الخلاصة

  • يربط RFC 9565 عنصر tcpControlBits بسجل IANA الرسمي لرايات ترويسة TCP، ويطلب تصدير البتات المخصصة وغير المخصصة كما رُصدت.
  • كل بت مضبوط يعني أن حزمة واحدة على الأقل في الـFlow حملته؛ ولا يحفظ الحقل الترتيب أو الاتجاه أو العدد أو اجتماع الرايات في الحزمة نفسها.
  • يتطلب الاستدلال على حالة TCP الاحتفاظ بالـTemplate وعرض الحقل وحقبة المصدّر واتجاه الرصد، ثم إضافة دليل زمني من الحزم أو الأطراف.

قد تعرض لوحة التشغيل SYN وACK وRST في سجل واحد، فتقترح قصة جاهزة: محاولة ثم رد ثم رفض. لكن ACK ربما جاء آلاف المرات في اتجاه واحد، وSYN كان إعادة إرسال، وRST ظهر بعد أن قسم مؤقت المصدّر المحادثة. القيمة تعرف أن البتات ظهرت؛ ولا تعرف كيف ارتبطت.

يعالج RFC 9565 مشكلة مختلفة ومحددة. فقد كانت دلالة عنصر المعلومات رقم 6 تعتمد على وصف ثابت، بينما يستطيع سجل رايات TCP أن يتغير. أبقى النص النوع unsigned16 ذا دلالة flags، وجعل سجل IANA TCP Header Flags المرجع، وألزم عملية القياس بحفظ البت المخصص أو غير المخصص متى رأته.

هذا يحمي الملاحظة من قاموس قديم، لكنه لا يعيد المعلومات التي أزالتها عملية التجميع.

عملية OR لا تنتج خطاً زمنياً

يضبط المصدّر الموضع إذا وجده في أي حزمة تنتمي إلى الـFlow. بعد إجراء OR على الحزم، يضيع اسم الحزمة وعدد مرات الظهور والاتجاه وعلاقة البتات بعضها ببعض. لذلك لا يثبت SYN مع ACK اكتمال المصافحة، ولا يثبت FIN إغلاقاً منظماً، ولا يحدد RST الطرف الذي أنهى الاتصال.

فالـFlow كيان قياس تحدده مفاتيح ونقطة رصد ومؤقتات وسياسة اتجاه، أما آلة حالات TCP فتعيش عند الأطراف. يمكن استخدام الخريطة لاختيار تدفقات تستحق التحقيق، لكن تحويلها وحدها إلى حكم بالنجاح أو النية يخلط بين مستويين من السلطة.

العرض جزء من معنى الدليل

يعلن IPFIX Template عناصر Data Record وأطوالها. وإذا جاء tcpControlBits في بايت واحد بصيغة الحجم المختزل، فهو يغطي المواضع 8 إلى 15 فقط ولا يقول شيئاً عن 4 إلى 7. ينبغي لعملية قياس عاجزة عن العرض الكامل أن تستخدم هذا الشكل الصريح.

عندما يوسع الجامع البايت إلى ستة عشر بتاً بأصفار ثم يحذف الطول الأصلي، يحول «غير مرصود» إلى «رُصد ولم يوجد». لذلك يجب حفظ الـTemplate وObservation Domain وإصدار المصدّر وحقبة تشغيلها. أما المواضع 0 إلى 3 فتنتمي إلى Data Offset، وتُصفّر أو تُهمل هنا؛ ويُعبّر عن طول الترويسة بواسطة tcpHeaderLength.

يتغير السجل قبل أن تتغير كل الأجهزة

يثبت RFC 9293 الرايات الشائعة، وغيّر RFC 8311 وضع موضع ارتبط سابقاً باستخدام NS التجريبي. كما فرضت تعريفات أقدم مرتبطة بـRFC 7125 تصفير مواضع يراد الآن حفظها. لذا قد يعني الصفر غياباً حقيقياً، أو عرضاً مختزلاً، أو قاعدة قديمة، أو فجوة رصد.

وبالعكس، قد يكون البت الذي يسميه جامع قديم «محجوزاً» صالحاً في سجل IANA الحالي. الأولوية لحفظ القيمة وربطها بزمنها، لا لمحوها كي تلائم تسمية محلية.

وفق فصل طبقات الواقع لدى Heng Lu، تملك IANA سلطة الرمز، وتحدد RFC عقد التبادل، وينفذ الكود العامل الرصد، وتحفظ الأطراف حالة TCP. سجل التدفق إيصال مضغوط بين هذه الطبقات، وليس بديلاً عنها.