3proxy双栈环境下IPv4地址被映射为IPv6格式的问题解析

问题现象

在使用3proxy搭建网络服务时，配置了同时监听IPv4和IPv6流量的双栈环境。具体配置如下：

internal [::]
allow * 10.1.2.3 www.baidu.com
log format "%N %E %C %p %n"

当客户端10.1.2.3通过服务访问www.baidu.com时，出现403访问拒绝错误。日志显示客户端的IPv4地址10.1.2.3被记录为::ffff:10.1.2.3的格式。

技术原理

IPv6映射地址机制

当3proxy监听[::]时，实际上是在IPv6套接字上监听所有流量。操作系统会自动将传入的IPv4连接转换为IPv6映射地址格式，这是RFC 4291定义的标准行为。这种映射地址的格式为：

::ffff:IPv4地址

例如IPv4地址10.1.2.3会被表示为::ffff:10.1.2.3或十六进制格式::ffff:0a01:0203。

3proxy的ACL处理

在访问控制列表(ACL)匹配时，3proxy会严格按照地址格式进行匹配。当监听IPv6套接字时，所有客户端地址都会被转换为IPv6格式，因此ACL规则中的地址也需要使用对应的IPv6表示法。

解决方案

方案一：修改ACL规则

将ACL规则中的IPv4地址改为对应的IPv6映射格式：

allow * ::ffff:10.1.2.3 www.baidu.com

或使用十六进制表示：

allow * ::ffff:0a01:0203 www.baidu.com

方案二：分离监听配置

如果需要严格区分IPv4和IPv6流量，可以分别配置监听：

internal 0.0.0.0  # 仅IPv4
internal [::]     # 仅IPv6

这样IPv4连接将保持原始地址格式。

最佳实践建议

1. 在双栈环境中，建议统一使用IPv6格式的ACL规则
2. 对于需要同时支持IPv4/IPv6的场景，可以使用地址范围匹配：

   allow * ::ffff:10.1.2.0/120 www.baidu.com
   

3. 重要业务系统建议在测试环境充分验证ACL规则的有效性
4. 日志分析时需要注意地址格式转换带来的影响

总结

3proxy在双栈环境下的地址处理遵循操作系统和网络协议标准，理解IPv4到IPv6的地址映射机制对于正确配置ACL规则至关重要。通过合理配置地址格式或分离监听策略，可以有效解决这类访问控制问题。