Zusammenfassung

  • Eine gültige Registration Revocation Acknowledgment nach RFC 3543 belegt, dass der empfangende Agent eine geschützte Nachricht geprüft, eine bestehende Bindung gefunden, den lokalen Zustand widerrufen und geantwortet hat. Sie belegt nicht den Zustand des Endgeräts.
  • Die Benachrichtigung des mobilen Knotens erfolgt normalerweise durch ein Agent Advertisement mit Sequenznummer null. Das ausgehandelte I-Bit ordnet die Benachrichtigungsentscheidung zu; es ist weder Zustellnachweis noch Beleg für Neuregistrierung und Wiederherstellung.

Wiederholungen sind in verteilten Systemen zweideutig. Sie können bedeuten, dass noch nichts geschehen ist. Sie können auch bedeuten, dass die Wirkung eingetreten und nur die Antwort verloren gegangen ist. RFC 3543 lässt diese Unsicherheit nicht verschwinden, sondern begrenzt sie mit Identitäten, Authentisierung und Backoff.

Der im August 2003 als Proposed Standard veröffentlichte Text ergänzt Mobile IPv4 um einen Widerruf vor dem natürlichen Ablauf einer Registrierung. Damit lassen sich Tunnel- und Besucherressourcen früher freigeben, Abrechnung besser ausrichten und Weiterleitung auf einen nicht mehr brauchbaren Pfad beenden.

Das sind Entwurfsziele, keine Messungen eines benannten Netzes. Entscheidend ist die Grenze: Ein authentisierter Austausch zwischen Home Agent und Foreign Agent ist nicht dasselbe wie die Information des mobilen Knotens.

Eine Entscheidung, mehrere geschützte Instanzen

Ein Widerruf meldet, dass der Mobile-IP-Dienst für eine Registrierung bereits eingestellt wurde. Er fragt den Partner nicht um Erlaubnis. Die fachliche Entscheidung geht der Nachricht voraus.

Kommt kein ACK zurück, wird erneut gesendet. Jede Wiederholung verwendet einen neuen zeitbasierten Replay-Wert und einen neuen Authentikator. Damit bleibt jede Nachrichteninstanz frisch, obwohl sie dieselbe Widerrufsabsicht trägt.

RFC 3543 begrenzt die Frequenz auf höchstens einen Versuch pro Sekunde, verlangt exponentielles Backoff und beendet die Verfolgung, wenn die Bindung ohnehin natürlich ablaufen würde. Der Mechanismus dämpft Signallast und setzt einen sinnvollen Endpunkt.

Für die Revision braucht es deshalb zwei Identitäten: eine für die Entscheidung und eine je geschützter Nachricht. Wer fünf Versuche als fünf Widerrufe zählt, erfindet vier Entscheidungen. Wer nur den letzten Versuch speichert, kann Verlust, Replay-Prüfung und verspätete Antworten nicht erklären.

Ein fehlendes ACK beweist keinen erhaltenen Zustand

Die erste Nachricht kann die Bindung beim Empfänger bereits entfernt haben, während die Antwort verloren ging. Eine spätere Instanz trifft dann auf keinen vorhandenen Eintrag. Dieses Ergebnis beweist nicht, dass der erste Versuch scheiterte; es kann gerade dessen Wirkung sein.

Umgekehrt kann der Rückweg grundsätzlich funktionieren, ohne dass eine konkrete Nachricht authentisiert oder einer Bindung zugeordnet wurde. Schweigen ist daher kein Zustandswert. Es ist ein fehlendes Beobachtungsergebnis.

Der Revisionsdatensatz beginnt mit der Entscheidung: Bindung, Home-Adresse, Care-of-Adresse, beteiligte Agenten, Restlaufzeit, Grund, Verantwortlicher und lokaler Wirkzeitpunkt. Darunter hängen die Sendeinstanzen mit Zeitwert, Authentikator, Warteintervall und Ergebnis.

Auch das Ende am natürlichen Ablauf ist begrenzt. Es sagt, dass keine weitere Synchronisierung dieses Eintrags nötig ist. Es sagt nicht, dass der mobile Knoten vor dem Ablauf einen neuen Pfad fand.

