FlowSpec exige rechazar la regla si falta el patrón de bytes

Resumen

draft-ietf-idr-fsv2-content-filter-00, del 2 de noviembre, propone un componente que compara bytes del paquete en FlowSpec v1 y v2. Es un borrador de un grupo de trabajo del IETF.
La regla fija una base, un desplazamiento, un patrón y una máscara. En FSv2 el componente es obligatorio: un equipo incapaz de ejecutarlo debe rechazar la instalación local de la ruta completa.
Si se omite el patrón y se mantiene la acción, el filtro se ensancha. El borrador deja al operador la confianza en pares BGP, la autorización, los límites de recursos y el alcance de propagación.

La condición pequeña que evita el daño grande

FlowSpec reparte políticas de filtrado por BGP. Sus familias IP básicas han mirado sobre todo las cabeceras: direcciones y campos de transporte. El nuevo texto de IDR entra en otra zona: permite describir bytes fijos en el contenido del paquete. La intención es reconocer patrones de ataques volumétricos sin gastar en inspecciones más pesadas. La decisión de aplicar un bloqueo, una redirección o un límite de tasa sigue siendo local.

La receta técnica es concreta. OType elige el comienzo de la cabecera IP, la carga IP, UDP o TCP. Offset cuenta los bytes desde ese punto. Content y Mask indican qué bits importan; la longitud no puede ser cero. El ejemplo del documento busca dos bytes al inicio de una carga TCP y añade un prefijo de destino. Se compara una secuencia, no se interpreta el significado de una conversación.

El problema empieza en un dispositivo que recibe la regla pero no puede leer el componente. El formato permite codificar hasta 255 bytes; el hardware puede imponer un límite menor. Para FSv2, el componente de contenido debe marcarse como obligatorio. Si supera la capacidad local, la ruta entera queda fuera de la instalación. El equipo no puede quitar la prueba de bytes y ejecutar el resto. Si lo hiciera, una orden destinada a un patrón estrecho podría actuar sobre mucho más tráfico.

La posición tampoco es una coordenada mágica. En IPv6, la «carga IP» empieza después de la cabecera fija y puede incluir cabeceras de extensión; si estas cambian durante el tránsito, el mismo desplazamiento puede señalar otro contenido. Un túnel añade una envoltura que puede confundir la base. El borrador recomienda comparar el paquete interno tras desencapsular cuando corresponda, o fijar una base inequívoca.

Los autores piden puntos de filtrado controlados, otras condiciones de cabecera que estrechen el alcance, pares BGP de confianza y límites de reglas y actualizaciones. El texto informa de ensayos con OpenBGPD, FRRouting y conmutadores programables; no aporta cifras de adopción en producción. Su regla más valiosa es una negativa: si falta la condición que hace específico el filtro, el equipo no recibe permiso para aplicar una versión más tosca.