Klienci Squid IPv4 i cele IPv6: osobne zasady
Klient IPv4 może użyć Squida, aby dotrzeć do witryny IPv6. Rozróżnij ograniczenia celu, ACL źródła i wybór adresu, zanim wybierzesz zasady tylko dla IPv6.
Można przyjąć klienta przez IPv4 i dotrzeć do żądanej przez niego witryny przez IPv6. To osobne połączenia. Zasada dotycząca strony witryny nie powinna automatycznie odrzucać klientów IPv4.
To pułapka w przykładach łączących odmowę rodziny celu z src ipv4: ACL źródła zmienia, kto może się połączyć, a nie tylko które połączenia z witrynami są dozwolone.
Zdefiniuj zamierzone ograniczenie
W wersjach Squida obsługujących odpowiednie ACL IP reguła rodziny celu może używać dst ipv4 do identyfikowania celów IPv4. Integruj takie reguły z istniejącym uwierzytelnianiem i uprawnieniami celu; nie dodawaj szerokiego zezwolenia IPv6, które je omija.
Odwołanie ACL rozróżnia typy źródła i celu. To ograniczenie, a nie usługa automatycznego tłumaczenia. Witryna tylko IPv4 może stać się niedostępna, choć maszyna mogłaby do niej dotrzeć przez IPv4.
Przypisanie wychodzącego adresu IPv6 również nie jest całą polityką egzekwowania. Wybór źródła, dozwolone rodziny celów, odpowiedzi DNS i rzeczywista osiągalność sieci wszystkie się do tego przyczyniają. Zdecyduj wyraźnie, czy powrót do IPv4 jest akceptowalny.
Zmiana forwarded_for nie rozwiązuje tego problemu. Wpływa na nagłówek HTTP, a nie na rodzinę adresów połączenia TCP proxy. Podobnie resolver DNS IPv6 nie gwarantuje, że każda nazwa, na którą odpowiada, ma cel IPv6.
Sprawdź zachowanie specyficzne dla wersji przed przyjęciem dużej starej konfiguracji. W szczególności: dns_v4_first nie jest obsługiwanym przełącznikiem preferencji rodziny w Squidzie 5–7. Zasadę, którą można precyzyjnie opisać, łatwiej zweryfikować niż zbiór niepowiązanych ustawień IPv6.