Squid Peek and Splice实现HTTPS缓存可行性及替代方案咨询

先给你明确结论，再一步步拆解可行方案：

一、Peek and Splice 能不能实现SSL/TLS内容缓存？ #

完全不行。Peek and Splice的设计是在不终止SSL连接的前提下"偷窥"流量，但SSL/TLS的端到端加密特性意味着Squid只能看到一堆加密后的字节，根本没法解析出请求的资源类型、缓存有效期这些关键信息——而缓存的核心就是依赖这些信息来判断哪些内容可以存、存多久。所以这种方式对SSL/TLS内容的缓存完全起不到作用，别浪费时间在这上面了。

二、符合你要求的缓存方案（不篡改CA、不强制客户端信任伪造证书） #

因为不能碰证书信任链，那我们只能用被动缓存模式——也就是Squid不解密HTTPS流量，而是根据服务器返回的缓存响应头，直接缓存加密后的内容块。这种方式完全不需要客户端做任何额外设置，也不会触发证书警告。

具体配置步骤（针对Ubuntu 16.04 + Squid 3） #

1. 编辑Squid主配置文件
   打开终端，编辑核心配置文件：

   sudo nano /etc/squid/squid.conf
   

2. 添加/修改核心缓存配置
   把下面的配置段加进去（如果已有相关配置，替换掉旧的即可）：

   # 设置HTTPS拦截端口（被动缓存的基础）
   https_port 3128 intercept
   
   # 定义缓存目录，这里设为100GB（第一个数字是缓存大小，单位MB，可根据磁盘空间调整）
   cache_dir ufs /var/spool/squid 100000 16 256
   
   # 定义静态资源ACL，优先缓存这类高带宽消耗的内容
   acl static_resources url_regex -i \.(jpg|jpeg|png|gif|css|js|ico|woff|woff2|svg)$
   cache allow static_resources
   # 允许缓存其他符合规则的内容
   cache allow all
   
   # 针对静态资源设置更长的缓存有效期，最大化带宽节省
   refresh_pattern \.(jpg|jpeg|png|gif|css|js|ico|woff|woff2|svg)$ 43200 90% 432000 override-expire override-lastmod
   # 其他内容设置默认缓存规则
   refresh_pattern . 3600 90% 86400
   

3. 初始化缓存目录并重启Squid
   执行以下命令完成配置生效：

   sudo squid -z
   sudo systemctl restart squid
   

注意事项 #

• 这种被动缓存的效果完全依赖目标网站的缓存策略：如果网站返回的响应头带有Cache-Control: no-cache、private这类禁止缓存的标识，Squid就没办法缓存这些内容。但对于绝大多数静态资源丰富的网站（比如新闻站、博客、电商站），静态资源都会设置合理的缓存头，能帮你节省不少带宽。
• 如果你还想进一步优化，可以在客户端把常用的静态资源域名直接指向公开CDN，这样这些请求直接走CDN，根本不消耗你的服务器带宽——这算是被动缓存的补充方案。

总结 #

• Peek and Splice对SSL/TLS缓存没用，别试了；
• 唯一符合你要求的方案就是Squid的被动缓存模式，配置简单，不需要修改CA证书或要求客户端做任何额外操作；
• 效果虽然依赖目标网站，但对于你的100GB带宽限制来说，已经是最可行的方案了。

内容的提问来源于stack exchange，提问作者rvcabc