Was die Bestätigung tatsächlich bescheinigt

Der Empfänger prüft den passenden Authentikator, die durch das A-Bit bezeichnete Richtung, den Replay-Schutz und die Existenz der Bindung. Bei einer gültigen Nachricht widerruft er den lokalen Eintrag, kann zugeordnete Ressourcen freigeben und sendet die Bestätigung.

Das ACK ist belastbar: Dieser Agent hat diese geschützte Instanz einem bestehenden Zustand zugeordnet und die vorgesehene lokale Transition ausgeführt. Der Sender darf die Wiederholungen für diese Transaktion einstellen.

Die Bestätigung beobachtet jedoch keinen mobilen Knoten. Sie weiß nicht, ob ein lokales Advertisement ankam, ob das Gerät die alte Care-of-Adresse aufgab, einen anderen Agenten fand, sich neu registrierte oder nutzbaren Verkehr wiederherstellte.

Die Reichweite folgt dem Vertrauenspfad. Zwei Agenten können ihren Austausch kryptografisch schützen. Die letzte Strecke zum Endgerät benutzt eine andere Nachricht und häufig schwächere Evidenz. Ein starkes vorgelagertes Siegel darf nicht für einen nachgelagerten Akteur sprechen.

Das I-Bit verteilt Entscheidungsmacht

Während der Registrierung wird das I-Bit ausgehandelt. Es bestimmt, welche Seite entscheidet, ob der mobile Knoten informiert werden soll. Der Home Agent kennt möglicherweise den Widerrufsgrund; der Foreign Agent beherrscht den lokalen Link.

Im ACK kann das Bit die gewählte Politik sichtbar machen. Es beantwortet „Wer entscheidet?“. Es beantwortet nicht „Wurde gesendet?“, „Kam es an?“ oder „War die Reaktion erfolgreich?“.

Ein Feld notified=true, das allein aus I abgeleitet wird, wäre erfundene Zustellung. Das Datenmodell sollte Aushandlung, Entscheidungseigner, Entscheidung, Versand und beobachtete Reaktion trennen.

Organisatorisch ist das dieselbe Regel: Delegation ist kein Leistungsnachweis. Eine Verantwortung kann sauber zugewiesen sein und trotzdem unerfüllt bleiben.

Sequenz null öffnet einen anderen Kanal

Der Foreign Agent informiert normalerweise mit einem Agent Advertisement, dessen Sequenznummer null ist. Dieser Sonderwert veranlasst den mobilen Knoten, eine Registrierung zu versuchen, ohne erst die übliche Folge fehlender Anzeigen abzuwarten. Das Busy-Bit kann eine Erneuerung beim selben Agenten entmutigen.

Die Anzeige ist ein Impuls, kein Empfangsbeleg. Im Grundmechanismus wird sie gegenüber dem mobilen Knoten nicht kryptografisch authentisiert. RFC 3543 empfiehlt unter anderem TTL eins und die Prüfung, ob die Link-Layer-Quelle der zuvor verwendeten Quelle des Foreign Agent entspricht. Das begrenzt Risiken, beweist aber keine Zustellung.

So entsteht eine wichtige Asymmetrie. Der entfernte Agentenaustausch besitzt Authentisierung und Replay-Schutz; der letzte lokale Hinweis an das Gerät kann schwächer sein. Ein Dashboard darf die höchste Sicherheit eines Abschnitts nicht auf den ganzen Ablauf übertragen.

Zu speichern sind Interface, IP- und Link-Layer-Quelle, TTL, Sequenz, Sendezeit und Ergebnis. Erst eine Solicitation, Registrierungsanforderung, ein Agentenwechsel oder beobachteter Verkehr liefert eine Antwort des mobilen Knotens.

Ressourcen können sauber verschwinden, bevor der Nutzer weiterkommt

Frühe Freigabe ist sinnvoll. Tunnel, Besucherkontext und Abrechnung müssen nicht bis zum Timeout liegen bleiben. Gleichzeitig wird der alte Pfad dadurch endgültiger unbrauchbar. Verzögert sich die lokale Mitteilung oder Neuregistrierung, kann Kontrollplanerfolg mit Nutzerunterbrechung zusammenfallen.

