الخلاصة

  • يجمع RFC 9898 خمس عشرة مشكلة في Neighbor Discovery تحت ثلاثة أسباب: multicast، والثقة بجميع عقد الوصلة، وإنشاء NCE عند الطلب في الموجّه.
  • تعني REACHABLE أن قابلية الوصول إلى طبقة IP المجاورة تأكدت حديثاً وفق ND؛ ولا تثبت ملكية العنوان أو هوية المشترك أو استمرار الإذن أو نجاح التطبيق.

وصل سؤال التحقيق بصيغة هوية: من كان يستخدم عنوان IPv6 في تلك الدقائق؟ وجاءت الإجابة الأولى بصيغة توجيه: كان لدى الموجّه إدخال REACHABLE يربط العنوان بعنوان في طبقة الوصلة. أثبت الإدخال أن الموجّه امتلك معلومة نافعة للإرسال. ولم يثبت اسم صاحب العقد.

ليست المشكلة في صحة الجدول، بل في منحه سلطة لم يُصمَّم لها. فالربط التعاقدي يسجله نظام التخصيص أو التفويض، وهوية الاتصال يسجلها نظام النفاذ، أما Neighbor Cache فيخدم قرار الحزمة التالية.

لا يقدّم RFC 9898 بروتوكولاً جديداً، بل يجمع خبرة موزعة على أكثر من عشرين RFC. ويصنف خمس عشرة ثغرة محتملة، مع التنبيه إلى أنها لا تظهر كلها في كل شبكة، وفق ثلاثة جذور: اعتماد ND على multicast في عمليات متعددة، وافتراض الثقة بعقد الوصلة، وإنشاء الموجّه NCE حين تصل إليه حزمة لعنوان on-link غير معروف.

يفصل RFC 4861 بين Neighbor Cache وDestination Cache وPrefix List وDefault Router List. الأول يحتفظ بمعلومات طبقة الوصلة وحالة الوصول لجار unicast على الوصلة. والثاني يحدد القفزة التالية للوجهة. والقائمتان الأخريان تحددان ما يعد on-link وأي الموجّهات الافتراضية متاح. وقد تجمعها البرمجية داخلياً، لكن معنى الدليل لا يندمج معها.

إذا غاب عنوان طبقة الوصلة للقفزة التالية، ينشئ الجهاز NCE في حالة INCOMPLETE، ويرسل Neighbor Solicitation عبر multicast، ويحتفظ بالحزمة. ويمكن لـ Neighbor Advertisement سليمة ومطلوبة أن تملأ العنوان، وتحول الحالة إلى REACHABLE، وتطلق الحزم المنتظرة. ثم تنظم STALE وDELAY وPROBE اختبارات الوصول اللاحقة.

هذه حالات تشغيل. تعني REACHABLE أن المسار الأمامي إلى طبقة IP المجاورة تأكد حديثاً. وتعني STALE أن عنوان طبقة الوصلة معروف من دون تأكيد حديث. ولا تتضمن أي منهما حقل المالك أو المستأجر أو المشترك، ولا تحفظ بالضرورة التاريخ بعد الحذف أو انتهاء المهلة أو إعادة التشغيل.

يكشف Router-NCE-on-Demand أن المخبأ مورد محدود لا تعداداً للأجهزة. يستطيع مهاجم بعيد إرسال حزم إلى عناوين كثيرة غير موجودة داخل بادئة on-link. ينشئ الموجّه إدخالات INCOMPLETE ويحاول حلها، مع أن المهاجم ليس على الوصلة. وهكذا تستهلك أسئلة بلا جواب الذاكرة والمعالج.

لذلك قد يمثل إدخال INCOMPLETE محاولة فاشلة لا مضيفاً حقيقياً. وغياب الإدخال لا يثبت غياب المضيف؛ فقد يكون سببه timeout أو eviction أو حد السعة أو restart أو عدم وجود حركة حديثة. صورة الجدول ليست جرداً موجباً ولا دليلاً سلبياً.

يفصل RFC 9898 ثلاث نتائج. الأولى إنهاك NCE، والثانية تأخير أو فقد أول حزمة أثناء الحل، والثالثة ضعف مساءلة العنوان. ففي SLAAC يولد المضيف عناوينه، وقد لا يعرفها الموجّه حتى يحتاج إلى التوجيه. ولا يمنح DHCPv6 وحده الموجّه سجلاً كاملاً من دون snooping أو تسجيل أو ربط مع نظام النفاذ.

