الخلاصة

  • تحمل sub-option 10 في RFC 3634 عنوان IPv4 واحداً أو أكثر ضمن كتل من أربعة octets، وتضع العناوين بترتيب أولوية تنازلي. ولا تحمل realm أو transport أو port أو قياس صحة أو هوية KDC.
  • استلام DHCP وتثبيت القائمة واختيار المرشح والاتصال والتحقق من KDC وإصدار ticket ومصادقة التطبيق ونتيجة SNMPv3 إيصالات منفصلة.
  • يجب إدارة التبديل بسياسة قابلة للتدقيق: نسخة القائمة، سبب الاختيار، نوع الفشل، حد إعادة المحاولة، سعة الخادم التالي، وهوية realm.

العنوان يحدد مكاناً ولا يحدد جهة

جاء RFC 3634 لحاجة محددة في CableHome: يحتاج residential gateway إلى KDC لبدء Kerberos قبل إنشاء علاقة SNMPv3 آمنة. الحقل قصير: code 10، ثم length، ثم عنوان IPv4 واحد على الأقل. يجب أن يكون الطول أربعة أو مضاعفاً لها، وأن تُرتب الخوادم من الأعلى إلى الأدنى أولوية.

لا توجد خانة تقول إن العنوان الأول متاح الآن. ولا توجد realm أو وسيلة نقل أو منفذ أو TTL أو وزن أو بصمة شهادة أو نتيجة ticket. إنّه اتجاه إداري محفوظ في لحظة DHCP، لا وصف حي للخادم.

ويفصل RFC 3495 بين هذه المعاني: realm وسياسات retry/backoff لتبادلات AS وAP موجودة في sub-options أخرى. وجودها في الإطار نفسه لا يجعلها خصائص ضمنية لعنوان KDC.

الأولوية ليست قياساً

قد تُحوّل واجهة التشغيل كلمة «أول» إلى «نشط»، ثم إلى «سليم». RFC 3634 لا يحدد هذه النتيجة. فهو لا يغلق خوارزمية العميل: مدة الانتظار، الأخطاء التي تسمح بالانتقال، مدة تذكر الفشل، أو وقت العودة إلى العنوان الأول.

لذلك قد يسلك جهازان يحملان القائمة نفسها طريقين مختلفين. السجل الحاسم هو قرار كل عميل، لا نسخة bytes فقط.

في المقارنة، يحمل DNS SRV في RFC 4120 الخدمة والنقل وrealm وTTL والأولوية والوزن والمنفذ والهدف. يوضح RFC 2782 ترتيب الوصول، لكنه يؤكد أن الوزن اختيار ثابت وليس قياساً ديناميكياً للحمل. حتى السجل الأغنى لا يساوي health check.

ثم فصل RFC 6784 لاحقاً بين priority وweight وtransport وport وIPv6 address وrealm في DHCPv6. يفيد هذا في فهم الأبعاد، لكنه لا يضيفها بأثر رجعي إلى RFC 3634.

قد تنجح الحماية ويفشل التشغيل

يعتمد RFC 3634 على أمن DHCP ولا يضيف إليه. يمكن للعنوان الخاطئ أن يضلل المرور أو يسبب DoS. ويعرض ترشيح CMTS والشهادات والمصادقة المتبادلة والعزل وfirewall كوسائل تخفيف أو افتراضات.

إذا رفض Kerberos خادماً زائفاً، فقد حمى الثقة. لكن الجهاز استهلك وقتاً وحركة مرور وحساباً. وعندما تفعل fleet كاملة الشيء نفسه، تتزامن المهلات ثم تنتقل الكتلة إلى KDC التالي. الرفض الآمن لا يعني انعدام الأثر.

كما أن السماح لعنوان عبر الشبكة لا يثبت realm أو الدور المؤسسي. سلطة توزيع configuration وهوية الخدمة المطلوب الوصول إليها علاقتان مختلفتان.

سلسلة الإثبات

يحفظ الإيصال الأول خادم DHCP والتحقق وtransaction وconfiguration epoch وraw bytes. يثبت الثاني أن العميل ثبّت القائمة. يسجل الثالث version وموضع العنوان والمحاولة والمهلة والفشل السابق وقاعدة الانتقال.

بعد ذلك تأتي route وtransport وport والاتصال. ثم هوية KDC وrealm والساعة والنتيجة التشفيرية. وتتطلب AS/TGS correlation مستقل، ثم AP وsecurity association وSNMP operation.

DHCPACK ليس ticket. وticket ليس نجاح التطبيق. والقناة الآمنة لا تثبت أثر عملية الإدارة.

حدود الدليل

لا ينسب هذا المقال سلوكاً إلى operator أو gateway أو CMTS أو KDC أو realm أو مستخدم أو incident بعينه. Standards Track وتسجيل IANA للكود 10 يثبتان specification وتخصيصاً، لا deployment.

RFC 3634 هو المصدر الأساسي؛ RFC 3495 لسياق CCC؛ RFC 2131 و3118 لفصل نقل DHCP عن authentication؛ RFC 4120 و2782 للمقارنة؛ RFC 6784 lineage لاحقة؛ RFC 5021 و6251 لفصل transport وTLS.

تُستخدم مقالات Heng Lu عن running code وminimum specification وauthority وreality layers كعدسات تحليلية معلنة. إنها تساعد على فصل configuration والسلطة والتنفيذ والنتيجة، ولا تثبت نية المؤلفين أو واقع شبكة معينة.

وصل العنوان أولاً؛ أما الثقة والنتيجة فلا تصلان إلا بإيصالاتهما.

Sources