Resumen

  • La revisión 08 del modelo YANG para IPv6 Neighbor Discovery permanece en última llamada hasta el 16 de septiembre de 2026. Su hoja modificable auto-resolve permite una respuesta que combina anotación del incidente, descarte del mensaje y bloqueo del host.
  • Una revisión de INTDIR terminada el 5 de septiembre califica el borrador como «listo con problemas» y señala que el ajuste parece faltar en la lista de nodos modificables sensibles, pese a que puede automatizar la exclusión.
  • El árbol ofrece estadísticas agregadas por interfaz, no un recibo de cada decisión. Antes de activar la función, el operador debería exigir identidad atribuible, resultados separados, caducidad y un procedimiento probado de desbloqueo.

El último control no era sintáctico

El borrador reúne controles y estado para resolución de direcciones, redirecciones, proxy Neighbor Advertisement, Neighbor Unreachability Detection y las modalidades ordinaria y mejorada de Duplicate Address Detection. Aspira a Proposed Standard y la validación YANG de la revisión 08 no registra errores ni avisos. La pieza que encontró la revisión de Carlos Pignataro no está en la gramática, sino en el alcance de un permiso.

La sección de seguridad pide transportes protegidos, autenticación mutua y reglas NACM. También identifica configuraciones que merecen un control especialmente estricto. El informe de INTDIR considera una omisión que enhanced-dad/auto-resolve no aparezca allí, porque modificarlo puede causar el bloqueo automático de hosts. Es una distinción importante: limitar quién cambia la configuración no sustituye al registro de lo que la configuración decide después.

El caso de cable no es una regla universal

La secuencia procede del RFC 7527. Su escenario tiene una arquitectura de confianza concreta: un router de confianza atiende a nodos IPv6 no confiables. En una red de cable, el concentrador puede recibir un NS de DAD o un NA que revele un duplicado genuino de una dirección todavía tentativa u optimista de su interfaz. El RFC recomienda registrar el hecho, descartar el mensaje y bloquear el módem ligado al identificador de servicio de capa 2.

El identificador de capa 2 es el eslabón que vincula el paquete con el sujeto de la medida. Sin él, o cuando se comparte o cambia con rapidez, la dirección IPv6 observada no basta para resolver la identidad administrativa. El RFC permite que otras redes con el mismo modelo de confianza adopten la automatización; no la prescribe para cualquier enlace que produzca una alerta de duplicado.

El texto YANG mantiene las expresiones «router de confianza» y «hosts no confiables», pero sitúa el booleano dentro de un modelo reutilizable por interfaz. Por eso la configuración local debe declarar dónde se cumple esa relación y qué fuente de identidad sostiene el bloqueo. Copiar el valor true a todas las interfaces convertiría una excepción operativa en una política general que los RFC no establecen.

Una detección mejorada sigue siendo discutible

Enhanced DAD usa un nonce para reconocer una solicitud que la propia red devuelve a su emisor. Así separa un bucle de una colisión real con más precisión que DAD por sí solo. Pero no autentica a todo participante ni elimina las señales fabricadas.

El RFC 4862 reconoce que Duplicate Address Detection no es completamente fiable. El RFC 7527 advierte que un atacante puede alterar el nonce o responder a cada sondeo con una Neighbor Advertisement falsa. Recomienda SEND frente a esos ataques y cita SAVI como protección complementaria. Cuando la evidencia puede ser inducida por un tercero, pasar directamente del detector a la desconexión exige una cadena de atribución visible y revisable.

Esa cadena debe conservar el mensaje que activó la regla, la interfaz, la dirección cuestionada y la asociación de capa 2. También debe indicar la versión de política y el origen de la configuración. Sin esas piezas, una apelación obligaría a inferir una decisión individual a partir de datos pensados para observar un conjunto.

Tres resultados no caben en un único «éxito»

Registrar, descartar y bloquear pueden completarse por separado. El sistema puede cortar el acceso aunque falle su escritura de log; puede tirar el paquete y no resolver con certeza el host; puede mantener el bloqueo cuando la condición ya desapareció. Por ello, el estado operativo no debería reducirse al valor del booleano ni a un contador creciente.

El modelo incluye numerosos contadores por interfaz para mensajes ND recibidos, enviados y descartados, con varios motivos de descarte. Son buenos indicadores, pero no hay en el árbol estándar un registro por acto de ejecución que una evidencia, identidad, regla, resultados y condición de liberación. Tampoco se define unblock ni una expiración automática. Un fabricante puede ampliarlo; la misma opción estándar no garantiza la misma capacidad de explicación entre equipos.

El requisito prudente es un recibo de decisión: clasificación y hora del evento, interfaz, dirección, método de atribución, versión de regla y resultado individual de las tres acciones. El bloqueo necesita ámbito, duración, código de causa y ruta de reversión ensayada. La automatización será defendible cuando acelere la respuesta sin borrar la posibilidad de reconstruirla.

Fuentes