RFC 3543 misst keinen solchen Ausfall in einem Produktionsnetz. Die operative Folgerung lautet nur, den Abstand messbar zu machen: Entscheidung, Empfang, ACK, Freigabe, Advertisement, Endgerätereaktion, Registrierung und nutzbarer Verkehr benötigen eigene Zeitpunkte.

Beim Sonderfall einer co-located Care-of-Adresse kann der mobile Knoten selbst den Widerruf bestätigen, seinen Reverse Tunnel beenden und Ressourcen freigeben. Dieser Ablauf darf nicht auf einen Knoten hinter einem Foreign Agent übertragen werden. Die Beweisführer sind andere.

Benachbarte RFCs schließen die Lücke nicht

RFC 3344 bildete den Mobile-IPv4-Unterbau zur Zeit von RFC 3543; RFC 5944 überarbeitete ihn später. RFC 2002 liefert ältere Einordnung. Eine erfolgreiche Registrierung etabliert eine Bindung, aber keinen Nachweis anwendungsfähiger Zustellung.

RFC 3012 und RFC 4721 behandeln Challenge/Response für Frische und Authentisierung. RFC 3024 behandelt Reverse Tunneling und Ingress-Filterung. Keiner dieser Mechanismen macht aus einem Agenten-ACK eine Beobachtung des Endgeräts.

Die Kontrollfrage muss ihr Subjekt behalten: Wer erzeugte diesen Beleg, zu welcher Nachricht, unter welcher Sicherheitsbeziehung, und welcher spätere Akteur hat noch nicht gesprochen?

Eine prüfbare Beweiskette

Am Anfang stehen Bindung, Home-Adresse, Agenten, Care-of-Adresse, Laufzeit, Grund, Policy-Eigner und Entscheidungszeit. Nutzlast, A- und I-Bit, Authentikator, Replay-Wert und Sendezeit bleiben unverändert erhalten.

Der Empfänger protokolliert Authentisierung, Replay-Urteil, Bindungssuche, Zustandswechsel, Freigaben und ACK-Inhalt. Der Sender protokolliert Validierung, Korrelation und Ende der Wiederholungen. Jeder neue Versuch behält seine eigenen Schutzwerte.

Die Benachrichtigung erhält eine zweite Spur: Entscheider, Sequenz-null-Anzeige, Interface, lokale Prüfungen und Reaktion. Danach folgen Neuregistrierung, Tunnel, Weiterleitung, Abrechnung und Nutzbarkeit.

Eine präzise Aussage lautet: „Die Agenten glichen den Widerruf ab; die lokale Anzeige wurde hier gesendet; der Knoten registrierte sich hier neu; Verkehr und Abrechnung erholten sich hier.“ Fehlen die letzten Teile, bleibt die Wiederherstellung unbewiesen.

Evidenzgrenze

Dieser Artikel benennt keinen Betreiber, Hersteller, Agenten, Teilnehmer, Vorfall oder Schaden. Er behauptet keine aktuelle Implementierung, Verbreitung oder Wiederherstellungszeit. Die Szenarien sind Protokollmöglichkeiten und Governance-Ableitungen.

RFC 3543 wird nach seinem Status vom August 2003 behandelt. IANA weist aktuelle Nummern zu, nicht Implementierungen. RFC 8174 begrenzt die Lesart normativer Sprache.

Die Essays von Heng Lu zu Running-Code Primacy und Minimum Initial Specification sind offengelegte redaktionelle Perspektiven. Sie helfen, Text, Umsetzung und Beobachtung zu trennen; sie beweisen weder Autorenabsicht noch Netzzustand.

Die begrenzte Schlussfolgerung: Das authentisierte ACK kann Verarbeitung durch den anderen Agenten belegen. Benachrichtigung, Verständnis, Neuregistrierung und Dienstwiederkehr brauchen weitere Belege.

Sources