Squid-Clients mit IPv4 und IPv6-Ziele: getrennte Richtlinien
Ein IPv4-Client kann über Squid eine IPv6-Website erreichen. Unterscheiden Sie Zielbeschränkungen, Quell-ACLs und Adressauswahl, bevor Sie eine reine IPv6-Richtlinie wählen.
Es ist möglich, einen Client über IPv4 anzunehmen und seine angeforderte Website über IPv6 zu erreichen. Das sind getrennte Verbindungen. Eine Richtlinie zur Website-Seite sollte IPv4-Clients nicht automatisch ablehnen.
Das ist die Falle in Beispielen, die eine Ziel-Familien-Ablehnung mit src ipv4 kombinieren: Die Quell-ACL ändert, wer sich verbinden darf, nicht nur, welche Website-Verbindungen erlaubt sind.
Die beabsichtigte Einschränkung definieren
Für Squid-Versionen, die die relevanten IP-ACLs unterstützen, kann eine Ziel-Familien-Regel dst ipv4 verwenden, um IPv4-Ziele zu erkennen. Integrieren Sie solche Regeln in bestehende Authentifizierung und Zielberechtigungen; hängen Sie keine breite IPv6-Freigabe an, die sie umgeht.
Die ACL-Referenz unterscheidet Quell- und Zieltypen. Dies ist eine Einschränkung, kein automatischer Übersetzungsdienst. Eine reine IPv4-Website kann unerreichbar werden, obwohl der Rechner sie sonst über IPv4 erreichen könnte.
Das Binden einer ausgehenden IPv6-Adresse ist ebenfalls nicht die gesamte Durchsetzungsrichtlinie. Quellauswahl, erlaubte Ziel-Familien, DNS-Antworten und tatsächliche Netzwerkerreichbarkeit tragen alle bei. Entscheiden Sie ausdrücklich, ob ein IPv4-Fallback akzeptabel ist.
Das Ändern von forwarded_for löst dieses Problem nicht. Das betrifft einen HTTP-Header, nicht die Adressfamilie der TCP-Verbindung des Proxys. Ebenso garantiert ein IPv6-DNS-Resolver nicht, dass jeder beantwortete Name ein IPv6-Ziel hat.
Prüfen Sie versionsspezifisches Verhalten, bevor Sie eine große alte Konfiguration übernehmen. Insbesondere: dns_v4_first ist in Squid 5 bis 7 kein unterstützter Schalter für die Familienpräferenz. Eine Richtlinie, die Sie präzise beschreiben können, ist leichter zu validieren als eine Sammlung unzusammenhängender IPv6-Einstellungen.