Squidi IPv4-kliendid ja IPv6-sihtkohad: eraldi poliitikad
IPv4-klient saab Squidi abil jõuda IPv6-veebisaidile. Eristage sihtkoha piiranguid, allika-ACL-e ja aadressi valikut enne, kui valite ainult IPv6 poliitika.
Võimalik on võtta klient vastu IPv4 kaudu ja jõuda tema soovitud veebisaidile IPv6 kaudu. Need on eraldi ühendused. Veebisaidi poole poliitika ei tohiks IPv4-kliente automaatselt tagasi lükata.
See on lõks näidetes, mis ühendavad sihtkoha perekonna keelu src ipv4-ga: allika ACL muudab, kes tohib ühenduda, mitte ainult seda, millised veebisaidi ühendused on lubatud.
Määratlege kavandatud piirang
Squidi väljaannete puhul, mis toetavad asjakohaseid IP ACL-e, saab sihtkoha perekonna reegel kasutada dst ipv4, et tuvastada IPv4-sihtkohti. Integreerige sellised reeglid olemasoleva autentimise ja sihtkoha õigustega; ärge lisage laia IPv6-luba, mis neid mööda läheb.
ACL-i viide eristab allika- ja sihtkohatüüpe. See on piirang, mitte automaatne tõlketeenus. Ainult IPv4 veebisait võib muutuda kättesaamatuks, kuigi masin võiks sellele IPv4 kaudu muidu juurde pääseda.
Väljuva IPv6-aadressi sidumine ei ole samuti kogu jõustamispoliitika. Allika valik, lubatud sihtkoha perekonnad, DNS-vastused ja tegelik võrgu kättesaadavus kõik aitavad kaasa. Otsustage selgelt, kas IPv4-le tagasilangemine on vastuvõetav.
forwarded_for muutmine ei lahenda seda probleemi. See mõjutab HTTP-päist, mitte puhverserveri TCP-ühenduse aadressiperekonda. Samuti ei taga IPv6 DNS-resolver, et igal nimel, millele see vastab, on IPv6-sihtkoht.
Kontrollige väljaandespetsiifilist käitumist enne suure vana konfiguratsiooni kasutuselevõttu. Eelkõige: dns_v4_first ei ole toetatud perekonna-eelistuse lüliti Squidis 5 kuni 7. Poliitikat, mida saate täpselt kirjeldada, on lihtsam valideerida kui seotud IPv6-seadete kogumit.