Clientes Squid IPv4 y destinos IPv6: políticas separadas
Un cliente IPv4 puede usar Squid para llegar a un sitio web IPv6. Distinga las restricciones de destino, las ACL de origen y la selección de dirección antes de elegir una política solo IPv6.
Es posible aceptar un cliente por IPv4 y llegar a su sitio web solicitado por IPv6. Son conexiones separadas. Una política sobre el lado del sitio web no debería rechazar automáticamente a los clientes IPv4.
Esa es la trampa en ejemplos que combinan una denegación de familia de destino con src ipv4: la ACL de origen cambia quién puede conectarse, no solo qué conexiones a sitios web se permiten.
Defina la restricción prevista
Para las versiones de Squid que admiten las ACL IP correspondientes, una regla de familia de destino puede usar dst ipv4 para identificar destinos IPv4. Integre estas reglas con la autenticación y los permisos de destino existentes; no añada un permiso amplio de IPv6 que las eluda.
La referencia de ACL distingue los tipos de origen y destino. Esto es una restricción, no un servicio de traducción automática. Un sitio web solo IPv4 puede quedar inaccesible aunque la máquina pudiera llegar a él por IPv4.
Vincular una dirección IPv6 de salida tampoco es toda la política de aplicación. La selección de origen, las familias de destino permitidas, las respuestas DNS y la alcanzabilidad real de la red contribuyen. Decida explícitamente si el retorno a IPv4 es aceptable.
Cambiar forwarded_for no resuelve este problema. Afecta a una cabecera HTTP, no a la familia de direcciones de la conexión TCP del proxy. Del mismo modo, un resolutor DNS IPv6 no garantiza que todos los nombres que responde tengan destino IPv6.
Compruebe el comportamiento específico de la versión antes de adoptar una configuración antigua grande. En particular: dns_v4_first no es un conmutador de preferencia de familia admitido en Squid 5 a 7. Una política que puede describir con precisión es más fácil de validar que un conjunto de ajustes IPv6 no relacionados.