 proxy_auth，對(duì) ICP 查詢來(lái)說(shuō)無(wú)意義。sssss,dst, dst_as 6.3 6.3.1 squid IP 的最好的方法之一。做到這點(diǎn)最容易的方法是，編寫(xiě)包含 IP 地址空間的 ACL，然后允許該ACLHTTPaclAllsrc aclMyNetworksrc/246.3.1 squid IP 的最好的方法之一。做到這點(diǎn)最容易的方法是，編寫(xiě)包含 IP 地址空間的 ACL，然后允許該

32、ACLHTTPaclAllsrc aclMyNetworksrc/24sallowsdenys 則web aclAllsrc aclProblemHostsrcs deny All6.3.3 Sitesurl_regexs 。6.3.4 ernet 使用之間的web acl6.3.4 ernet 使用之間的web aclNotWorkRelatedaclWorkingHourstimeD08:00-請(qǐng)注意在該規(guī)則里首先放置!WorkingHours ACL。相對(duì)于字符串或列aclAllsrc aclMyNetworksrc/24。 aclWorkingHourstimeD08:00-s all

33、ow MyNetworksdeny sdenys Allow Allsquid 你必須盡可能不讓 squid 與某些類型的 TCP/IP 服務(wù)器通信。例如，永不能夠使portACL 來(lái) 戶 讓 aclSafe_portsport80 aclSafe_portsportaclSafe_portsport443563 acl Safe_ports port 70aclSafe_portsport210 aclSafe_portsport280 aclSafe_portsport488 aclSafe_portsport 讓 aclSafe_portsport80 aclSafe_portsport

34、aclSafe_portsport443563 acl Safe_ports port 70aclSafe_portsport210 aclSafe_portsport280 aclSafe_portsport488 aclSafe_portsport591 aclSafe_portsportaclSafe_portsport1025-aclSSL_portsport443# ftp#https,snews # gopher# # gss-http# #multiling#unregisteredaclCONNECTmethodsdenyadditionalslinesas 端口（1024ac

35、lDangerous_ports791922232553109110aclSSL_portsport443aclCONNECTmethodsdenyadditionalslinesas文IANATCP/UDP6.3.6 web auth_parambasicprogramacl Admins proxy_auth Pat Jean Chris.aclAllsrc sallowAdmins s denysdeny 匹配來(lái)自用戶 Pat,Jean,和 Chris 的有效信web auth_parambasicprogramacl Admins proxy_auth Pat Jean Chris.a

36、clAllsrc sallowAdmins s denysdeny 匹配來(lái)自用戶 Pat,Jean,和 Chris 的有效信用ACL 匹配某些原始服務(wù)器主機(jī)名，它們.s該示例有四個(gè)控制規(guī)則。第一個(gè)僅僅檢查 Admins ACL，允許所有來(lái)自 Pat,Jean, . 。cachecacheICPssquid 強(qiáng)制限制鄰近關(guān)系。s規(guī)則ACLcache 的本地用戶；另一個(gè)是子 cache，它被允許來(lái)轉(zhuǎn)發(fā) cache 丟失的請(qǐng)求；第三個(gè)是鄰近 cache，它必須從不轉(zhuǎn)發(fā)導(dǎo)致 cachealcAllsrc aclOurUserssrcacl ChildCache src aclSiblingCachesrcsallows