الخلاصة

  • عندما يستبدل جهاز TTL في حزمة traceroute بقيمة ثابتة مرتفعة، وكانت 255 الأكثر شيوعا في الدراسة، يمكن أن يختفي ما تبقى من المسار. يظهر الهدف بجوار آخر موجه أو AS مرئي رغم أن شبكات أخرى حملت الحزمة بينهما.
  • وجد الباحثون مسارات متأثرة صادرة من 950 مجسا لـRIPE Atlas في 471 AS، وحددوا ما لا يقل عن 47 AS بوصفها المواقع الأرجح لإعادة الكتابة. هذه حصيلة قياسات محدودة وليست نسبة من الإنترنت كله، كما أن تفصيلات IPv4 وIPv6 متداخلة.
  • التقاط الحزمة عند الهدف وقراءة TTL الأصلي المقتبس داخل خطأ ICMP يستطيعان إثبات الزيادة. أما طول المسار والحلقة الظاهرية من قفزة واحدة ومعلومات الطوبولوجيا الخارجية فهي إنذارات فقط. يسجل RIPE Atlas القيمة الداخلية في الحقل الاختياري ittl؛ غيابه يعني أن الدليل غير متاح، لا أن إعادة الكتابة لم تحدث.

استمرت الحزمة واختفى انتهاء العمر

يبني traceroute المسار من سلسلة مقصودة من حالات انتهاء العمر. تخرج الحزمة بقيمة TTL محدودة، ويخفضها كل موجه. عندما تصل إلى الصفر يتخلص الجهاز من الحزمة، ويمكنه أن يعيد ICMP Time Exceeded. ثم تخرج حزمة جديدة بقيمة أولية أكبر، فتظهر عادة القفزة التالية.

إذا استبدل جهاز على الطريق القيمة المتبقية بـ255، تنقطع السلسلة. يرى الموجه التالي 254، ثم ترى الأجهزة اللاحقة 253 و252 و251. لا يصل أي منها إلى الصفر، فلا يصدر رسالة الانتهاء التي ينتظرها traceroute. وإذا أجاب الهدف، فقد يأتي في السطر التالي مباشرة لآخر جهاز شوهد قبل إعادة الكتابة.

الموجهات المخفية أدت عملها. الذي حذفها هو التمثيل.

يتحول النقص إلى علاقة زائفة عندما تستخدم النتيجة لرسم طوبولوجيا. غالبا ما تفسر الاستجابات المتتالية على أنها موجهات متجاورة، ثم تربط العناوين بأنظمة مستقلة، وتصبح تسميتا AS متتاليتان وصلة مفترضة. هكذا تستطيع قيمة TTL ثابتة أن تصنع وصلة بين موجهين ثم بين نظامين مستقلين، من دون وجود ذلك التجاور المباشر في شبكة التحويل.

هذا غير مشكلة ECMP المعروفة. قد تسلك حزم القياس التقليدية مسارات متساوية الكلفة مختلفة، فتجمع تسلسلا لم تسلكه حزمة واحدة. يقلل Paris traceroute هذا الخطأ بتثبيت الحقول التي تدخل في اختيار التدفق. لكنه يظل معتمدا على خفض TTL في كل جهاز. ثبات التدفق لا يصلح حقلا رفعه جهاز في الطريق.

تكفي 950 مجسا لإثبات الظاهرة لا لقياس انتشارها عالميا

أجرى Sebastian Kappes وAnja Feldmann وTobias Fiebig وJohannes Zirngibl قياسات من مجسات RIPE Atlas إلى أهداف أمكنهم التقاط الحزم عند وصولها إليها. يفيد RIPE Labs بأن مسارات متأثرة خرجت من 950 مجسا موزعة على 471 AS.

الأرقام بحسب عائلة العناوين ليست مجموعات منفصلة: 800 مجس لـIPv4 و538 لـIPv6؛ و446 AS في IPv4 و263 في IPv6. جمع كل زوج سيكرر احتساب المجسات والشبكات التي ظهرت في العائلتين.

