الخلاصة

  • يجعل GTSM حركة BGP المحمية تبدأ بقيمة TTL أو Hop Limit تساوي 255، ثم لا يسمح إلا بالقيم المتوافقة مع مسافة شبكية معتمدة.
  • اجتياز الاختبار يثبت قرباً طوبولوجياً محدوداً، ولا يثبت هوية النظير أو سلامة محتوى TCP/BGP، ولا يغني عن ترشيح الدخول أو TCP-AO أو سياسة التوجيه.
  • يحتاج الإثبات إلى الاتجاهين: قيمة الإرسال 255، وقيمة الوصول، والعتبة المنفذة، وأول عداد إسقاط، وحالة TCP وBGP، والنتيجة النهائية للمسارات.

أسهل إصلاح هو تغيير hops 2 إلى hops 3. قد تعود الجلسة فوراً، لكن دائرة الثقة تتسع معها. فالموقع الشبكي الإضافي الذي أصبح مشروعاً للمسار الحقيقي يمكن أن يصبح مشروعاً أيضاً لحزمة منتحلة. لذلك لا يمثل hop count مجرد سماح للتوافر؛ إنه ميزانية ثقة مبنية على الطوبولوجيا.

ما تقوله البقية من 255

حقل TTL في IPv4 وحقل Hop Limit في IPv6 من ثماني بتات، وأقصى قيمة لهما 255. يخفض الموجّه القيمة عند العبور الاعتيادي. يبدأ GTSM من السقف ويقرأ ما تبقى عند الطرف الآخر.

في الاتصال المباشر تصل الحزمة بقيمة 255. وفي multihop تنقص بقدر القفزات الموجّهة. تصف وثائق Cisco المشار إليها حد القبول الأدنى بأنه 255 ناقص عدد القفزات المضبوط، بينما يتيح FRRouting الأمر neighbor PEER ttl-security hops NUMBER. لكن طريقة العد والتفاعل مع إعدادات multihop تفاصيل خاصة بالتنفيذ. القاعدة الآمنة هي اشتقاق النطاق على المنصة نفسها ثم التحقق منه بحزمة حقيقية.

إذا كانت العتبة 253، فإن وصول 253 يثبت فقط أن الحزمة تبدو وكأنها لم تعبر أكثر من المسافة المسموح بها. لا يذكر ذلك اسم مرسلها. المهاجم البعيد لا يستطيع البدء من قيمة أعلى من 255 لتعويض النقص، أما المهاجم الموجود على الوصلة نفسها مع النظير الشرعي فيستطيع استخدام القيمة العالية ذاتها.

يصعب اصطناع القرب من بعيد، ويسهل اصطناعه من قريب. هنا تنتهي سلطة GTSM.

كلمة Trusted لا تصدّق المحتوى

يصنف RFC 5082 الحزمة المرتبطة بجلسة محمية على أنها Trusted إذا وقعت قيمتها ضمن المدى المتوقع، وDangerous إذا خرجت عنه، وUnknown إذا لم يستطع GTSM ربطها بجلسة مسجلة.

هذه أسماء لنتيجة اختبار المسافة لا لحقيقة الرسالة. يمكن لنظير شرعي مخترق أن يرسل UPDATE ضاراً يمر كـTrusted. ويمكن لحزمة صحيحة أن تصبح Dangerous لأن الصيانة أطالت الطريق.

كما أن موضع التصنيف حاسم. صمم GTSM لحماية موارد مستوى التحكم النادرة من استهلاك المعالج وعرض النطاق بين البطاقات. إذا أسقطت عملية BGP الحزمة بعد وصولها إلى المعالج والطوابير وTCP، تكون الحماية من الاستنزاف جزئية. كلما حدث الفصل قرب عتاد التحويل، زادت فائدته ضد DoS.

لذلك لا يكفي عداد واحد. يجب ربط عداد العتاد، وسياسة مستوى التحكم، ورؤية النواة، ومقبس TCP، وعملية BGP. أول نقطة تختفي عندها الحزمة تحدد المورد الذي جرت حمايته فعلاً.

أربعة وقائع وراء سطر الإعداد

لا يعرّف RFC 5082 تفاوضاً عاماً وآلياً لـGTSM في البروتوكولات القائمة. يضبط المشغلان الطرفين يدوياً: إرسال 255 وقبول المسافة الصحيحة في كل اتجاه.

يجب فصل الطوبولوجيا المعتمدة، وعدد القفزات المضبوط، والطريق المرصود، والعتبة التي يطبقها الجهاز فعلياً. تتباعد هذه الوقائع بعد ECMP أو failover أو نقل loopback أو تبديل المنصة أو إدخال service chain أو اختلاف مساري IPv4 وIPv6.

يعبر سطر ttl-security عن نية، لا عن قيمة خرجت على السلك أو نقطة إسقاط. وحتى Established لا يثبت تفعيل GTSM؛ يمكن للجلسة أن تعمل إذا عُطلت الحماية بالخطأ في الطرفين.

الإثبات القوي يحتاج حالة سلبية. في canary معزول تمر حزمة عند العتبة، وتسقط حزمة أقل بوحدة في العداد المبكر المتوقع، من دون أن تظهر في TCP أو BGP. النجاح وحده لا يرسم الحد؛ الفشل المتوقع هو الذي يفعل ذلك.

multihop يحول القرب إلى قطر ثقة

تقدم المجاورة المباشرة أوضح حالة: يسلم النظير 255، وأي موجّه عادي بين الطرفين يغيرها. لذلك يقصر RFC 5082 أقوى بيان لتطبيقه على الطوبولوجيات المحدودة بطبيعتها، وخصوصاً الاتصال المباشر.

