FlowSpec يرفض القاعدة كلها عند تعذر مطابقة البايتات الإلزامية

الخلاصة

تقترح النسخة draft-ietf-idr-fsv2-content-filter-00 المؤرخة في 2 نوفمبر مطابقة محتوى ثابت في الحزم ضمن FlowSpec بنسختيه الأولى والثانية. إنها مسودة لمجموعة عمل IDR في IETF وليست RFC.
تحدد القاعدة موضع البداية والإزاحة والبايتات والقناع. وفي FSv2 يكون هذا المكوّن إلزامياً؛ إذا لم يستطع الجهاز تنفيذه، امتنع تثبيت المسار كله محلياً.
حذف شرط البايتات مع إبقاء فعل الإسقاط أو الحد من السرعة يوسّع نطاق المرشح. يظل اختيار نظراء BGP الموثوقين والتفويض وحدود الموارد والانتشار قراراً محلياً للمشغّل.

حين يختفي الشرط الضيق ويتبقى المنع الواسع

يحمل FlowSpec قواعد معالجة الحركة عبر BGP. شروطه الأساسية للشبكات IP تنظر غالباً إلى الترويسات، من عناوين ومنافذ. النص الجديد من مجموعة IDR يسمح بإضافة تسلسل بايتات ثابت داخل الحزمة. يمكن لهذا التفصيل أن يلتقط نمطاً معروفاً في هجوم كثيف. لكنه يصبح خطراً إذا عجزت آلة عن فهمه، ثم احتفظت بالأمر الذي كان يفترض أن يعتمد عليه.

طريقة الوصف محددة. يختار OType بداية ترويسة IP أو حمولة IP أو حمولة UDP أو TCP. تحدد Offset المسافة، ثم تختار Content وMask البتات المهمة. يعرض النص مثالاً على بايتين عند بداية حمولة TCP، مع بادئة وجهة. هذه مقارنة نمط ثابت في موضع بعينه، وليست قراءة لمعنى رسالة التطبيق.

يمكن للترميز حمل طول من بايت واحد إلى 255، لكن الجهاز يستطيع اعتماد حد محلي أصغر بحسب قدرته على التحليل أو الترشيح. هنا تقع نقطة الحسم: يجب وضع مكوّن محتوى الحزمة في FSv2 بوصفه إلزامياً. إذا تعذر تثبيته، يصبح مسار FlowSpec بأكمله غير مؤهل للتثبيت المحلي. لا يجوز إسقاط المكوّن بصمت ثم تشغيل بقية الشروط. فالقاعدة التي كانت ستطابق نمطاً ضيقاً قد تسقط أو تحوّل أو تحد من حركة أوسع وفق السياسة المحلية.

حتى الإزاحة تحتاج إلى فهم مسار الحزمة. في IPv6 تبدأ حمولة IP بعد الترويسة الثابتة، وقد تقع ترويسات الامتداد ضمن المساحة المعدودة. تعديلها على الطريق قد ينقل البايتات المقصودة. وقد تجعل الأنفاق العدّ من الحزمة الخارجية ملتبساً. توصي المسودة باستخدام حزمة IP الداخلية بعد إزالة التغليف حيث يناسب، أو بضبط نقطة بداية لا تحتمل تفسيرين. وإذا لم يجد الجهاز حمولة UDP أو TCP المطلوبة فلا يسجل مطابقة.

يوصي المؤلفون بنقاط ترشيح مضبوطة، وشروط ترويسة إضافية، ونظراء BGP موثوقين، وانتشار محدود. موارد ACL وUDF وTCAM محدودة. تذكر المسودة اختبارات باستخدام OpenBGPD وFRRouting ومبدلات قابلة للبرمجة، من دون أرقام عن استخدام إنتاجي أو حوادث. خطها العملي واضح: الجهاز الذي يعجز عن تنفيذ الشرط الدقيق لا يحصل على إذن بتشغيل بديل أوسع.