Zusammenfassung

  • RFC 10078 trennt zwei Angaben, die eine Weiterleitungstabelle oft gleichzeitig liefern soll: über welchen Weg ein Präfix erreichbar ist und welche Quelladressen ein angeschlossener Kunde verwenden darf.
  • Striktes uRPF kann legitime Pakete auf asymmetrischen Wegen oder von verborgenen Präfixen verwerfen. Lockeres uRPF lässt den Schnittstellentest weg, kann aber gefälschte Quellen durchlassen, deren Präfix in der lokalen Tabelle steht.

Ein Kunde sendet ein Paket mit einer Adresse, die er verwenden darf. Der Router prüft seine Weiterleitungsinformationsbasis (FIB), findet das Präfix an einer anderen Schnittstelle – oder gar nicht – und verwirft das Paket. Der Router hat eine echte Frage beantwortet. Nur die falsche.

Das ist die Lücke, die RFC 10078 beschreibt. Die IETF veröffentlichte das Dokument im Oktober 2026 als Informational RFC. Es behandelt Quelladressvalidierung (SAV) innerhalb eines autonomen Systems, an externen Schnittstellen zu Hosts oder Kundennetzen, die keine benachbarten AS sind. Der Kunde braucht dafür keine eigene ASN. Er kann vom Anbieter zugeteilte Präfixe nutzen oder eigenen Adressraum mitbringen.

Die strikte Variante des Unicast Reverse Path Forwarding (uRPF) prüft zwei Dinge in der Forwarding Information Base (FIB), der lokalen Weiterleitungstabelle: Gibt es eine Route, die die Quelladresse abdeckt? Und zeigt sie auf dieselbe Schnittstelle, an der das Paket eintrifft? Das klingt vernünftig. Bis Kunde und Tabelle unterschiedliche Wege nehmen.

RFC 10078 macht den Konflikt an einem IPv6-Präfix fest. Ein Kundennetz nutzt zwei Router. Router 1 kündigt 2001:db8:0::/56 an, Router 2 2001:db8:0:100::/56. Ein legitimes Paket mit Quelle aus dem zweiten Präfix kommt vom Kunden über Router 1. Dessen FIB erwartet dieses Präfix aber über Router 3. Striktes uRPF verwirft das Paket. Die Quelle ist erlaubt; nur der Weg passt nicht zur Tabelle. Genau in diesem Moment wird aus einem Routeneintrag ein falscher Berechtigungsnachweis.

Die lockere Variante streicht den Schnittstellenvergleich. Ein passendes Präfix irgendwo in der lokalen FIB reicht. Damit kommt ein Teil des asymmetrischen Verkehrs durch. Zugleich kann ein gefälschtes Paket eine Quelladresse aus jedem Präfix verwenden, das zufällig in der Tabelle steht. Striktes uRPF hält den Rückweg für eine Nutzungserlaubnis; lockeres uRPF hält allgemeine Erreichbarkeit dafür.

Verborgene Präfixe erschweren die Sache. Ein Host oder Kunde kann rechtmäßig eine Adresse nutzen, die das interne Routingprotokoll des Anbieters nicht kennt. RFC 10078 nennt Direct Server Return (DSR): Eine Anfrage erreicht einen Anycast-Dienst, doch ein anderer Edge-Server antwortet direkt mit der Dienstadresse als Quelle. Dasselbe passiert, wenn Kundenpräfixe intern nicht angekündigt werden. Fehlt das Präfix in der FIB, können beide uRPF-Varianten das Paket verwerfen. Eine Zugriffsliste kann erlaubte Präfixe nennen, aber jemand muss Änderungen an der Kundenberechtigung erkennen und die Regel anpassen.

Für neue Verfahren nennt der RFC fünf Eigenschaften: genauere Prüfung; automatische Erfassung und Aktualisierung von SAV-Informationen; schrittweise Einführung an einem Teil der geeigneten Schnittstellen; keine Beeinträchtigung von Routing-Konvergenz oder Fast Reroute bei Informationsverteilung; und authentifizierte oder vertrauenswürdige Informationen. Es fehlt ein Quellnutzungsnachweis, dem der Router vertrauen und den er aktuell halten kann. Die FIB beschreibt Erreichbarkeit. Sie zusätzlich als Kunden-Berechtigungsregister zu verwenden, ist nur bequem, bis beide Angaben auseinanderlaufen.

RFC 10078 definiert weder dieses Register noch ein Verteilprotokoll oder ein fertiges Verfahren. Es formuliert Problem und Anforderungen, keine Einbauanleitung. Der nächste Betriebstest ist klar: legitime Pakete über asymmetrische Wege und aus verborgenen Präfixen senden, danach gefälschte Quellen mit Präfixen testen, die in der FIB stehen und fehlen. Festhalten, welche Regel entscheidet, wer die Berechtigung geliefert hat, wie Aktualisierungen den Rand erreichen und was bei einer Routenänderung geschieht.

Quellen