الخلاصة

  • تعتبر draft-ietf-spring-srv6-security-16 نطاق الثقة بناءً منطقيًا وتشغيليًا تُطبّق فيه فرضية الترشيح الحدودي الواردة في RFC 8402، لا مساحة مادية.
  • قد تبقى عدة حالات SR تابعة لجهة إدارية واحدة منفصلة منطقيًا أو تشغيليًا. الاسم والمالك والموقع المشترك لا تمنح عقدة في نطاق سلطة داخل نطاق آخر.
  • يمكن أن تفشل الحدود على وضع السماح بسبب تعديل خاطئ أو قصور في قدرة العتاد. كما أن البحث عن SRH وحده لا يكفي، لأن معالجة SID قد تتم من دونه وقد يحمل العابر SRH.
  • ينبغي أن يربط بيان حدود نطاق الثقة وإيصال إنفاذه العضوية والنطاقات والمفاتيح والقواعد المقصودة والمثبتة والسعة والاختبارات السلبية. هذا اقتراح تحريري من Daniel Kade، وليس مطلبًا من IETF.

تغيّر الاسم قبل أن تتغيّر الصلاحيات

لشبكتين SRv6 تاريخان مختلفان: خطة SID مستقلة، ومتحكّمون مختلفون، ومفاتيح منفصلة، وفرق تشغيل لا تملك الصلاحيات نفسها. يأتي الاستحواذ فيوحد المالك والميزانية. وعندما يُرسم المخطط الجديد، تصبح الوصلة المرشّحة بينهما «داخلية» بحكم الاسم.

هذه القفزة تختصر قرارًا أمنيًا في حدث تجاري. لا يمنح العقد القانوني عقدةً مخولة في الشبكة الأولى حق فرض مسار في الثانية. ولا يثبت أن عناوين المصدر والوجهة متوافقة مع قاعدة واحدة، أو أن المنصات تستطيع استيعابها، أو أن الاختبارات اجتازت كل حافة. إزالة المرشح قد توسّع السلطة من دون محضر قرار.

تقدم النسخة 16 من Segment Routing IPv6 Security Considerations صياغة تمنع هذا الخلط. فهي تستند إلى RFC 8402 الذي يفترض تشغيل Segment Routing داخل نطاق ثقة مع ترشيح المرور عند الحدود. ثم تؤكد أن النطاق منطقي وتشغيلي، لا مادي. الخادم الموجود على الشبكة المادية نفسها لا يصبح عضوًا ما لم يُدخَل صراحة تحت ضوابطها.

وتذكر المسودة بوضوح أن جهة إدارية واحدة قد تضم حالات SR متعددة تظل متمايزة منطقيًا أو تشغيليًا. وفي نموذج التهديد، يُعامل المصدر الموجود في نطاق ثقة آخر بصفته خارجيًا. بذلك لا يصلح اسم الشركة دليل عضوية.

Last Call ليست شهادة تنفيذ

فتح IESG مرحلة Last Call للنسخة 16 في 3 سبتمبر 2026، وحدد 17 سبتمبر موعدًا نهائيًا للتعليقات. عند حد البحث في 9 سبتمبر، كان Datatracker ما يزال يسجل Internet-Draft نشطًا ضمن مجموعة SPRING وبحالة مستهدفة Informational. لم يكن هناك موعد telechat، كما أشارت حالة المجموعة إلى الحاجة إلى نسخة منقحة بسبب مسألة طُرحت في WGLC.

إذن 17 سبتمبر ليس موعد موافقة مضمونًا. النسخة 16 ليست RFC، ولا تدقيقًا لشبكة بعينها، ولا شهادة بأن الحدود مطبقة. وهي تنص على أنها لا تعرّف بروتوكولًا أمنيًا جديدًا أو امتدادًا جديدًا. قيمتها هنا أنها تكشف الفرضية التي يجب على التشغيل إثباتها.

تتجاوز أهمية RFC 8402 عبارة الترشيح. فهي تفترض أن العقدة التي تضيف قائمة مقاطع أو SRH مأذون لها بذلك. العضوية تمنح قدرة فعلية على التأثير في مسار الحزمة ومعالجتها. وإذا اتسعت العضوية تلقائيًا مع الاستحواذ، اتسعت هذه القدرة بلا سجل تفويض مستقل.

للثقة ثلاث طبقات من الدليل

تعترف المسودة بأن الحفاظ على مرشحات صحيحة عند كل حافة أمر صعب ومعرّض للخطأ. حذف قاعدة أو تعديلها بطريقة خاطئة قد يفتح تسربًا إلى الداخل أو الخارج. وقد تفتقر منصة ما إلى حجم الجدول أو تعقيد المطابقة أو دعم البروتوكول اللازم لتنفيذ السياسة المطلوبة.

هنا يظهر الفشل على وضع السماح. ما كان التحليل يتوقعه من مهاجم داخلي فقط يمكن أن يصبح متاحًا من الخارج عندما يتوقف نظام مشارك عن إنفاذ القاعدة التي عرّفت الحد.

لا بد من فصل ثلاثة أشياء. العضوية المعلنة تسمي العقد والمصادر والمتحكمين والأدوار. السياسة المقصودة تحدد المداخل والمخارج ونطاقات SID والمصدر والتغليف والاستثناءات. الإنفاذ المرصود يبيّن القواعد المثبتة والسعة المتبقية والعدادات ونتائج الاختبار.

نجاح طلب الضبط لا يثبت الطبقة الثالثة. فقد تقبل واجهة الطلب فيما تفشل منصة عند حافة أخرى، أو تمتلئ ذاكرة ACL، أو تضيع القاعدة بعد إعادة تشغيل. كما لا يثبت أن حزمة اختبار خارجية قد رُفضت بالفعل.

