Resumen

  • RFC 9735 muestra una solicitud de 80 bits por ietf.lisp que recibe el registro de 40 bits ietf; el Mask-Len devuelto demuestra una coincidencia menos específica, no una identidad exacta.
  • El Distinguished Name AFI 17 no es un DN de X.509. Su significado depende del Instance-ID, la gramática del uso y la política que autoriza al registrante.
  • El sistema debe conservar bytes, terminación NULL, petición, respuesta, clase de coincidencia, autoridad registrante, conjunto de localizadores, lectura del caché y resultado observado.

El tablero mostraba «consulta resuelta». El operador abrió el detalle y encontró dos cadenas: se había preguntado por ietf.lisp, pero el servidor había devuelto ietf.

No era una respuesta corrupta. Era exactamente el comportamiento que RFC 9735 define para una búsqueda por coincidencia más larga. El error estaba en la etiqueta del tablero: había convertido cobertura en identidad.

Ochenta bits preguntaron; cuarenta bits contestaron

El DN usado como EID lleva una longitud en bits que incluye el octeto NULL final. ietf.lisp ocupa diez octetos y, por tanto, 80 bits. ietf, con cuatro caracteres más el NULL, ocupa cinco octetos: 40 bits.

Si existe un registro con la misma longitud, el Map-Server puede devolver la coincidencia exacta. Si sólo existe el nombre menos específico, devuelve ese registro y su Mask-Len. La pareja solicitud/respuesta es el recibo completo. Guardar únicamente la cadena devuelta destruye la diferencia.

Una interfaz honesta puede decir:

Estado Hecho conservado
exact_match nombre y longitud coinciden
less_specific_match un registro de menor longitud cubrió la solicitud
no_match ningún registro aplicable respondió

El segundo estado puede ser útil y deliberado. No necesita disfrazarse de primero para ser operativo.

Un DN legible no es un certificado

RFC 9735 advierte que su Distinguished Name no guarda relación con el campo homónimo de PKIX/X.509. Puede codificar un nombre de recurso, una función, un nombre de router, una dirección descriptiva o un formato de hash de clave. La legibilidad humana no crea por sí sola unicidad global, titularidad ni identidad jurídica.

La autoridad procede de alrededor: qué Instance-ID se usa, qué sintaxis corresponde al caso de uso, quién autenticó la inscripción y qué política le permitió escribir. edge en un espacio de onboarding no es necesariamente el mismo objeto que edge como función de Proxy-ETR.

Por eso RFC 9735 recomienda separar casos de uso con Instance-ID únicos y definir estructuras cuando conviven varias semánticas. El índice correcto incorpora el contexto; no aplana todas las cadenas en un diccionario universal.

El primer NULL puede cambiar lo que se ve

AFI 17 contiene una cadena de longitud variable terminada en 0x00. En un EID, Mask-Len incluye el NULL. Dentro de LCAF puede existir además una longitud explícita, también incluyendo el terminador.

La especificación permite aceptar un NULL anterior al final del campo, pero ordena ignorar para la cadena los octetos posteriores. También obliga a aceptar la cadena vacía, codificada con un NULL inmediatamente después del AFI.

Aceptar sintaxis no equivale a autorizar su uso. Una política puede prohibir el vacío en un namespace productivo. Y un registro de auditoría debe conservar los bytes originales, la longitud declarada, la posición del primer NULL y el texto interpretado. Si sólo guarda el texto, rol\0resto y rol\0 se vuelven indistinguibles para siempre.

No hay base para atribuir este problema a un producto sin pruebas. Sí hay base para exigir ensayos de conformidad: NULL final, NULL temprano, vacío, longitud discordante, entradas no ASCII, mismo nombre en Instance-ID diferentes y respuesta menos específica.

El mismo nombre puede reunir muchos equipos

La experiencia descrita en RFC 9735 incluye Proxy-ETR que registran un DN común de función y aportan sus propios localizadores. El sistema agrega el conjunto y lo distribuye a quien solicita o se suscribe al nombre.

Ese DN es un punto de coordinación, no la identidad permanente de una caja. Puede representar hoy cinco localizadores y mañana tres. La respuesta prueba qué conjunto publicó el sistema en esa época. No prueba que cada miembro siga ejerciendo la función, que las rutas sean independientes ni que el tráfico alcance un destino externo.

La incorporación de xTR ofrece otra separación. Un DN dedicado puede iniciar el registro UDP y ayudar a preparar el transporte fiable. La autenticación inicial, la admisión, la sesión establecida y la actividad de datos son recibos diferentes.

La autenticación no firma el futuro

RFC 9301 protege el plano de control y RFC 8060 define contenedores LCAF. Sus mecanismos pueden ayudar a saber quién produjo un registro y si el servidor debía aceptarlo. No pueden atestiguar que el caché de un ITR cambió, que un localizador responde o que una aplicación terminó.

La secuencia defendible es: bytes interpretados; nombre admitido; búsqueda clasificada; respuesta o notificación entregada; caché escrito y releído; localizador elegido; paquete observado; resultado del servicio. Un recibo posterior amplía la evidencia. Nunca transforma retrospectivamente una coincidencia menos específica en exacta.

Esta disciplina coincide con las Reality Layers de Lu Heng: símbolo, acto autorizado, ejecución y resultado no deben compartir una única casilla verde.

La Minimum Initial Specification añade el criterio institucional. El estándar común debe ser pequeño: encoding, longitud, terminación y comportamiento de búsqueda. Las gramáticas de uso y decisiones futuras pueden seguir locales, explícitas y reemplazables.

Fuentes

Fuentes