Πελάτες Squid IPv4 και προορισμοί IPv6: ξεχωριστές πολιτικές
Ένας πελάτης IPv4 μπορεί να χρησιμοποιήσει το Squid για να φτάσει σε έναν ιστότοπο IPv6. Διακρίνετε τους περιορισμούς προορισμού, τα ACL προέλευσης και την επιλογή διεύθυνσης πριν επιλέξετε πολιτική μόνο IPv6.
Είναι δυνατό να δεχτείτε έναν πελάτη μέσω IPv4 και να φτάσετε στον ζητούμενο ιστότοπό του μέσω IPv6. Πρόκειται για ξεχωριστές συνδέσεις. Μια πολιτική για την πλευρά του ιστότοπου δεν πρέπει να απορρίπτει αυτόματα τους πελάτες IPv4.
Αυτή είναι η παγίδα σε παραδείγματα που συνδυάζουν άρνηση οικογένειας προορισμού με src ipv4: το ACL προέλευσης αλλάζει ποιος επιτρέπεται να συνδεθεί, όχι μόνο ποιες συνδέσεις ιστότοπων επιτρέπονται.
Ορίστε τον επιδιωκόμενο περιορισμό
Για εκδόσεις Squid που υποστηρίζουν τα σχετικά IP ACL, ένας κανόνας οικογένειας προορισμού μπορεί να χρησιμοποιεί dst ipv4 για να αναγνωρίζει προορισμούς IPv4. Ενσωματώστε τέτοιους κανόνες στην υπάρχουσα πιστοποίηση και τα δικαιώματα προορισμού· μην προσθέτετε μια ευρεία άδεια IPv6 που τους παρακάμπτει.
Η αναφορά ACL διακρίνει τύπους προέλευσης και προορισμού. Πρόκειται για περιορισμό, όχι υπηρεσία αυτόματης μετάφρασης. Ένας ιστότοπος μόνο IPv4 μπορεί να γίνει μη προσβάσιμος παρόλο που το μηχάνημα θα μπορούσε να τον φτάσει μέσω IPv4.
Η δέσμευση μιας εξερχόμενης διεύθυνσης IPv6 δεν είναι επίσης ολόκληρη η πολιτική επιβολής. Η επιλογή προέλευσης, οι επιτρεπόμενες οικογένειες προορισμού, οι απαντήσεις DNS και η πραγματική δικτυακή προσβασιμότητα συμβάλλουν όλα. Αποφασίστε ρητά αν η επιστροφή σε IPv4 είναι αποδεκτή.
Η αλλαγή του forwarded_for δεν λύνει αυτό το πρόβλημα. Επηρεάζει μια κεφαλίδα HTTP, όχι την οικογένεια διευθύνσεων της σύνδεσης TCP του διαμεσολαβητή. Ομοίως, ένας resolver DNS IPv6 δεν εγγυάται ότι κάθε όνομα στο οποίο απαντά έχει προορισμό IPv6.
Ελέγξτε τη συμπεριφορά που αφορά τη συγκεκριμένη έκδοση πριν υιοθετήσετε μια μεγάλη παλιά διαμόρφωση. Συγκεκριμένα: το dns_v4_first δεν είναι υποστηριζόμενος διακόπτης προτίμησης οικογένειας στο Squid 5 έως 7. Μια πολιτική που μπορείτε να περιγράψετε με ακρίβεια είναι ευκολότερο να επικυρωθεί από μια συλλογή άσχετων ρυθμίσεων IPv6.