Resumen

  • RFC 5320 convierte la fragmentación IPv4 exterior en retroalimentación: el extremo de salida informa, la entrada comprueba una ventana de SEAL_ID y modifica el S_MSS que regirá la siguiente generación de segmentos.
  • El registro operativo debe separar intención de sondeo, régimen de identidad, observación, actualización, reensamblado IPv4, reensamblado SEAL, entrega superior y el alcance exclusivamente Experimental del documento.

Un fragmento entra en el bucle de control

La intuición de SEAL no consiste en impedir toda fragmentación. Consiste en permitirla dentro de una topología virtual y extraer de ella una señal para el siguiente envío. La cápsula IPv4 sale normalmente con DF=0; un router puede dividirla; el extremo receptor puede comunicar el hecho; el emisor reduce sus segmentos hasta dejar de provocar el evento.

Esta secuencia resuelve un problema práctico de los túneles: los mensajes ICMP clásicos pueden perderse, ser filtrados o resultar caros de traducir hacia cada fuente interior. Sin embargo, cambiar la ruta de la información no amplía su significado. El informe dice que un paquete encontró una frontera menor en algún punto. No dice qué enlace fue, si todos los fragmentos llegaron o si la aplicación recibió los datos.

El error peligroso no es técnico sino semántico: mostrar «camino correcto» cuando el único hecho es «informe de fragmentación aceptado». El primer estado es una conclusión extensa. El segundo autoriza únicamente un ajuste acotado.

La identidad depende de si intervino un NAT

En el modo ordinario, SEAL_ID tiene 32 bits. Sus 16 bits altos están en la extensión de identidad SEAL y los bajos en el campo Identification de la cabecera IPv4 exterior. La entrada parte de un valor aleatorio por destino y avanza módulo 2^32. La amplitud reduce colisiones y permite asociar segmentos y mensajes con actividad reciente.

Si el túnel atraviesa un NAT IPv4, el traductor puede reescribir la mitad exterior. Por eso el modo NAT sólo conserva como identidad los 16 bits de la extensión; los incrementa módulo 2^16 y coloca un valor aleatorio en Identification.

No registrar este cambio produce pruebas falsas. Concatenar ambos campos después de la traducción inventa una identidad que no existió de extremo a extremo. Aun en el modo correcto, una coincidencia sólo vincula el mensaje con una ventana plausible. No autentica todos los routers ni certifica el resultado del paquete.

Dos tamaños gobiernan obligaciones distintas

S_MRU limita el tamaño que el receptor SEAL debe poder reconstruir y empieza en no más de 2 KB. S_MSS limita el tamaño de cada segmento transmitido y se deriva de la MTU IPv4 subyacente, los gastos de cabecera y un suelo relacionado con S_MRU/8.

Llamar a ambos «MTU del túnel» borra el diseño. Uno expresa capacidad de reensamblado; el otro, granularidad del envío. Reducir S_MSS tras un informe no significa que haya cambiado la identidad del paquete interior o la MTU que ve su origen. Un paquete interior no fragmentable que no cabe aún puede descartarse y provocar un PTB hacia la fuente.

Un recibo útil conserva por separado la MTU de interfaz, los gastos de cada capa, S_MRU, el valor y generación de S_MSS, la longitud interior, la política de fragmentación y la observación que autorizó la transición.

Hay tres cortes, no una sola clase de fragmento

SEAL puede dividir un paquete de capa intermedia en un máximo de ocho segmentos sin solapamiento. Los no finales miden lo mismo, el último no es mayor y un bit M junto con un número de tres bits define la secuencia. El receptor recompone el paquete antes de entregarlo hacia arriba.

Ese corte no es fragmentación del IPv4 interior. Tampoco es la fragmentación de la cápsula exterior por un router. El primer acto pertenece a la fuente o a una capa IP interior; el segundo, a los extremos SEAL; el tercero, a la red que transporta la envoltura. Cada uno tiene otra identidad, otro punto de reconstrucción y otra respuesta.

La métrica genérica fragments no puede explicar una decisión. El operador debe saber si observa piezas exteriores, segmentos SEAL o fragmentos interiores. También debe registrar el reensamblado IPv4 exterior antes del reensamblado SEAL y no saltar de uno a la entrega superior.