تحدد الورقة ما لا يقل عن 47 AS يحتمل أنها تضم أجهزة تعيد كتابة TTL بما يفسد رؤية المسار. في 43 منها كانت القيمة الأكثر شيوعا 255، وفي أربعة كانت 64. تشمل الأمثلة إعادة كتابة قرب المصدر وأخرى أثناء العبور. يذكر RIPE Labs أن 14 مجسا داخل Orange AS5511 و65 داخل AT&T AS7018 تأثرت بينما ظلت آخر قفزة مرئية داخل AS المصدر. وتوجد مسارات من شبكات مصدر أخرى يبدو أنها تأثرت بعد عبور Arelion AS1299.

تحدد هذه الأسماء مكان الدليل ولا تحسم المسؤولية. بعد اختفاء بقية الطريق، يكون AS الخاص بآخر عنوان ظاهر هو الموقع الأرجح فقط. قد يكون العنوان لموجه حدودي. ووجدت الدراسة أيضا مسارات كثيرة تمر عبر AS مدرج من دون تغيير TTL. يجب أن يتعلق الحكم بكل مسار، لا أن يصبح صفة دائمة لشبكة كاملة.

لتوزيع المجسات والأهداف حدوده. لا يمثل RIPE Atlas وCAIDA Ark الإنترنت توزيعا متساويا، وكثير من قياسات Atlas ينشئها المستخدمون وتتغير مع الزمن. واستخدمت التجارب المضبوطة مجموعة محدودة من الأهداف. تثبت النتيجة أن الآلية موجودة على نطاق تشغيلي، لكنها لا تقدر حصة جميع مسارات الإنترنت المتأثرة.

الرقم 49,600 له يوم ومقام محددان

استخدم التحليل التاريخي TTL الأصلي المحفوظ داخل بعض أخطاء ICMP. في لقطة RIPE Atlas ليوم 10 نوفمبر 2025، بدأ الباحثون من 204.8 مليون مسار. تلقى 2.65 مليون منها خطأ ICMP ذا صلة. ولم يتضمن TTL مقتبسا قابلا للفحص سوى 139,600. صنفت الطريقة 49,600 منها كحالات إعادة كتابة، أي 35.5% من هذه المجموعة الأخيرة.

ليست النتيجة أن 35.5% من كل مسارات Atlas أعيدت كتابتها. النسبة تخص المسارات التي حملت TTL مقتبسا في لقطة محددة التاريخ. الانتقال من 204.8 مليون إلى 139,600 هو جزء من النتيجة، لأنه يرسم المجال الذي توفر فيه الدليل الحاسم.

تظهر إشارات تاريخية منذ فبراير 2018 وتزداد رؤيتها لاحقا. لكن تركيب القياسات يتغير، وحقل ICMP اختياري، والطريقة أقدر على كشف زيادات TTL من تخفيضاته. تمثل السلسلة حدا أدنى محافظا للمسارات القابلة للفحص، لا تعدادا للأجهزة المنشورة.

توضح حالة من CAIDA Ark مقدار التشويه الممكن من نقطة مراقبة واحدة. في عقدة IPv6 المسماة igx2-us داخل AT&T AS7018، كان 93.4% من traceroutes المكتملة في أكتوبر 2025 بطول أربع قفزات. وبمقام مختلف، انتهى 95.9% من الحلقات المحددة بثلاث قفزات متطابقة. النسبتان تخصان حالة واحدة ولا تقيسان كل حركة AT&T أو كل مساراتها.

دليلان حاسمان وثلاثة إنذارات

تقترح الورقة خمسة مؤشرات لا تمنح النتيجة نفسها.

المؤشر ما يمكن استنتاجه
حزمة ملتقطة عند الهدف وTTL فيها أعلى من كل القيم المرسلة دليل حاسم على زيادة في ذلك المسار
الحزمة الأصلية مقتبسة في خطأ ICMP وTTL فيها أعلى من كل القيم المرسلة دليل حاسم على زيادة في ذلك المسار
المسار الأمامي أقصر ظاهريا بكثير من المسار العكسي المقدر إنذار يحتاج إلى دليل من الحزمة
العنوان نفسه يجيب عن قيمتي TTL متجاورتين كحلقة من قفزة واحدة إنذار يحتاج إلى دليل من الحزمة
الوصلة الظاهرية تخالف معلومات طوبولوجيا مستقلة إنذار يحتاج إلى دليل من الحزمة ونسبة حذرة إلى AS

المؤشرات الثلاثة الأخيرة ليست شروطا لازمة ولا كافية. قد يكون المسار القصير حقيقيا، وقد تكون للحلقة علة أخرى، كما أن بيانات التوجيه والربط البيني العامة غير كاملة. تحويل الإنذار إلى حكم يعيد خطأ الطوبولوجيا في طبقة أخرى.

