Resumen

  • RFC 9898 ordena quince problemas de Neighbor Discovery según tres causas: multicast, confianza en todos los nodos del enlace y creación de NCE por demanda del router.
  • REACHABLE describe una confirmación reciente de alcance al vecino según ND. No demuestra propiedad, identidad del abonado, autorización durante todo un intervalo ni éxito de una aplicación.

En una solicitud de atribución, el dato más fácil llegó primero. La captura del router mostraba la dirección IPv6, una dirección de enlace y el estado REACHABLE. El equipo podía afirmar que el router había mantenido una relación útil para enviar. No podía afirmar todavía quién tenía derecho a usar esa dirección cuando ocurrió el hecho investigado.

Esa diferencia no es semántica. Determina si la organización posee una cadena de evidencia o sólo una pantalla convincente. La caché fue diseñada para que los paquetes sigan avanzando; la identidad contractual pertenece a otros sistemas.

RFC 9898 reúne problemas y soluciones de ND que estaban repartidos entre más de veinte RFC. No impone una técnica nueva. Su aportación es reducir quince vulnerabilidades potenciales a tres decisiones de arquitectura: emplear multicast, confiar en los participantes del enlace y crear una entrada de vecino cuando aparece tráfico para un destino local desconocido.

La anatomía básica de RFC 4861 evita muchas confusiones. Neighbor Cache, Destination Cache, Prefix List y Default Router List son estructuras conceptualmente distintas. Una resuelve un vecino a nivel de enlace; otra guarda el siguiente salto; otra delimita qué prefijos están on-link; la última mantiene routers candidatos. Que un fabricante las presente en un mismo comando no convierte sus afirmaciones en una sola.

Si falta la dirección de enlace del siguiente salto, el nodo crea una NCE INCOMPLETE, envía un Neighbor Solicitation multicast y retiene el paquete. Una Neighbor Advertisement solicitada puede instalar la dirección, pasar la entrada a REACHABLE y liberar el tráfico. STALE conserva la dirección de enlace sin una confirmación reciente; DELAY y PROBE gestionan la comprobación posterior.

Ninguno de esos estados tiene semántica de propiedad. REACHABLE no significa «abonado autenticado». Una NA válida dentro del protocolo no es un contrato de asignación. La entrada tampoco conserva necesariamente lo ocurrido antes de una expulsión, una limpieza o un reinicio.

El mecanismo bajo demanda convierte la caché en un recurso atacable desde fuera del enlace. Basta dirigir paquetes a muchas direcciones inexistentes dentro del prefijo on-link para que el router abra preguntas INCOMPLETE y consuma memoria y CPU intentando resolverlas. Por tanto, contar entradas no equivale a contar máquinas: algunas son intentos sin respuesta. Y no encontrar una entrada tampoco demuestra ausencia: puede haber expirado, sido expulsada o no haber recibido tráfico reciente.

RFC 9898 señala tres daños diferentes. El primero es agotamiento de NCE. El segundo es demora y posible pérdida del primer paquete mientras se resuelve el destino. El tercero es falta de responsabilidad sobre la dirección. Con SLAAC, el host forma sus direcciones y el router puede enterarse sólo al necesitarlas. DHCPv6 tampoco entrega automáticamente al plano de reenvío un historial completo sin snooping, registro u otra integración.

La mitigación debe conservar su propósito. RFC 6583 propone filtrar espacio sin uso, limitar el trabajo de ND y priorizar las NCE existentes. Así protege capacidad. Un límite por interfaz impide que la caché crezca sin control, pero también puede dejar fuera direcciones legítimas cuando la escala real supera el límite. No añade identidad.

El mecanismo GRAND de RFC 9131 prepara una entrada STALE antes de que llegue el primer paquete de retorno. Reduce la espera y la pérdida asociadas a la resolución reactiva. Su valor no depende de exagerarlo: STALE sigue diciendo que existe información de enlace, no que la entidad que usa la dirección esté identificada o autorizada.

También conviene separar controles de seguridad. SAVI vincula una dirección con un puerto y bloquea reclamaciones desde otros. RA-Guard restringe dónde pueden originarse Router Advertisements. Un registro DHCPv6 comunica al sistema de gestión direcciones autogeneradas o estáticas. RFC 9099 enmarca varias amenazas. Cada control deja una clase de prueba; ninguno sustituye al resto.

RFC 9898 encuentra un patrón más profundo en el aislamiento. Separar hosts en L3 y L2 reduce multicast, reduce el conjunto de nodos confiados y evita resolver al host por demanda cuando el router ya puede encaminar por un prefijo único. El aislamiento sólo L3 conserva quizás un medio compartido. El aislamiento L2 parcial divide dominios multicast mediante proxies. Las soluciones no aislantes atacan problemas puntuales.

La opción más fuerte no siempre es la adecuada. Puede exigir muchas interfaces lógicas, nuevas funciones de router, más tránsito por un punto común y pérdida de servicios multicast entre hosts. RFC 8273 advierte que entregar repetidamente el mismo prefijo único a una misma dirección de enlace facilita el seguimiento. RFC 9663 demuestra que DHCPv6-PD puede entregar prefijos por cliente en redes grandes, pero la escala no resuelve por sí sola la privacidad.

Una atribución defendible comienza fuera de la caché. Necesita el acto de asignación o delegación del prefijo y sus tiempos. Necesita la sesión de acceso, el resultado de autenticación y el circuito, puerto o bearer. Puede incorporar una vinculación SAVI y el registro DHCPv6. Después añade la transición NCE con interfaz, dirección IPv6, dirección de enlace, estado y reloj. Los registros de paquete y aplicación prueban pasos posteriores.

La clave incluye tiempo y epoch. Una lectura actual no puede representar sin más una relación pasada. Una dirección temporal, MAC aleatoria, reconexión o conmutación de router puede reutilizar parte del identificador mientras cambia la entidad. Donde no hubo retención, el informe debe decirlo.

La primacía del código en ejecución de Heng Lu asigna autoridad sin inflarla. El router responde por la transición que ejecutó. El sistema de acceso responde por la sesión que autenticó. El gestor de prefijos responde por su delegación. La aplicación responde por su confirmación. La consulta más cómoda no gobierna a las demás.

Las capas de realidad impiden convertir una representación en el objeto entero. La diferencia entre control técnico y soberanía práctica impide llamar título a una capacidad de reenvío. Y la especificación inicial mínima permite mantener ND interoperable mientras el operador decide aislamiento, presupuesto, registro, privacidad y reversión.

La pregunta ejecutiva correcta es: ¿qué observador relacionó qué identidad con qué dirección, durante qué intervalo y con qué comportamiento ante fallo? La NCE es una pieza valiosa de esa respuesta, no la respuesta completa.

Sources