Clients IPv4 de Squid et destinations IPv6 : des politiques distinctes
Un client IPv4 peut utiliser Squid pour joindre un site web IPv6. Distinguez les restrictions de destination, les ACL de source et le choix d'adresse avant d'opter pour une politique IPv6 uniquement.
Il est possible d'accepter un client en IPv4 et de joindre le site web qu'il demande en IPv6. Ce sont des connexions distinctes. Une politique portant sur le côté site web ne devrait pas rejeter automatiquement les clients IPv4.
C'est le piège des exemples qui associent un refus de famille de destination à src ipv4 : l'ACL de source change qui peut se connecter, pas seulement quelles connexions aux sites web sont autorisées.
Définir la restriction voulue
Pour les versions de Squid prenant en charge les ACL IP concernées, une règle de famille de destination peut utiliser dst ipv4 pour identifier les destinations IPv4. Intégrez ces règles à l'authentification et aux autorisations de destination existantes ; n'ajoutez pas une large autorisation IPv6 qui les contourne.
La référence ACL distingue les types de source et de destination. Il s'agit d'une restriction, non d'un service de traduction automatique. Un site web uniquement IPv4 peut devenir inaccessible alors que la machine pourrait autrement l'atteindre en IPv4.
Lier une adresse IPv6 sortante ne constitue pas non plus toute la politique d'application. Le choix de la source, les familles de destination autorisées, les réponses DNS et l'accessibilité réelle du réseau y contribuent tous. Décidez explicitement si le retour à IPv4 est acceptable.
Modifier forwarded_for ne résout pas ce problème. Cela affecte un en-tête HTTP, pas la famille d'adresses de la connexion TCP du proxy. De même, un résolveur DNS IPv6 ne garantit pas que chaque nom auquel il répond ait une destination IPv6.
Vérifiez le comportement propre à la version avant d'adopter une grande configuration ancienne. En particulier : dns_v4_first n'est pas un commutateur de préférence de famille pris en charge dans Squid 5 à 7. Une politique que vous pouvez décrire précisément est plus facile à valider qu'un ensemble de réglages IPv6 sans rapport.