Clienți Squid IPv4 și destinații IPv6: politici separate
Un client IPv4 poate folosi Squid pentru a ajunge la un site IPv6. Distingeți restricțiile de destinație, ACL-urile de sursă și selecția adresei înainte de a alege o politică doar IPv6.
Este posibil să acceptați un client pe IPv4 și să ajungeți la site-ul web solicitat pe IPv6. Acestea sunt conexiuni separate. O politică privind partea site-ului web nu ar trebui să respingă automat clienții IPv4.
Aceasta este capcana în exemplele care combină o interdicție a familiei destinației cu src ipv4: ACL-ul sursei schimbă cine se poate conecta, nu doar ce conexiuni la site-uri sunt permise.
Definiți restricția dorită
Pentru versiunile Squid care acceptă ACL-urile IP relevante, o regulă de familie a destinației poate folosi dst ipv4 pentru a identifica destinații IPv4. Integrați astfel de reguli cu autentificarea și permisiunile de destinație existente; nu adăugați o permisiune IPv6 largă care le ocolește.
Referința ACL distinge tipurile de sursă și destinație. Aceasta este o restricție, nu un serviciu de traducere automată. Un site doar IPv4 poate deveni indisponibil chiar dacă mașina l-ar putea atinge prin IPv4.
Legarea unei adrese IPv6 de ieșire nu este nici ea întreaga politică de aplicare. Selecția sursei, familiile de destinație permise, răspunsurile DNS și accesibilitatea reală a rețelei contribuie toate. Decideți explicit dacă revenirea la IPv4 este acceptabilă.
Modificarea forwarded_for nu rezolvă această problemă. Afectează un antet HTTP, nu familia de adrese a conexiunii TCP a proxy-ului. În mod similar, un resolver DNS IPv6 nu garantează că fiecare nume la care răspunde are o destinație IPv6.
Verificați comportamentul specific versiunii înainte de a adopta o configurație veche mare. În special: dns_v4_first nu este un comutator de preferință a familiei acceptat în Squid 5 până la 7. O politică pe care o puteți descrie precis este mai ușor de validat decât o colecție de setări IPv6 fără legătură.