Zusammenfassung

  • Ein Host konnte sein Ziel über das Default Gateway erreichen und dabei dasselbe LAN zweimal durchqueren: H sandte an G1, G1 leitete an den ebenfalls lokalen G2 weiter. ICMP Redirect ließ G1 das erste Paket zustellen und für die nächsten den kürzeren Weg nennen.
  • Die Nachricht war kein kleines Routingprotokoll. Der Host musste den Absender als seinen gegenwärtigen ersten Hop erkennen, das vorgeschlagene Gateway auf dem Eingangsnetz prüfen und nur eine zielbezogene Ausnahme speichern.
  • IPv6 machte Lokalität mit Link-Local-Quelle, Hop Limit 255 und Zielregeln überprüfbar. SEND konnte den Sprecher innerhalb einer Vertrauenskette authentisieren, bewies aber weder dauerhafte Optimalität noch Eigentum am Ziel.

Ein Umweg ohne Fehlermeldung

Ein Default Gateway erspart dem Host eine Weltkarte. Fehlt eine genauere Route, übergibt er das Datagramm einem bekannten Router. Er muss weder jede entfernte Netzgrenze kennen noch an den Protokollen teilnehmen, mit denen Router ihre Sicht aufbauen.

RFC 791 trennt Namen, Adressen und Routen und beschreibt IP als Folge lokaler Weiterleitungsentscheidungen. H kann X adressieren, ohne zu wissen, welcher Nachbar von G1 der bessere Ausgang ist.

Stehen H, G1 und G2 im selben LAN, entsteht leicht ein Dreieck. H wählt G1 als Standard. G1 kennt für X den Next Hop G2, der am selben Netz hängt. Das Paket läuft H–G1–G2. Es kommt voran, doch das lokale Medium trägt zwei Strecken statt einer.

RFC 792 gab G1 dafür ICMP Redirect. G1 verwirft das Paket nicht, sondern leitet es weiter und sendet H zusätzlich den Hinweis auf G2. Erst die folgenden Pakete können die Abkürzung nehmen.

Redirect berichtet somit nicht primär von einem Scheitern. Die Zustellung gelang; gerade der Erfolg offenbarte die unnötige Ecke. Eine Beobachtung aus der Datenebene erzeugte einen begrenzten Hinweis für den Host.

Ein Hinweis mit Belegstück

Die Nachricht nennt das empfohlene Gateway und zitiert den ursprünglichen IP-Header samt den ersten 64 Datenbits. Der Empfänger kann den Hinweis deshalb einem kurz zuvor gesendeten Datagramm zuordnen.

Das Zitat ist kein vollständiger Topologienachweis. Es zeigt weder entfernte Richtlinien noch die künftige Erreichbarkeit von G2 und erst recht kein Recht an X. Es bindet eine Behauptung an einen konkreten Anlass.

Die ursprünglichen Codes unterschieden Redirects für Netz, Host und Diensttyp. Solche Bezeichnungen konnten eine breite Wirkung nahelegen. Dem Host fehlte jedoch regelmäßig die verlässliche Netzmaske des entfernten Netzes. Aus einem Paket durfte er kein fremdes Präfix erfinden.

RFC 1122 verlangte daher, auch einen Network Redirect als hostspezifisch zu behandeln. Die gespeicherte Schlussfolgerung blieb so eng wie die beobachtete Zieladresse.

Vor der Annahme standen zwei relationale Prüfungen. Das neue Gateway musste im selben logischen Subnetz liegen, über das die Nachricht einging. Und die Quelle des Redirect musste genau der First-Hop-Router sein, den H für dieses Ziel bislang benutzte.

Damit entsteht Autorität nicht aus dem Paketformat allein. G1 darf sprechen, weil H ihm das betreffende Paket anvertraut hat. Ein beliebiger Nachbar im LAN besitzt diese vorausgehende Beziehung nicht.

Ausnahme statt Weltbild

Nach einer gültigen Nachricht aktualisiert der Host seinen Route- oder Destination Cache. Er verteilt keine Route an andere, ersetzt nicht sämtliche Default-Wege und tritt keinem Routingprotokoll bei.

Die zielgenaue Ausnahme begrenzt nicht nur Macht, sondern auch Lebensdauer. G2 kann ausfallen, G1 kann Neues lernen, die Schnittstelle kann wechseln. Ein Cacheeintrag muss auslaufen, ersetzt werden oder auf den Default zurückfallen können. Sonst regiert eine einst richtige Beobachtung die Zukunft.

RFC 1256 schärfte die Trennung mit Router Solicitation und Router Advertisement. Hosts konnten lokale Default Router, Präferenz und Lebensdauer entdecken. Der Standard betont, Router Discovery sei kein Routingprotokoll.

Discovery beantwortet: Welche lokalen Ausgänge kommen grundsätzlich infrage? Redirect beantwortet: Welcher Nachbar war für dieses Ziel nach diesem Paket günstiger? Das eine pflegt den Vorrat an Defaults, das andere eine Ausnahme.

