Squid透明代理需内核支持（IP_TRANSPARENT等模块）、squid.conf启用transparent标志、iptables/TPROXY重定向及IP转发与rp_filter关闭四者协同，缺一不可。
squid 透明代理不是“配好 squid.conf 就能用”的功能，它依赖内核支持、网络拓扑和流量重定向三者协同。没配对这三点，squid 启动会报错，或者客户端完全无感知——连请求都压根没进 squid。
确认内核是否启用 IP_TRANSPARENT 和 NETFILTER
Linux 2.6.28+ 内核默认开启部分 netfilter 功能，但 IP_TRANSPARENT（透明套接字）和 TCP_TRANSPARENT 必须显式编译进内核或作为模块加载。运行以下命令检查：
zcat /proc/config.gz | grep -i "transparent\|tproxy"
或查看 /boot/config-$(uname -r)。关键项应为 y 或 m：
CONFIG_NETFILTER_TPROXY_CORE=mCONFIG_IP_NF_TARGET_REDIRECT=mCONFIG_NETFILTER_XT_TARGET_TPROXY_INET=mCONFIG_NETFILTER_XT_MATCH_SOCKET=m
若全为 n，需重新编译内核或换发行版（如 CentOS 7+/Ubuntu 18.04+ 默认已含）。Debian/Ubuntu 用户可直接安装 linux-image-extra-$(uname -r) 补全模块。
squid.conf 中必须启用 http_port 的 transparent 标志
仅写 http_port 3128 是传统代理模式，客户端必须手动设代理。透明模式要求 Squid 监听在原始目的端口（如 80/443），并允许绑定非本机 IP —— 这靠 transparent 关键字触发：
http_port 3128 transparent<br>http_port 443 transparent ssl-bump generate-host-certificates=on dynamic_cert_mem_cache_size=4MB
注意两点：
- HTTPS 透明代理必须配
ssl-bump+ CA 证书，否则只透传不解密，无法做内容过滤或缓存 -
visible_hostname和cache_effective_user（如proxy）必须显式设置，否则squid -k parse会失败 - 旧版 Squid（intercept 替代
transparent，但已被弃用，不要混用
iptables + TPROXY 重定向 HTTP/HTTPS 流量到 Squid
单纯用 REDIRECT 只能处理本机发包（如网关自身访问），透明代理需捕获**经过网关的转发流量**，必须用 TPROXY 目标配合 socket 匹配：
iptables -t mangle -N DIVERT<br>iptables -t mangle -A PREROUTING -p tcp -m socket -j DIVERT 2>/dev/null || true<br>iptables -t mangle -A DIVERT -p tcp -m tcp --dport 80 -j TPROXY --tproxy-mark 0x1/0x1 --on-port 3128<br>iptables -t mangle -A DIVERT -p tcp -m tcp --dport 443 -j TPROXY --tproxy-mark 0x1/0x1 --on-port 443<br>ip rule add fwmark 0x1 lookup 100<br>ip route add local 0.0.0.0/0 dev lo table 100
这段规则的核心逻辑是：
- 用
socket模块识别已建立连接的包（避免重复重定向） -
TPROXY不改包头，只让squid以原始目的 IP:PORT 接收，这是透明的关键 -
ip rule/route确保回包走本地 loopback，绕过路由决策
漏掉 ip rule 或标记不匹配，squid 会收不到 SYN 包，日志里只有 accept() failed。
网关机器必须开启 IP 转发且关闭反向路径过滤
透明代理本质是网关行为，net.ipv4.ip_forward=1 是硬性前提。但更隐蔽的坑是 rp_filter：
echo 0 > /proc/sys/net/ipv4/conf/all/rp_filter<br>echo 0 > /proc/sys/net/ipv4/conf/eth0/rp_filter<br>echo 0 > /proc/sys/net/ipv4/conf/eth1/rp_filter
若任一网卡 rp_filter=1，内核会丢弃“入接口与路由返回接口不一致”的包（比如流量从 eth1 进、却要从 eth0 出），而透明代理恰恰需要这种“非对称路径”。这个值必须为 0，且建议写入 /etc/sysctl.conf 持久化。
114.114.114.114），否则打开网页时卡在 DNS 阶段，你会误以为代理没生效。 
