Resumen

  • Una vecindad PIM confirma que una implementación aceptó un intercambio; no confirma que el emisor fuese un router designado por el operador. Con el censo de candidatos equivocado, una elección técnicamente correcta distribuye autoridad al sujeto equivocado.
  • El modo pasivo, IPsec, los filtros del protocolo 103, el bloqueo en puertos de host y la validación de origen no son sustitutos. Cada control cierra una trayectoria distinta y necesita su propio comprobante.

El permiso que no figura en el paquete

Un puerto puede estar conectado a una estación, un servidor o un cliente y, sin embargo, ejecutar PIM completo. El protocolo no conoce la intención que aparece en el diagrama. Recibe un Hello, mantiene temporizadores y crea una vecindad. Ese estado es verdadero dentro de su capa y silencioso sobre la autorización externa.

RFC 5294 analiza precisamente esa superficie en interfaces que conectan hosts. El atacante puede ser un host o un equipo que se hace pasar por router. No hace falta que rompa la gramática: puede utilizarla. La distinción crítica queda entre identidad de red, participación protocolaria y mandato operativo.

El documento es Informational y data de 2008. No demuestra que una plataforma contemporánea acepte estos mensajes ni que un operador actual esté expuesto. Sirve para razonar sobre una clase de diseño: si el puerto no expresa qué principal admite, el protocolo convierte presencia en candidatura.

Del vecino al DR, del DR al silencio

El DR de PIM-SM registra nuevas fuentes locales y emite Join/Prune para los receptores del LAN. Un host que se convierta en vecino puede buscar la elección de DR. Desde allí puede omitir un Join, no registrar una fuente o actuar bien en unas transmisiones y mal en otras. El tráfico visible puede ocultar el control que falta.

En BIDIR-PIM, el DF reenvía hacia el enlace y desde el enlace. Un nodo puede anunciar una métrica superior, falsificar DF Offer o DF Winner, o impedir la convergencia mediante ofertas repetidas. La elección responde a sus entradas; no audita si cada entrada pertenece a un router autorizado.

Assert recorta aún más el ámbito y, por eso, puede pasar desapercibido. Para un (S,G) o (*,G), el ganador asume el reenvío y desplaza la conducta normal del DR. Puede requerir vecindad, una dirección suplantada o una comprobación ausente. El temporizador predeterminado de tres minutos pone fecha de caducidad al estado sin refresco, pero no evita la interrupción inicial.

La excepción llamada Register

En un segmento terminal con un solo router, PIM pasivo permite que los hosts usen multicast mientras la interfaz deja de enviar y procesar mensajes PIM. Es una reducción directa de capacidad: si no hacen falta elecciones, el puerto no debe ofrecerlas.

Sin embargo, Register es un mensaje unicast que transporta un paquete multicast encapsulado. El host puede construirlo y dirigirlo a cualquier dirección, incluso a un RP remoto. Sin filtrado de origen puede falsificar la fuente y sortear límites puestos únicamente en el DR legítimo. Por eso la tabla de RFC 5294 no atribuye a passive mode la solución del Register originado por hosts.

La auditoría no puede resumir estas rutas en “PIM apagado”. Debe nombrar control local, Register unicast, legitimidad del origen, autenticación de routers y efecto de reenvío.

La seguridad cambia de dueño según el control

IPsec protege la conversación entre routers conocidos cuando varios comparten el enlace. También introduce inventario de pares, asociaciones, claves, compatibilidad y renovación. La cobertura debe describirse: proteger a los routers locales no necesariamente impide que un host envíe un Register sin protección hacia otro punto.

En un stub de un router, una ACL de entrada para IP protocol 103 bloquea PIM multicast y unicast. En un LAN con varios routers, los switches pueden descartar PIM en todos los puertos de host, o los routers pueden permitir solo direcciones vecinas válidas si el switch evita la suplantación. Entonces el punto de confianza pasa al mapa de puertos y al mantenimiento cuidadoso de excepciones.

BIDIR-PIM necesita además filtrado de ingreso frente a fuentes topológicamente incorrectas porque el árbol compartido no aplica la misma barrera RPF. Que una fuente parezca topológicamente posible no la autoriza para tomar un rol.

La evidencia que no debe heredarse

Conviene conservar filas separadas para la clasificación de interfaz, política PIM, validación de fuente, autenticación, padrón de candidatos, resultado electoral, estado instalado y observación del receptor. Una fila no hereda la verdad de la anterior. Un vecino autenticado puede no tener mandato; un DR legítimo puede estar mal configurado; una entrada de reenvío puede no producir entrega.

También hay que limitar las negaciones. No ver Hellos hostiles durante una captura no certifica todos los accesos. Un DR estable no excluye Assert en otro grupo. Un timer vencido no recupera paquetes. La pertenencia multicast tampoco ofrece confidencialidad: un nodo del enlace puede ajustar filtros de capa 2, de modo que el secreto exige criptografía.

La autorización comercial en IGMP no compensa un plano de routing abierto. Si el host puede actuar como router, puede esquivar el procedimiento de suscripción o negar servicio a otros. Consumir y gobernar son facultades distintas.

Límites verificables

Las fuentes no nombran una vulnerabilidad actual, un incidente medido, una adopción ni un resultado de entrega. RFC 7761 sustituyó después a RFC 4601. Una evaluación de hoy requiere versión, configuración, inventario y tráfico capturado.

Ningún control aislado certifica el servicio. El argumento termina antes: si una interfaz era para hosts, su tabla PIM no puede utilizarse como prueba de autoridad hasta demostrar por qué aceptó esa clase de hablante.

Fuentes