Die Trennung schafft einen Rückweg. Veraltet der Hinweis, bleibt die zuvor entdeckte Standardausfahrt vorhanden. Eine Optimierung muss entbehrlich sein, sonst wird sie zur neuen Abhängigkeit.

Router sollen den Hinweis nicht glauben

Für einen einfachen Host kann ein Redirect nützlich sein; in der Routingebene wäre derselbe Hinweis gefährlich. RFC 1812 untersagt Routern, die ein Routingprotokoll verwenden, beim Forwarding Wege zu berücksichtigen, die sie durch Redirect gelernt haben.

Router besitzen einen eigenen Beweisprozess mit Metriken, Richtlinien, Timern und Schleifenschutz. Würde eine Host-Optimierung dort hineinwirken, könnte ein einzelnes lokales Paket die nachvollziehbare Kontrollordnung umgehen.

Auch für das Senden zieht RFC 1812 enge Grenzen. Das Paket muss über dieselbe physische Schnittstelle hinausgehen, über die es eintraf; der Next Hop muss im gleichen logischen Subnetz wie die Quelle liegen; und es darf keine Source Route angegeben sein. Diese Bedingungen zeichnen das Dreieck H–G1–G2 nach.

G1 behauptet also nicht, G2 sei für immer oder nach jeder Richtlinie der beste Weg. Es behauptet, beim Bearbeiten dieses Pakets eine direkt erreichbare Alternative gesehen zu haben. Mehr trägt die Beobachtung nicht.

IPv6 machte die Kante sichtbar

IPv6 behielt Redirect als Teil von Neighbor Discovery. Nach RFC 4861 kann ein Router einen besseren First Hop melden oder erklären, das Ziel selbst liege on-link.

Die Quelladresse muss link-local sein, das Hop Limit beim Empfang 255 betragen. Da ein weiterleitender Router den Wert herabsetzen würde, liefert 255 Evidenz, dass die Nachricht keinen gerouteten Hop überquert hat. Die Quelle muss außerdem der aktuelle First Hop zum Ziel sein.

Die Zieladresse der Redirect-Nachricht darf nicht Multicast sein. Das Target ist entweder die Link-Local-Adresse des vorgeschlagenen Routers oder bei einem direkt benachbarten Ziel mit der Destination identisch. Lokalität wird damit zu prüfbaren Beziehungen zwischen Feldern und Hostzustand.

Bei Annahme ändert der Host seinen Destination Cache. Redirected Header zitiert das auslösende Paket; Target Link-Layer Address kann den Neighbor Cache ergänzen. Diese Zustände dienen dem Host. Ein Router darf daraus weiterhin keine Forwardingroute lernen.

Authentisch ist nicht allwissend

Ein gemeinsames Link ist keine Vertrauensgarantie. Ein Angreifer könnte G1 imitieren, Neighbor Discovery beeinflussen oder einen kontrollierten G2 vorschlagen. Zugleich braucht ein neu angeschlossener Host lokale Routerinformationen, bevor er entfernte Prüfdienste erreichen kann.

RFC 3971 entwickelte Secure Neighbor Discovery, SEND. Kryptographisch erzeugte Adressen, Signaturen und an Trust Anchors gebundene Router-Autorisierungszertifikate sollen Sprecher und Berechtigung innerhalb des konfigurierten Modells prüfen.

Eine Signatur belegt, welcher Schlüssel die unveränderte Nachricht erzeugte. Eine Zertifikatskette kann die Autorisierung relativ zu einem Anker belegen. Beides sagt nicht, ob G2 morgen erreichbar ist, jede Policy erfüllt, den kürzesten Pfad bietet oder X besitzt.

Ebenso ist die Existenz des Standards kein Beleg für flächendeckenden Einsatz. Ob SEND vorhanden und verlangt ist, muss am konkreten System beobachtet werden. Standardisierte Möglichkeit und tatsächliche Verbreitung sind verschiedene Aussagen.

Das Recht, zur Seite zu zeigen

Redirect lässt sich als kurze Delegationskette lesen. H wählt G1. G1 sieht das Paket und G2 am selben Link, erfüllt zunächst die Weiterleitung und schickt dann einen belegten Vorschlag. H prüft und entscheidet über seinen eigenen Cache.

Die Verben halten die Rollen auseinander. G1 empfiehlt, schreibt aber nicht selbst in H. H speichert, verbreitet aber keine Route. Das Routingprotokoll bleibt Beweisquelle der Router. Der Timer nimmt der lokalen Erinnerung später die Macht.

Ein Mitschnitt beweist, dass ein Hinweis gesendet wurde, nicht dass H ihn akzeptierte. Ein Cacheeintrag beweist eine lokale Entscheidung, nicht globale Güte. Ein Hop weniger beweist weder Sicherheit noch Policykonformität noch institutionelles Eigentum.

Die bleibende Idee ist proportionale Autorität. Wer den Umweg gerade gesehen hat, darf auf die Abkürzung hinweisen. Doch sein Mandat bleibt an Paket, First Hop, Link, Ziel und Zeit gebunden. Der Router zeigt zur Seite, ohne sich die Route anzueignen.