تحمي توصيات RFC 6583 السعة: ترشيح فضاء العناوين غير المستخدم، وتحديد معدل معالجة ND، وإعطاء الأولوية لإدخالات NCE الموجودة. ويوقف الحد لكل واجهة النمو غير المقيد، لكنه قد يسقط حركة مشروعة إذا تجاوزت العناوين الصحيحة السعة. لا يضيف هذا هوية.

يعالج RFC 9131 تأخير الحزمة الأولى. يستطيع Gratuitous Neighbor Discovery إنشاء إدخال STALE في first-hop router قبل وصول حركة العودة. فتتوفر معلومة طبقة الوصلة مبكراً. غير أن STALE لا يؤكد وصولاً حديثاً، فضلاً عن إثبات حق الاستخدام.

وتختلف وظائف SAVI وRA-Guard وتسجيل DHCPv6. يربط SAVI العنوان بمنفذ L2 ويمنع الادعاء من منفذ آخر. ويقصر RA-Guard إرسال Router Advertisements على منافذ محددة. ويسجل DHCPv6 العناوين التي ولدها المضيف أو ضبطها يدوياً لدى نظام الإدارة. يضع RFC 9099 هذه الضوابط ضمن مخاطر IPv6. ومؤشر واحد اسمه «ND آمن» يخفي مصدر كل حقيقة.

يجد RFC 9898 نمطاً معمارياً في عزل المضيفين. فعزل L3 وL2 يضع كل مضيف في شبكة فرعية ووصلة مستقلتين، فيصغر نطاق multicast والثقة، وينتهي احتياج Router-NCE-on-Demand لمسارات المضيف. ويعطي عزل L3 بادئة فريدة لكل مضيف أو عميل مع احتمال بقاء الوسط مشتركاً. ويقسم عزل L2 الجزئي مجالات multicast بواسطة proxy. أما الحلول غير العازلة فتعالج مشكلة مفردة.

العزل الأقوى له تكاليف: وظائف إضافية، وواجهات منطقية كثيرة، واحتمال أن يصبح الموجّه عنق زجاجة، وتعطيل خدمات multicast بين المضيفين. ويحذر RFC 8273 من أن إعادة البادئة الفريدة نفسها إلى عنوان طبقة الوصلة نفسه قد تسهل تتبعه. ويوضح RFC 9663 قابلية DHCPv6-PD لتوزيع بادئات لكل عميل على نطاق واسع، لكنه لا يحسم سياسة الخصوصية.

يبدأ الإسناد القابل للدفاع بسجلات مستقلة. يسجل تفويض البادئة وسلطته وفترة صلاحيته، ثم جلسة النفاذ والمصادقة والدائرة أو المنفذ أو bearer، ثم ربط SAVI أو تسجيل DHCPv6. وبعد ذلك تضاف حركة NCE مع الواجهة وعنوان IPv6 وعنوان طبقة الوصلة والحالة والسبب ودقة الساعة. وتثبت سجلات الحزم والتطبيق المراحل التالية.

الزمن جزء من المفتاح. لا يجوز لإدخال قُرئ بعد الحادث أن يمثل تلقائياً الحالة أثناءه. فقد تغير privacy address أو MAC randomization أو reconnect أو failover أو cache refresh الطرف مع بقاء جزء من المعرف مألوفاً. وإذا انتهت مدة الاحتفاظ، فهذه حدود للدليل لا فراغ يملأ بالافتراض.

تمنح أولوية الشيفرة العاملة عند Heng Lu كل نظام سلطة على ما رآه ونفذه مباشرة. يثبت الموجّه انتقال NCE، ويثبت نظام النفاذ الجلسة التي صادق عليها، ويثبت نظام التفويض البادئة التي أصدرها، ويثبت التطبيق العملية التي اعتمدها. سهولة الاستعلام لا تمنح نظاماً ولاية على البقية.

تمنع طبقات الواقع الرمز المحلي من الحلول محل الشيء كله، ويفصل التحكم التقني عن السيادة العملية بين القدرة على التوجيه وحق الملكية. وتحافظ المواصفة الأولية الدنيا على ND بسيطاً وقابلاً للتشغيل البيني، وتترك العزل والسعة والخصوصية والاحتفاظ والتراجع للمشغل.

السؤال التنفيذي ليس: هل كان العنوان في الجدول؟ بل: أي نظام شاهد أي علاقة، وفي أي فترة، وما السجل المستقل الذي يصل حالة التوجيه المحلية بالطرف المسؤول؟

Sources