Squid IPv4-clients en IPv6-bestemmingen: aparte beleidsregels
Een IPv4-client kan Squid gebruiken om een IPv6-website te bereiken. Onderscheid bestemmingsbeperkingen, bron-ACL's en adreskeuze voordat u een beleid voor alleen IPv6 kiest.
Het is mogelijk een client via IPv4 te accepteren en de opgevraagde website via IPv6 te bereiken. Dat zijn afzonderlijke verbindingen. Een beleid aan de websitekant zou IPv4-clients niet automatisch moeten weigeren.
Dat is de valkuil in voorbeelden die een weigering op basis van bestemmingsfamilie combineren met src ipv4: de bron-ACL verandert wie mag verbinden, niet alleen welke websiteverbindingen zijn toegestaan.
Definieer de bedoelde beperking
Voor Squid-versies die de relevante IP-ACL's ondersteunen, kan een regel voor de bestemmingsfamilie dst ipv4 gebruiken om IPv4-bestemmingen te identificeren. Integreer zulke regels met bestaande authenticatie en bestemmingsrechten; voeg geen brede IPv6-toestemming toe die ze omzeilt.
De ACL-referentie onderscheidt bron- en bestemmingstypen. Dit is een beperking, geen automatische vertaaldienst. Een website met alleen IPv4 kan onbereikbaar worden, ook al zou de machine die via IPv4 kunnen bereiken.
Het binden van een uitgaand IPv6-adres is ook niet het hele handhavingsbeleid. Bronkeuze, toegestane bestemmingsfamilies, DNS-antwoorden en werkelijke netwerkbereikbaarheid dragen allemaal bij. Beslis uitdrukkelijk of IPv4-terugval aanvaardbaar is.
Het wijzigen van forwarded_for lost dit probleem niet op. Dat beïnvloedt een HTTP-header, niet de adresfamilie van de TCP-verbinding van de proxy. Evenzo garandeert een IPv6-DNS-resolver niet dat elke naam die hij beantwoordt een IPv6-bestemming heeft.
Controleer versie specifiek gedrag voordat u een grote oude configuratie overneemt. In het bijzonder: dns_v4_first is geen ondersteunde schakelaar voor gezinsvoorkeur in Squid 5 tot 7. Een beleid dat u nauwkeurig kunt beschrijven, is gemakkelijker te valideren dan een verzameling losse IPv6-instellingen.