Zusammenfassung

  • TIME-WAIT bewahrt nach dem Schließen Zustand, damit verspätete Segmente einer früheren Verbindung nicht mit einer neuen Verbindung desselben Vier-Tupels verwechselt werden.
  • RFC 1337 beschrieb die Kette aus altem unzulässigem Segment, ACK aus TIME-WAIT, RST eines Peers ohne passenden Zustand und vorzeitiger Löschung.
  • Das Ignorieren von RST in TIME-WAIT war ein Vorschlag eines Informational RFC und keine allgemeine aktuelle Implementierungspflicht.
  • RFC 6191 erlaubt eine frühe Wiederverwendung nur, wenn Zeitstempel und Sequenznummern eine neuere Verbindungsinstanz belegen.

Wozu die Wartezeit dient

Nach einem aktiven Schließen hält TCP den Steuerblock normalerweise 2×MSL. Alte Duplikate können dadurch verschwinden, bevor dieselben Adressen und Ports wiederverwendet werden. TIME-WAIT ist weder ein Wiederübertragungs-Timer noch eine Frist für die Anwendungszustellung, sondern eine Grenze zwischen zwei Verbindungsgeschichten.

Eine gefährliche Verkettung

Im Beispiel von RFC 1337 befindet sich A in TIME-WAIT, während B bereits CLOSED ist. Ein altes Daten- oder ACK-Segment erreicht A und wird als unzulässig erkannt. A sendet ein ACK. B besitzt keine passende Verbindung und antwortet mit RST. A verarbeitet dieses RST, löscht den Steuerblock und verlässt TIME-WAIT vorzeitig.

Jede lokale Reaktion kann regelkonform wirken. Zusammen entfernen sie jedoch genau die Erinnerung, die alte Duplikate zurückhalten sollte. Das RST beseitigt den Zustand; ein anderes altes Segment kann später die neue Verbindung stören.

Nicht jede Abkürzung ist ein Sicherheitsbeweis

RFC 1337 schlug mit F1 vor, RST in TIME-WAIT zu ignorieren. Der Vorschlag galt als einfache kurzfristige Lösung, sofern MSL eingehalten wird, und verlangte zusätzliche Tests im Produktionsbetrieb. RFC 9293 beschreibt in seiner grundlegenden Verarbeitung weiterhin, dass ein validiertes RST in TIME-WAIT zu CLOSED und zur Löschung des Steuerblocks führt. F1 darf daher nicht als vollständig übernommene Universalregel dargestellt werden.

RFC 6191 behandelt hohe Verbindungsraten anders. Bei eingehenden SYNs prüft es Zeitstempel und Sequenznummern; reicht dieser Nachweis nicht aus, wird das SYN still verworfen und TIME-WAIT bleibt bestehen. RFC 9293 erlaubt die direkte Wiederöffnung nur mit seinen Sequenznummern-Sicherungen und der Rückkehr zu TIME-WAIT, falls das SYN ein altes Duplikat ist; für hohe Raten empfiehlt es das Zeitstempelverfahren aus RFC 6191. Geschützte Wiederverwendung ist nicht dasselbe wie zustandslose Löschung.

Quellen