Zusammenfassung

  • Ein individueller Internet-Draft vom 27. Oktober legt QUIC-Pakete direkt in Ethernet-Frames, ohne IP- oder UDP-Header. Eine Sitzung ist an lokales Interface, Peer-MAC, entfernte AS-Nummer und einen eigenen gemeinsamen Schlüssel gebunden; der Exchange muss den vorgeschlagenen EtherType durchlassen.
  • Die optionale Fähigkeit Link Next Hop kann statt des Sitzungspartners eine dritte Unicast-MAC im selben Segment angeben. Laut Entwurf kann der Empfänger nicht prüfen, ob sie dem Ursprungsrouter der Route gehört. Sitzungsauthentisierung und Erlaubnis für das Weiterleitungsziel sind getrennte Entscheidungen.

Der Exchange wird zum Türsteher

Der erste Prüfpunkt liegt außerhalb der BGP-Software. Der BoL2Q-Entwurf verlangt einen neuen EtherType. Lässt das Ethernet-Fabric eines Internet-Exchange solche Frames nicht zu, können die Teilnehmer keine Sitzung aufbauen. Lässt es sie zu, müssen Router die Frames erkennen und in eine eigene Klasse mit Begrenzung für die Weitergabe an die Steuerebene einordnen. Ein falsch dimensioniertes Rate-Limit kann eine Sitzung stören, obwohl ihre Kryptografie einwandfrei arbeitet.

Das Paket selbst hat keine IP- und keine UDP-Hülle. QUIC liegt unmittelbar über Ethernet; die Sprecher befinden sich im selben Layer-2-Segment. Konfiguriert werden lokales Interface, MAC des Nachbarn, dessen AS und ein pro Peer geteilter Schlüssel. Anders als das übliche BGP-4 über TCP/IP kann ein entfernter IP-Host diese spezielle Sitzung nicht über geroutete Netze erreichen. Die örtliche Grenze ist scharf. Sie macht die Schaltpolitik des Exchange und die genaue Portbelegung zugleich zu Voraussetzungen für den Betrieb.

Eine MAC-Adresse wählt die Nachbarkonfiguration aus. Sie beglaubigt den Absender nicht. Ein Gerät auf demselben Segment kann eine MAC vortäuschen, das MAC-Lernen des Switches stören oder das Rate-Limit einer Sitzung belasten. Für die Übernahme der QUIC-Sitzung fehlen ihm ohne Schlüssel die nötigen Nachweise. TLS prüft den Schlüssel, BGP OPEN die AS-Nummer. Der Entwurf fordert externe PSK mit Forward Secrecy, verbietet 0-RTT-Daten und bindet die Verbindung an Interface und Peer-MAC ohne Migration. Ändert sich die MAC bei einem Gerätetausch, werden die Sitzung zurückgesetzt und gelernte Routen zurückgenommen.

Ein Stück Inventarpolitik wird damit zu einer Routing-Entscheidung.

Authentisiert ist nur der Sprecher

Auf einem unnummerierten Link fehlt die übliche IP-Adresse des nächsten Hops. Link Next Hop bietet zwei Varianten. Länge null bedeutet: der Sitzungspartner ist das Ziel. Länge sechs transportiert eine 48-Bit-Unicast-MAC eines dritten Geräts auf demselben Segment. Installiert der Empfänger die Route, schickt er Datenpakete über das BoL2Q-Interface an diese MAC. Die Daten selbst bleiben normale IPv4- oder IPv6-Pakete; die QUIC-Verbindung transportiert nur die BGP-Steuerung.

Ein Route Server kann so die MAC des ursprünglichen Mitglieds weiterreichen. Daten fließen direkt zwischen den Mitgliedern, nicht durch den Server. Ein Route Reflector im selben Segment kann die direkte Zuordnung ebenfalls bewahren. Für die Weitergabe nennt der Entwurf eine Grenze: Das dritte Gerät muss über dasselbe BoL2Q-Interface erreichbar sein. Sonst muss der Sprecher sich selbst als nächsten Hop nennen oder die Route zurückhalten, wenn keine brauchbare Adresse bereitsteht.

Doch „erreichbar“ beantwortet nicht „berechtigt“. Im Sicherheitsabschnitt erklärt der Entwurf ausdrücklich, dass der empfangende Router nicht überprüfen kann, ob die fremde MAC tatsächlich zum Ursprungsrouter gehört. Ein berechtigter BGP-Nachbar könnte Verkehr zu jeder Station des Segments lenken. Die sichere Sitzung liefert den Namen des Ansagers, keinen Eigentumsnachweis für seine Zieladresse. Der Entwurf verweist auf Route-Server-Policy und Prüfungen des nächsten Hops beim Empfänger. Genau dort muss eine Grenze für die Macht des Ansagers stehen.

Noch ist dies ein individueller Draft. EtherType und Capability-Code heißen TBD1 und TBD2. Das sind keine vergebenen Werte und keine Aussage über produktive Exchanges. QUIC Version 1 ist die Transportgrundlage; das neue Profil schränkt Migration und frühe Daten ein und verwendet einen BGP-Stream. Die technische Folge lässt sich trotzdem jetzt schon prüfen: Fabric erlaubt den Frame, Router findet den Peer, TLS prüft den Schlüssel, OPEN prüft das AS, Route nennt eine MAC, lokale Policy genehmigt sie, Hardware installiert den Eintrag. Ein grüner Haken an den ersten vier Stationen kann einen Fehler an der sechsten nicht heilen.

Amtliche Originaltexte