Los bits R y A formulan preguntas diferentes

La entrada marca R=1 en el segmento cero cuando solicita un informe si hubo fragmentación exterior. Marca A=1 cuando quiere un acuse. Una sonda explícita puede llevar datos o ser NULL con No Next Header, y su SEAL_ID queda en una ventana de envíos pendientes.

Si ambos bits están activos y el paquete se fragmenta, el receptor envía un solo Fragmentation Needed. No aparecen dos pruebas independientes. El mensaje satisface más de una intención y el registro tiene que conservar por qué se envió la sonda.

Tampoco el silencio es una respuesta binaria. El receptor puede limitar informes no solicitados con acuse; puede perderse la sonda; puede perderse el retorno; o realmente no pudo haber fragmentación. La ausencia de un evento no permite elegir una causa sin evidencia adicional.

Una primera pieza pequeña puede engañar al cálculo

El ICMP recibido fuera de la cápsula es una pista blanda. Puede falsificarse y su cita del paquete original puede ser insuficiente. Un informe encapsulado por SEAL y coincidente con la ventana reciente ofrece una asociación más sólida, aunque todavía no revela necesariamente la MTU del enlace estrecho.

La llamada fragmentación runt puede producir una primera pieza corta que no representa el límite real. RFC 5320 responde con una búsqueda iterativa: reducir, enviar bajo la nueva generación y volver a observar. Una cifra aislada no adquiere autoridad permanente.

Además, sólo el primer informe aplicable debe cambiar S_MSS. Los informes siguientes de la misma generación son ecos del mismo estado, no mandatos para seguir reduciendo. El sistema espera tráfico probado bajo el valor nuevo antes de volver a decidir.

Correlación no equivale a autenticación

El nonce, la identidad y la ventana reciente limitan qué mensajes se aceptan. Eso es mejor que obedecer cualquier ICMP. Pero la cabecera SEAL puede permanecer visible fuera de IPsec y la integridad de enlace sólo cubre un tramo local. El mecanismo no produce una atestación criptográfica del recorrido.

La frase correcta para el panel es «retorno asociado a un envío vivo». Deben acompañarla el modo NAT, la época de estado blando, la ventana, la generación de tamaño y el tipo de sonda. Sustituirla por «camino autenticado» cambia una correlación temporal por una garantía inexistente.

El receptor puede descartar aunque el informe fuera válido

El receptor maneja marcas de agua, duplicados, huecos y presión de memoria. La espera de reconstrucción está acotada a 15 segundos. Un conjunto incompleto puede expirar o ser descartado aunque anteriormente hubiera generado una retroalimentación legítima.

De ahí surge una cadena de evidencia explícita: envoltura observada, piezas IPv4 reensambladas, segmentos SEAL reconstruidos, paquete entregado al protocolo superior y resultado final observado. Ningún eslabón debe rellenarse por inferencia a partir del anterior.

La etiqueta Experimental también es una frontera

RFC 5320 apareció en febrero de 2010 como Independent Submission de categoría Experimental. La nota del IESG aclara que no representa el proceso normal de consenso. Sus valores SEAL_PROTO, SEAL_PORT y SEAL_OPTION son experimentales y el propio texto impide utilizarlos en productos enviados o despliegues normales.

RFC posteriores sobre Identification, fragmentación y validación de MTU ofrecen contexto y alternativas. No convierten retrospectivamente el experimento en estándar. El número de RFC identifica un documento; no concede autoridad operativa.

Qué debe guardar la decisión

Registrar entrada y salida, hora, régimen de 32 o 16 bits, época de estado, SEAL_ID, R, A, NULL o datos, tamaño enviado, ventana activa, S_MRU, valor y generación de S_MSS, fragmento citado, origen del informe, ajuste autorizado y resultados separados de reensamblado y entrega.

La adaptación puede hacer desaparecer sus propios síntomas. Sin el recibo, el túnel conserva un parámetro pero pierde la razón que lo produjo. Con él, una señal sigue siendo útil sin convertirse en una historia de certeza.

Fuentes