الخلاصة

  • فتح IESG في 3 سبتمبر 2026 المشاورة الأخيرة على النسخة 16 من Segment Routing IPv6 Security Considerations حتى 17 سبتمبر، بقصد النظر فيها كـ RFC معلوماتية. لم تُعتمد أو تُنشر بعد، ولا يثبت الإعلان تطبيقاً فعلياً.
  • وجود SRH ليس اختبار دخول كافياً: يمكن معالجة SID من دونها، ويمكن لحزمة تحملها أن تكون عابرة فقط. الثقة نتيجة تطبيق متصل لنطاقات الوجهة والمصدر ومرشحات الحافة والعقد والموارد المتاحة.

يبدو «النطاق الموثوق» كأنه مكان، لكن المشروع يصفه كتركيب منطقي وتشغيلي. الجهاز الموجود على الشبكة المادية نفسها يبقى خارجياً إن لم يخضع للضوابط. وقد تكون مثيلتا SR تحت إدارة واحدة نطاقين منفصلين من ناحية الثقة.

لهذا لا يكفي البحث عن Routing Type 4. قد يمثّل عنوان IPv6 في خانة الوجهة مقطعاً كاملاً، فلا تحتاج معالجة SID إلى SRH. وفي الاتجاه المقابل قد تحمل الحزمة SRH أثناء المرور نحو نطاق آخر. الإسقاط بسبب الشكل وحده يكسر حركة مشروعة، والسماح بسبب غياب الشكل يترك وظيفة داخلية مكشوفة.

الحماية العملية طبقتان. عند الدخول تُسقط الحزمة القادمة من الخارج إذا كان مقصدها SID داخلياً. وفي كل عقدة تطبّق SID، تُسقط الحزمة الموجهة إلى SID محلي إذا لم يكن المصدر ضمن النطاق المسموح. تحاصر الثانية خطأ الأولى. وإذا غابتا معاً يصبح النظام fail-open، وقد تتحول هجمات مفترضة داخلية إلى إمكانية خارجية.

تؤثر خطة العناوين مباشرة في قابلية الإثبات. تجعل الكتلة المخصصة في RFC 9602 مجموعة SIDs أسهل في التلخيص والترشيح، لكنها لا تنفذ الحماية ولا تفرض على الجميع استخدامها. أما توزيع SIDs على بادئات أخرى فيزيد القواعد والاستثناءات وفرص التسرب.

عندما تضيف حافة موثوقة غلاف IPv6 خارجياً وSRH اختيارية، يصبح منشئ تعليمات المسار عقدة داخلية بدلاً من المصدر غير الموثوق. لكن التغليف لا يصلح قرار قبول خاطئ؛ إنه يكمل ترشيح الحدود ولا يحل محله.

يحمي HMAC حقولاً محددة وقائمة المقاطع بمفتاح مشترك، لكنه اختياري. قد تعاد المفاتيح اليدوية بين العقد، وقد تعاد الحزم الصحيحة خلال عمر المفتاح، ولا تشمل التغطية Segments Left. نجاح الوسم لا يثبت الإذن أو الحداثة أو النتيجة.

تواجه الأجهزة الوسيطة عنواناً نشطاً يتغير مع المقاطع. قد يطبّق جدار غير واعٍ بـ SRv6 السياسة على الوجهة الخطأ أو يفصل اتجاهي الاتصال. إسقاط كل ترويسات الامتداد يعطل SRv6 المشروع داخل النطاق، ولا يمنع SID يعمل بلا SRH.

وتبقى السعة قيداً مادياً. جداول ACL وTCAM قد تتقاسم المساحة مع VLAN والمسارات وعناوين MAC. يمكن أن يقبل نظام الإدارة قاعدة لا يستطيع العتاد تحميلها أو فحصها بالعمق اللازم. إذا كان العجز يؤدي إلى السماح، تصبح الحدود مفتوحة مع بقاء ملف السياسة سليماً.

تفرض منهجية Heng Lu فصل الإعلان، والنص، والضبط المقصود، والحالة المحملة، والحزمة المشاهدة، والأثر. لا تمنح مرحلة مؤسسية سلطة إثبات المرحلة التشغيلية التالية.

المصادر

  1. إعلان المشاورة الأخيرة من IESG
  2. النسخة 16 من مشروع أمن SRv6
  3. سجل Datatracker
  4. RFC 8402: بنية Segment Routing
  5. RFC 8754: ترويسة SRH
  6. RFC 8986: برمجة شبكة SRv6
  7. RFC 9602: كتلة SID المخصصة
  8. RFC 9288: ترشيح ترويسات امتداد IPv6
  9. RFC 7872: قياس إسقاط ترويسات الامتداد
  10. RFC 8200: IPv6
  11. RFC 9098: أمن ترويسات IPv6
  12. RFC 9099: الأمن التشغيلي لـ IPv6
  13. RFC 9259: OAM داخل SRH
  14. RFC 4381: إرشاد النطاق الموثوق
  15. RFC 3552: كتابة الاعتبارات الأمنية
  16. Heng Lu: أولوية الشيفرة العاملة
  17. Heng Lu: الحد الأدنى للمواصفة الأولية
  18. Heng Lu: طبقات الواقع