تزيد عمليات الدمج احتمال الاختلاف. قد تخصص إحدى الشبكتين نطاقًا واضحًا لـ SID، بينما تستخدم الأخرى خطة أصعب في الترشيح. قد تفرض إحداهما التغليف عند المدخل، وتعتمد الثانية على ضوابط أخرى. وقد تشترك ACL أو TCAM مع وظائف VLAN وجداول التوجيه. وحدة المالك لا تضيف سعة إلى العتاد.

وجود SRH ليس تعريفًا للحد

قد يبدو إسقاط كل حزمة تحمل SRH حلًا بسيطًا، لكن النسخة 16 تسجل مشكلتين. أولًا، SRH اختياري في معالجة SID. وثانيًا، قد تعبر حزمة تحمل SRH النطاق من دون أن تكون موجهة إليه. لذلك يفوّت الشرط المنفرد بعض المرور المهم وقد يكسر عبورًا مشروعًا.

الأدق هو ربط المصدر بالوجهة والنطاق. عند المدخل، يُسقط المرور القادم من الخارج والمتجه إلى SID داخلي. وعلى العقدة الممكنة لـ SRv6، تُسقط الحزمة المتجهة إلى SID محلي إذا جاء مصدرها من خارج النطاق. وإذا غابت الطبقتان، ينشأ الانفتاح الذي يغيّر نموذج التهديد.

يتطلب ذلك نطاقات بنية تحتية قابلة للتمييز. توفر RFC 9602 بادئة مخصصة لـ SRv6 SID. وتشير المسودة إلى أن البدائل قد تعقّد المرشحات وتزيد خطر تسرب المسارات أو الخطأ البشري. لا تفرض عنوانًا واحدًا على الجميع، بل تجعل السياسة مسؤولة عن فهم العناوين الفعلية.

يوفر التغليف عند المدخل طبقة أخرى. تنشئ عقدة موثوقة رأس IPv6 خارجيًا وSRH جديدًا، فلا تعتمد قرارات الداخل على حقول قدمها مصدر غير موثوق. لكن التغليف مكمل للترشيح الحدودي، وليس بديلًا عنه.

قد تحمل العقدة الواحدة نطاقي مفاتيح

تعرّف RFC 8754 TLV اختياريًا لـ HMAC يحمي حقولًا محددة في SRH. وتحذر النسخة 16 من أن الإدارة اليدوية للمفاتيح المشتركة مسبقًا قد تشجع إعادة الاستخدام. وتقول إن المفتاح نفسه لا ينبغي أن يُستخدم في نطاقي ثقة مختلفين، حتى لو وُجدا على العقدة نفسها.

هذه الحالة تفصل الجهاز المادي عن حدود السلطة. يمكن لصندوق واحد أن يستضيف حالتين لا تتمتعان بالتفويض نفسه، ولذلك لا يبرر اشتراكهما في الجهاز اشتراكهما في السر.

نجاح HMAC محدود المعنى كذلك. عقدة شرعية مخترقة وتملك المفتاح تظل مهاجمًا داخليًا في النموذج. وقد يعيد طرف داخلي لا يملك المفتاح إرسال SRH وHMAC التقطهما سابقًا ما دام المفتاح صالحًا. تثبت الآلية علاقة تشفير معينة، لكنها لا تقرر من يحق له فرض أي مسار.

استخدام مفتاح موحد للمؤسسة قد يجعل التكامل يبدو ناجحًا لأن كل شيء يمر بالتحقق. غير أن سلطةً جديدة تكون قد نشأت بالاختصار، ويصبح الفصل لاحقًا أكثر كلفة.

سجل للنطاق الذي يوجد فعلًا

يحتاج المشغّل إلى بيان حدود نطاق ثقة ذي نسخة، وإلى إيصال إنفاذ عند كل تغيير. لا يغير هذا SRv6 ولا ينسب نفسه إلى IETF. وظيفته أن يفصل الحقائق التي تختفي عادة في كلمة «داخلي».

يعطي البيان النطاق هوية، ويسمي العقد والأدوار المقبولة، والمداخل والمخارج، ونطاقات SID والمصادر، وسلطات المتحكم، ونقاط التغليف، ومعرفات نطاقات المفاتيح من دون كشف المفاتيح. ويحمل كل معبر إلى نطاق آخر مسؤولًا وسببًا وتاريخ انتهاء.

يربط الإيصال النية المعتمدة بالنتيجة: القاعدة التي تبلغ كل منصة عن تثبيتها، والسعة المتاحة، والعدادات، واختبارًا سلبيًا من الخارج، واختبارًا مسموحًا من الداخل، والاستثناءات. تغيير البنية أو البرنامج أو العتاد أو البادئة أو الدور أو المفتاح يجعل الإيصال السابق قديمًا.

لا يقول هذا إن الشبكة منيعة. بل يقدم ادعاءً محدودًا يمكن مراجعته: اختُبرت هذه النسخة من النطاق عند هذه الحواف وعلى هذه المنصات ولهذه النطاقات وفي هذا الوقت، وبقيت هذه القيود.

يسأل The Policy Mirror أين تُكتب القاعدة التي تنتج الأثر. هنا تتوزع على العضوية والعناوين والمرشحات والتغليف والمفاتيح. ويطلب Running-Code Primacy إثبات عملها معًا. أما Reality, Not Advocacy فيضبط النتيجة: لا تتهم المسودة مشغّلًا ولا تحل SRv6 بين النطاقات. لكنها تبيّن لماذا لا تصنع الملكية المشتركة ثقة مشتركة.

المصادر