Summary

  • La RFC 1108 definió la opción 133 como un contenedor repetible para etiquetas adicionales; cada código de formato debía tener reglas interoperables propias.
  • Una ESO siempre dependía de la opción básica, y eliminarla en tránsito podía causar rechazo o una clasificación de sensibilidad equivocada.

Un registro como parte del protocolo

La Extended Security Option (ESO), opción IPv4 de tipo 133, tenía longitud variable, un mínimo de tres octetos y un código de un octeto para el formato de la información de seguridad adicional. El contenido posterior obedecía a la sintaxis indicada por ese código. Ese campo adicional podía incluso estar vacío si así lo permitía su definición.

Registrar un número implicaba publicar una RFC con dos compromisos: una descripción bastante precisa para que distintos fabricantes interoperasen y un procedimiento algorítmico para decidir si la etiqueta debía aceptarse o rechazarse. La traducción de bits a nombres humanos podía permanecer restringida, pero las máquinas no podían depender de una regla secreta e indeterminada.

La opción se copiaba al fragmentar y podía aparecer varias veces, limitada por el espacio total de la cabecera IPv4. Esa flexibilidad no la hacía autónoma. Todo datagrama con ESO tenía que incluir también la Basic Security Option (BSO). La ausencia de BSO, un código no registrado, longitudes incoherentes o datos que contradijeran la RFC definidora eran errores para los que RFC 1108 indicaba el procesamiento ICMP Parameter Problem.

Tampoco todos los sistemas debían entender todo. Era válido implementar BSO sin ESO o seleccionar solo algunos formatos extendidos. Además, los bits de autoridades de protección de la opción básica no guardaban relación con los códigos de formato. La proximidad en el paquete no convertía dos registros en uno.

Para que un router eligiera caminos según las etiquetas, los protocolos de encaminamiento necesitaban distribuir esa información. El formato anunciaba una condición, pero la configuración de puertos, los formatos admitidos y el conocimiento de rutas determinaban su efecto real.

El riesgo de limpiar sin entender

RFC 7126 documentó su uso acotado en redes privadas de alta seguridad. Si un dispositivo quitaba ESO, el receptor podía descartar el paquete por estar mal etiquetado. También podía asociarlo a una sensibilidad incorrecta, tratándolo como más o menos sensible de lo debido.

Por eso la configuración predeterminada no debía retirar la opción ni descartar un paquete solo por contenerla. Un entorno conocido que no la utilizase podía activar el filtrado, y los dispositivos debían facilitar auditoría. La recomendación distinguía entre política informada y limpieza universal.

No conocemos por estas fuentes la cuota actual de despliegue, los formatos vigentes ni todos los valores por defecto. Sí conocemos el coste estructural: la extensibilidad distribuyó la autoridad entre registro, especificaciones, fabricantes y operadores.

Sources