أما الدليلان الحاسمان فلهما كلفة في نطاق الرؤية. التقاط الوصول يحتاج إلى السيطرة على الهدف. وطريقة ICMP تحتاج إلى أن يرسل الهدف أو آخر جهاز يمكن بلوغه خطأ صالحا يتضمن الحزمة الأصلية. كلما ارتفع معيار الإثبات، قل عدد المسارات التي يمكن تصنيفها.

غياب ittl ليس قيمة سالبة

تعرف وثائق RIPE Atlas ittl بأنه TTL في الحزمة التي سببت خطأ ICMP، وتصفه بأنه حقل اختياري. ويقول RIPE Labs إن Atlas لا يحتفظ بهذا TTL الداخلي إلا في بعض النتائج. إذا وجد وكان أعلى من كل القيم المرسلة، أمكنه تأكيد إعادة الكتابة. وإذا غاب، فقدت المعالجة اللاحقة مادة المقارنة الحاسمة.

يحتاج الغياب إلى حالة مستقلة. تخزينه على أنه ttl_rewrite=false يخلط بين عبارتين: «الدليل الحاسم المتاح لم يرصد زيادة» و«لم يتوفر دليل حاسم أصلا».

يمكن لسجل صغير لكل مسار أن يفرق بين:

  • confirmed_target_capture عندما يثبت الالتقاط عند الوصول الزيادة؛
  • confirmed_quoted_ttl عندما يثبتها الاقتباس في ICMP؛
  • indicator_only عندما تثير هيئة المسار أو البيانات الخارجية شبهة بلا إثبات؛
  • evidence_unavailable عندما يتعذر تطبيق الطريقتين الحاسمتين.

يمكن تغيير أسماء الحقول، لكن لا يجوز دمج المعاني. ينبغي حفظ معرف القياس والمجس، المصدر والهدف، عائلة العناوين، البروتوكول، الوقت، أعلى TTL مرسل، ittl إن وجد، طريقة القرار، إصدار المصنف، والوصلة المشتقة التي حفظت أو حجبت. وبذلك يصحح دليل لاحق النتيجة من دون محو الإيصال السابق.

سبب الظاهرة ما زال خارج البرهان

لم يجد الباحثون مصدرا قابلا للاقتباس يثبت السبب، ولم ينجحوا في إعادة الظاهرة داخل المختبر. قدم مشغلان تفسيرين مجهولين. يتعلق الأول بوسمي MPLS وبتطبيق ينسخ TTL للوسم الداخلي إلى حزمة IP عند الخروج. ويتعلق الثاني بنظام تشغيل شبكي وبخلل في ربط وظيفة بوابة نطاق عريض مع SDK لشريحة ASIC.

تجعل الروايتان عيوب التطبيق تفسيرا معقولا، لكنهما لا تنسبان جميع الحالات إلى مورد أو منتج واحد. وتذكر الورقة فرضية تثبيت TTL لإخفاء العلاقات التجارية، ثم تراها غير مرجحة لأن السلوك نفسه يضر أدوات تشخيص المشغل. إخفاء جزء من الطريق ليس إثباتا لنية مخفية.

المصادر

الشرح العام منشور في RIPE Labs بعنوان When Traceroutes Lie. وتأتي الطرق والمقامات والقيود وحالة AT&T من ورقة Kappes وFeldmann وFiebig وZirngibl المقبولة في IMC 2026، TTL Jumps: Unexpected TTL Rewrites Impacting Inferences from Traceroutes، ذات DOI 10.1145/3777912.3809149.

يوثق تنسيق نتائج قياسات RIPE Atlas، الإصدار 5000 الحقل الاختياري. وتشير الورقة إلى الحزم والآثار المفتوحة في DOI 10.17617/3.D5GQFG. لا تمنح هذه المصادر نسبة عالمية ولا نسبة مؤكدة إلى جهاز بعينه.