Squid单服务器多出口IP配置失效问题咨询

看起来你在配置Squid多出口IP时踩了几个常见的坑，我来帮你梳理一下问题所在，然后给出正确的配置方案：

你的配置错误点分析 #

1. ACL规则的src参数用错了
   你写的acl proxy1 src 182.xx.xx.5是指客户端的来源IP是这个地址时才匹配该ACL，但你实际想要的是：当请求到达Squid监听的182.xx.xx.5:3131端口时，用这个IP作为出口。src完全不符合你的需求，应该用localip（匹配Squid监听的本地IP）或者myport（匹配监听端口）来定义ACL。

2. tcp_outgoing_address映射错误
   你现在把两个ACL都映射到了同一个出口IP182.xx.xx.5，这就是为什么所有请求都从主IP发出的核心原因——不管匹配哪个ACL，最终都用同一个IP出站。

3. 缺少默认拒绝规则
   虽然不是直接导致出口IP失效的原因，但这是Squid的安全最佳实践，不配置的话可能会带来未授权访问的风险。

正确的配置方案 #

1. 先确认AWS EC2的网络配置 #

确保你申请的两个Elastic IP已经正确附加到Squid所在的EC2实例上：

• 登录AWS控制台，进入EC2实例详情页
• 在「网络接口」标签下，确认两个弹性IP都已关联到实例的网络接口（主接口或附加接口均可）

2. 修改Squid配置文件（squid.conf） #

替换你现有的配置为以下内容：

# 监听两个弹性IP的指定端口
http_port 182.xx.xx.5:3131
http_port 182.xx.xx.6:3132

# 用localip定义ACL：匹配请求到达的Squid本地IP
acl use_eip1 localip 182.xx.xx.5
acl use_eip2 localip 182.xx.xx.6

# 允许访问这两个代理端口
http_access allow use_eip1
http_access allow use_eip2

# 绑定对应ACL的出口IP：到达EIP1的请求，用EIP1出站；同理EIP2
tcp_outgoing_address 182.xx.xx.5 use_eip1
tcp_outgoing_address 182.xx.xx.6 use_eip2

# 默认拒绝所有未匹配的请求（安全必备）
http_access deny all

如果你想按客户端来源IP分组指定出口IP（比如某段客户端用EIP1，另一段用EIP2），可以把ACL改成这样：

# 按客户端IP段定义ACL
acl client_group1 src 192.168.1.0/24  # 替换成你的客户端IP段
acl client_group2 src 192.168.2.0/24

http_access allow client_group1
http_access allow client_group2

tcp_outgoing_address 182.xx.xx.5 client_group1
tcp_outgoing_address 182.xx.xx.6 client_group2

3. 调整系统内核参数（确保非主IP可以出站） #

编辑/etc/sysctl.conf文件，添加或修改以下参数：

net.ipv4.ip_nonlocal_bind = 1
net.ipv4.ip_forward = 1

然后执行命令让配置生效：

sudo sysctl -p

4. 重启Squid服务并测试 #

# 重启Squid（根据你的系统可能是service命令）
sudo systemctl restart squid

# 测试：分别连接两个代理端口，查看出口IP
# 示例：用curl测试EIP1的代理
curl -x 182.xx.xx.5:3131 https://ifconfig.me
# 测试EIP2的代理
curl -x 182.xx.xx.6:3132 https://ifconfig.me

正常情况下，两次测试会返回对应的弹性IP，说明配置生效了。

内容的提问来源于stack exchange，提问作者Syam kumar KK