Linux上Squid透明代理核心难点是流量自动导入，需配iptables/NAT、开启IP转发、关闭TSO/GSO等网络层配置，仅设http_port transparent无效。
透明代理缓存服务器不是加个 squid.conf 就能跑通的——Linux 上真正可用的 Squid 透明代理，核心难点不在 Squid 本身，而在流量如何「不经过客户端配置」就自动导入 Squid。没配对 iptables/NAT 规则或没关掉 TCP 检验和卸载（TSO/GSO），哪怕 Squid 进程跑着，请求也会直接 bypass 或连接重置。
为什么 http_port 3128 transparent 单独写没用
很多人照文档加了这行就以为透明代理成了，其实这只是告诉 Squid “准备接收被重定向过来的流量”，但系统根本没把流量导给它。Squid 不监听 80 端口，也不做路由决策；它只是个 HTTP 处理器，依赖外部机制（通常是 iptables + netfilter）把本该发往目标网站的包，在内核层面劫持到本地 3128 端口。
- 必须启用内核 IP 转发：
echo 1 > /proc/sys/net/ipv4/ip_forward，并写入/etc/sysctl.conf持久化 - iptables 需在
PREROUTING链用REDIRECT（仅限同机代理）或DNAT（网关模式），目标端口固定为 Squid 的http_port - 若 Squid 运行在非 root 用户下（推荐），需用
setcap 'cap_net_bind_service=+ep' /usr/sbin/squid允许其绑定特权端口（如 80）或使用http_port 3128 intercept配合非特权端口
企业场景下必须处理的三个网络层问题
内网用户发包时源 IP 是客户端真实地址，Squid 默认以自身 IP 回包，导致 TCP 三次握手失败（SYN 收到，SYN-ACK 从 Squid 出，客户端不认）。这不是 Squid 配置问题，是 Linux 网络栈行为。
- 开启
net.ipv4.conf.all.send_redirects = 0：避免网关发 ICMP 重定向干扰 - 关闭网卡 offload 特性（尤其 TSO/GSO）：
ethtool -K eth0 tso off gso off，否则 TCP 分段异常，Squid 日志出现TCP_HIT_ABORTED或连接超时 - 确保
cache_peer和never_direct配合使用：企业常连上级缓存（如另一台 Squid 或 CDN），never_direct allow all强制所有请求走 peer，避免直连绕过缓存
squid.conf 关键缓存策略怎么写才不翻车
默认配置里 cache_dir ufs 路径权限不对、cache_mem 设太高引发 OOM、refresh_pattern 写太激进（比如全设成 0 20% 4320）导致静态资源永远不更新——这些都会让缓存“看起来在跑”，实际命中率低于 5%。
-
cache_dir ufs /var/spool/squid 10000 16 256：10000 是 MB，别用 GB 单位；目录属主必须是squid:squid，且chown -R squid:squid /var/spool/squid -
cache_mem 256 MB：物理内存 -
refresh_pattern -i \.css$ 1440 20% 4320 ignore-reload：静态资源延长 TTL，但加ignore-reload允许客户端强制刷新（F5）生效 - 禁用
via和forwarded-for头：加request_header_access Via deny all和request_header_access X-Forwarded-For deny all，否则下游服务可能误判来源
真正卡住企业的往往不是 Squid 语法，而是网卡驱动对透明代理的支持程度——某些厂商网卡（如部分 Broadcom BCM57xx）在开启 LRO/GRO 后，REDIRECT 规则会丢包。遇到请求无响应、tcpdump 显示 SYN 到达但无响应时，先 ethtool -K eth0 lro off gro off 试试，再查 Squid access.log 是否有记录。