يظل multihop مفيداً في استبعاد مصادر بعيدة، لكنه يضم كل نقاط الحقن الواقعة داخل القطر المسموح إلى مجموعة من يستطيعون اجتياز الاختبار. يحذر RFC 7454 من ضعف الفاعلية لهذا السبب.

كل وحدة من الهامش تحتاج سبباً. قد يغطي السماح بخمس قفزات لمسار اعتيادي من قفزتين طريق فشل موثقاً، وقد يكون مجرد رقم من قالب قديم. الأول قرار استمرارية؛ والثاني توسعة بلا مالك.

ولا يتطابق الاتجاهان بالضرورة. قد يقطع A إلى B قفزتين ويعود B إلى A عبر ثلاث. تمر SYN وتسقط SYN-ACK. وقد يختار ECMP مساراً أطول أحياناً فيظهر عطل متقطع. يجب الاحتفاظ بتوزيع القيم حسب الاتجاه وعائلة العناوين والطريق وحقبة الجلسة، لا بعينة traceroute واحدة.

النفق قد يرفع الحزمة إلى قرب مصطنع

قد ينقل النفق الحزمة الداخلية عبر مسافة كبيرة من دون خفض TTL الداخلي. تظهر الحزمة بعد فك التغليف قرب النظير بقيمة مرتفعة رغم أن نقطة الحقن الأصلية بعيدة. وتنقل نماذج أخرى القيم أو تنسخها؛ ولا تتساوى نماذج MPLS uniform وpipe وshort-pipe.

يتعامل RFC 5082 مع سلامة النفق والثقة في نقطتيه والتحقق من المصدر على أنها افتراضات أمنية. ينبغي للسجل أن يذكر من يستطيع الحقن عند البداية، وكيف يعامل TTL الداخلي والخارجي، وأين ينتهي النفق، وما الذي يتحقق من المصدر عند الخروج. عبارة «النفق قفزة واحدة» ليست دليلاً.

يمكن لخدمة تنقية DDoS أو جدار ناري افتراضي أن تبقي عنوان النظير كما هو وتغير معنى المسافة كلياً. كل وسيط يغير حساب GTSM جزء من حد الثقة، ولو لم يظهر في إعداد BGP.

وتكشف التجزئة زاوية عمياء أخرى. لا تحمل الأجزاء غير الأولى رأس TCP الذي يسمح بربطها مبكراً بالجلسة. وقد يستهلك إعادة التجميع الذاكرة والمعالج اللذين يفترض حمايتهما. يوصي RFC 5082 بتجنب التجزئة؛ لذا تحتاج MTU وICMP وسياسة الأجزاء إلى اختبارات منفصلة.

المسافة والهوية وحق المسار أعمدة مستقلة

يسأل GTSM إن كانت المسافة معقولة. يسأل ingress filtering إن كان عنوان المصدر معقولاً على الواجهة. يتحقق TCP-AO من أصالة مقطع TCP وسلامته ضمن سياق المفاتيح. تقيد سياسة مستوى التحكم الموارد. وتقرر سياسة BGP ما إذا كان المسار مسموحاً.

قد يجتاز مهاجم على الوصلة GTSM ثم يفشل في التحقق من المصدر. وقد يحافظ مهاجم على الطريق على المسافة، فتظل المصادقة التشفيرية ضرورية. ويمكن لنظير صحيح المصادقة لكنه مخترق أن يعلن بادئة غير مصرح بها، فيجب أن تمنعها import policy المحلية. أما حركة Unknown فتحتاج policing مستقلاً.

تسمية TTL 255 مصادقة تضخم الدليل. واعتبار GTSM عديم القيمة لأنه ليس مصادقة يقلل منه. وظيفته الدقيقة هي إسقاط فئة من الانتحال البعيد غير المتوافق مع الطوبولوجيا مبكراً وبكلفة قليلة.

canary يتنبأ بمكان الفشل

قبل تغيير الطريق، تلتقط القيم في الاتجاهين: 255 عند الخروج، وتوزيع الوصول، والعتبة، وأول عداد تنفيذ. تُنمذج المسارات العادية ومسار الصيانة وECMP والفشل الواقعي.

إذا أصبح الحد الشرعي 252، فإما أن تبقى الطوبولوجيا داخل الحد القديم أو يُعتمد قطر أكبر صراحة. يحتاج التوسيع المؤقت إلى موعد انتهاء وخطة رجوع.

في علاقة اختبار معزولة، ترسل ثلاث حالات: أعلى من العتبة، وعندها، وأقل بوحدة. تصل الأوليان إلى الطبقة التالية، وتسقط الثالثة عند النقطة المتوقعة. ثم تختبر على حدة انتحالاً على الوصلة، ومفتاح TCP خاطئاً، ومساراً غير مصرح به من نظير مصادق. يجب أن يفشل كل اختبار في طبقته المختصة.

بعد التحويل، تربط إسقاطات GTSM وإعادات TCP وفشل المصادقة وحالات BGP والمسارات. غياب مسار لا يثبت إسقاط TTL؛ فقد تصنع ACL أو المفاتيح أو NOTIFICATION أو السياسة النتيجة نفسها.

يعيد rollback الطريق السابق أو العتبات الثنائية الصريحة. تعطيل GTSM في طرف وفتح الطرف الآخر إلى الحد الأقصى يعيد اللون الأخضر لكنه يخفي تراجعاً أمنياً.

لم تكن حزمة 252 مذنبة؛ كانت غير متوافقة مع عقد 253. تنجح GTSM حين يبقى الاستنتاج بهذا الضيق: القرب يسمح بالانتقال إلى الفحص التالي، ولا يمنح هوية أو سلامة أو حق إعلان.