Klien Squid IPv4 dan tujuan IPv6: kebijakan terpisah

Dimungkinkan untuk menerima klien melalui IPv4 dan mencapai situs web yang dimintanya melalui IPv6. Itu adalah koneksi terpisah. Kebijakan tentang sisi situs web tidak boleh otomatis menolak klien IPv4.

Itulah jebakannya dalam contoh yang menggabungkan penolakan keluarga tujuan dengan src ipv4: ACL sumber mengubah siapa yang boleh terhubung, bukan hanya koneksi situs web mana yang diizinkan.

Tentukan pembatasan yang dimaksud

Untuk rilis Squid yang mendukung IP ACL terkait, aturan keluarga tujuan dapat menggunakan dst ipv4 untuk mengidentifikasi tujuan IPv4. Integrasikan aturan tersebut dengan autentikasi dan izin tujuan yang ada; jangan menambahkan izin IPv6 luas yang melewatinya.

Referensi ACL membedakan jenis sumber dan tujuan. Ini adalah pembatasan, bukan layanan terjemahan otomatis. Situs web khusus IPv4 dapat menjadi tidak tersedia meskipun mesin sebenarnya dapat menjangkaunya melalui IPv4.

Mengikat alamat IPv6 keluar juga bukan keseluruhan kebijakan penegakan. Pemilihan sumber, keluarga tujuan yang diizinkan, jawaban DNS, dan keterjangkauan jaringan aktual semuanya berkontribusi. Putuskan secara eksplisit apakah fallback IPv4 dapat diterima.

Mengubah forwarded_for tidak menyelesaikan masalah ini. Itu memengaruhi header HTTP, bukan keluarga alamat koneksi TCP proksi. Demikian pula, resolver DNS IPv6 tidak menjamin bahwa setiap nama yang dijawabnya memiliki tujuan IPv6.

Periksa perilaku khusus rilis sebelum mengadopsi konfigurasi lama yang besar. Secara khusus: dns_v4_first bukan sakelar preferensi keluarga yang didukung di Squid 5 hingga 7. Kebijakan yang dapat Anda jelaskan dengan tepat lebih mudah divalidasi daripada kumpulan pengaturan IPv6 yang tidak terkait.