Squid клиенти IPv4 и дестинации IPv6: отделни политики
Клиент IPv4 може да използва Squid, за да достигне сайт IPv6. Разграничете ограниченията на дестинацията, ACL на източника и избора на адрес, преди да изберете политика само за IPv6.
Възможно е да приемете клиент по IPv4 и да достигнете заявения от него сайт по IPv6. Това са отделни връзки. Политиката за страната на сайта не трябва автоматично да отхвърля клиенти IPv4.
Това е капанът в примери, съчетаващи забрана на семейството на дестинацията с src ipv4: ACL на източника променя кой може да се свързва, а не само кои връзки към сайтове са разрешени.
Определете предвиденото ограничение
За изданията на Squid, поддържащи съответните IP ACL, правило за семейството на дестинацията може да използва dst ipv4, за да идентифицира дестинации IPv4. Интегрирайте такива правила със съществуващото удостоверяване и разрешения за дестинации; не добавяйте широко разрешение за IPv6, което ги заобикаля.
Справочникът на ACL различава типовете източник и дестинация. Това е ограничение, а не услуга за автоматичен превод. Сайт само с IPv4 може да стане недостъпен, въпреки че машината иначе би могла да го достигне по IPv4.
Свързването на изходящ адрес IPv6 също не е цялата политика за налагане. Изборът на източник, разрешените семейства дестинации, отговорите на DNS и действителната мрежова достъпност допринасят. Решете изрично дали връщането към IPv4 е приемливо.
Промяната на forwarded_for не решава този проблем. Това засяга HTTP заглавка, а не семейството на адресите на TCP връзката на проксито. По същия начин DNS резолверът IPv6 не гарантира, че всяко име, на което отговаря, има дестинация IPv6.
Проверете поведението за конкретното издание, преди да приемете голяма стара конфигурация. По-специално: dns_v4_first не е поддържан превключвател за предпочитание на семейство в Squid 5 до 7. Политика, която можете да опишете точно, е по-лесна за проверка от набор от несвързани настройки за IPv6.