לקוחות Squid ב-IPv4 ויעדי IPv6: מדיניות נפרדת

אפשר לקבל לקוח דרך IPv4 ולהגיע לאתר שהוא מבקש דרך IPv6. אלה חיבורים נפרדים. מדיניות בצד האתר לא אמורה לדחות אוטומטית לקוחות IPv4.

זו המלכודת בדוגמאות שמשלבות דחיית משפחת יעד עם src ipv4: ה-ACL של המקור משנה מי רשאי להתחבר, לא רק אילו חיבורים לאתרים מותרים.

הגדירו את המגבלה המיועדת

בגרסאות Squid שתומכות ב-IP ACL הרלוונטיים, כלל של משפחת יעד יכול להשתמש ב-dst ipv4 כדי לזהות יעדי IPv4. שלבו כללים כאלה עם האימות והרשאות היעד הקיימים; אל תוסיפו הרשאת IPv6 רחבה שעוקפת אותם.

הפניה ל-ACL מבחינה בין סוגי מקור ליעד. זו הגבלה, לא שירות תרגום אוטומטי. אתר IPv4 בלבד עלול להפוך ללא זמין למרות שהמכונה הייתה יכולה להגיע אליו דרך IPv4.

קישור כתובת IPv6 יוצאת אינו כל מדיניות האכיפה. בחירת מקור, משפחות יעד מותרות, תשובות DNS ונגישות רשת בפועל כולם תורמים. החליטו במפורש אם נפילה חזרה ל-IPv4 מקובלת.

שינוי forwarded_for לא פותר את הבעיה הזו. זה משפיע על כותרת HTTP, לא על משפחת הכתובות של חיבור ה-TCP של ה-proxy. בדומה לכך, פותר DNS של IPv6 לא מבטיח שלכל שם שהוא עונה עליו יש יעד IPv6.

בדקו התנהגות ספציפית לגרסה לפני אימוץ תצורה ישנה גדולה. במיוחד: dns_v4_first אינו מתג העדפת משפחה נתמך ב-Squid 5 עד 7. מדיניות שאפשר לתאר במדויק קלה יותר לאימות מאשר אוסף של הגדרות IPv6 לא קשורות.