Résumé

  • Dans RFC 3543, l’accusé de révocation atteste qu’un agent a authentifié le message, retrouvé un lien de mobilité existant, révoqué cet état et répondu. Il clôt un échange entre extrémités du tunnel, pas le parcours du terminal.
  • L’avis au nœud mobile emprunte normalement une Annonce d’agent de séquence zéro. Le bit I répartit la responsabilité de décider cet avis ; il ne certifie ni sa réception, ni un nouvel enregistrement, ni le rétablissement du trafic.

Une exploitation pressée aime une seule heure de fin. La révocation de mobilité en exige au moins deux. Il y a l’heure à laquelle les deux agents sont d’accord sur la disparition du lien, puis celle à laquelle le terminal cesse d’agir comme si l’ancien chemin existait encore.

RFC 3543, publié en août 2003 comme Proposition de norme, ne confond pas ces instants. Il ajoute à Mobile IPv4 une révocation authentifiée entre l’agent de rattachement et l’agent étranger. Il prévoit séparément que l’agent étranger avertisse le nœud mobile, en général par une Annonce d’agent portant le numéro de séquence zéro.

Cette séparation est une carte de responsabilité. Elle empêche un accusé valide de devenir, par commodité de tableau de bord, un reçu universel. L’objectif du mécanisme est notamment de libérer plus vite des ressources, d’améliorer la cohérence de la comptabilité et d’éviter d’envoyer des paquets vers un tunnel caduc. Ce sont des intentions de conception, non des résultats observés chez un opérateur nommé.

La décision précède le message

La révocation n’est pas une demande d’autorisation adressée au pair. Elle signale qu’un service Mobile IP a déjà été interrompu. Le destinataire ne vote donc pas sur la décision ; il aligne son propre état et en atteste le traitement.

Ce détail donne un sens précis à l’absence d’accusé. Elle ne signifie pas que le service demeure actif. Le message initial peut avoir été traité tandis que la réponse s’est perdue. Il peut aussi n’avoir jamais atteint un destinataire capable de le valider. Le silence laisse ces scénarios ouverts.

Le registre d’exploitation doit conserver la décision initiale, son propriétaire, le lien concerné, sa durée restante et le moment où la terminaison locale a pris effet. Le message de révocation vient ensuite comme preuve de synchronisation. Inverser cet ordre revient à faire dépendre une décision déjà exécutée de la santé de son chemin de retour.

Ce que signe réellement l’agent distant

Le destinataire valide l’authentificateur, le sens indiqué par le bit A, la protection contre le rejeu et l’existence du lien. Un message recevable entraîne la révocation de l’enregistrement correspondant, la libération possible des ressources associées et l’émission de l’accusé.

Le reçu est donc solide dans son périmètre. Il permet d’affirmer que cet agent a reconnu cette instance authentifiée, l’a rattachée à cet état de mobilité et a effectué la transition prévue. Il permet aussi à l’émetteur d’arrêter ses retransmissions.

Il ne permet pas d’affirmer que le terminal a entendu quoi que ce soit. Il n’observe ni sa radio, ni son choix d’un nouvel agent, ni l’obtention d’une nouvelle adresse de relais, ni son réenregistrement, ni la reprise d’un flux utile. Il ne prouve pas davantage que les événements comptables ont été rapprochés.

La différence n’est pas administrative. L’authentification lie deux agents qui partagent une association de sécurité. Le dernier saut vers le nœud mobile peut reposer sur une annonce locale d’une nature différente. Une preuve ne gagne pas les propriétés d’un autre canal parce que les deux messages appartiennent au même incident.

Le bit I désigne un arbitre, pas un témoin

Pendant l’enregistrement, RFC 3543 négocie le bit I. Il sert à déterminer quel côté décide s’il faut informer le terminal. Cette répartition évite que les deux agents notifient sans coordination ou que chacun suppose que l’autre le fera.

Dans l’accusé, cette information aide à rendre visible la politique retenue. Elle répond à la question « qui décide ? ». Elle ne répond pas aux questions « le signal a-t-il été émis ? », « a-t-il été reçu ? » ou « le terminal a-t-il récupéré ? ».

Un schéma de données qui traduit I par notifié=true fabrique donc une preuve. Il devrait plutôt enregistrer la valeur négociée, l’autorité qui a pris la décision, la décision elle-même, puis un événement distinct pour l’émission locale. La réaction du terminal forme encore un quatrième objet.

Cette discipline est utile au-delà de Mobile IPv4. Les systèmes distribués confondent souvent la délégation d’une obligation avec l’exécution de cette obligation. Une politique peut être parfaitement attribuée et rester non exécutée.

La séquence zéro ouvre une autre chaîne de confiance

L’agent étranger peut envoyer une Annonce d’agent portant la séquence zéro. Pour le nœud mobile, cette valeur spéciale est une invitation à tenter un enregistrement sans attendre la détection ordinaire d’une rupture de séquence. Le bit signalant un agent occupé peut décourager le renouvellement auprès du même agent.

Mais l’annonce est un déclencheur, non un reçu. Le mécanisme de base n’offre pas au nœud mobile une authentification cryptographique de cette annonce. RFC 3543 conseille notamment un TTL égal à un et la vérification de l’adresse de couche liaison déjà associée à l’agent étranger. Ces précautions limitent l’exposition ; elles n’établissent pas la réception ni la compréhension.

La chaîne la plus forte est donc en amont : révocation et accusé authentifiés entre agents. Le dernier maillon, pourtant décisif pour l’expérience du terminal, peut être plus faible. Une synthèse d’incident doit conserver cette asymétrie au lieu d’étendre le niveau d’assurance maximal à l’ensemble du parcours.

Le journal utile contient l’interface, l’adresse source, la source de couche liaison, le TTL, la séquence, l’instant d’émission et le résultat de transmission. Une sollicitation, une nouvelle requête d’enregistrement ou le passage à un autre agent apportera ensuite une preuve distincte de réaction.

Chaque retransmission est neuve sans être une nouvelle décision

Lorsque l’accusé manque, l’émetteur recommence avec un nouvel identifiant temporel de protection contre le rejeu et un nouvel authentificateur. Le sens métier reste la révocation d’un même lien, tandis que chaque enveloppe protégée est différente.

La fréquence est plafonnée à une tentative par seconde, avec temporisation exponentielle. La poursuite cesse lorsque le lien aurait de toute façon atteint son expiration naturelle. Ce cadre réduit les tempêtes de signalisation et borne l’effort consacré à un état voué à disparaître.

Il impose aussi une corrélation rigoureuse. Compter cinq messages comme cinq révocations surestime les décisions ; les réduire à une seule ligne sans leurs identifiants efface le diagnostic. Il faut un identifiant d’intention et plusieurs identifiants de message.

Si le premier message a supprimé l’état mais que son accusé s’est perdu, une répétition peut arriver devant un agent qui ne retrouve plus le lien. Ce résultat n’invalide pas nécessairement la première exécution. Seule une chronologie incluant la transition locale et les réponses permet de l’expliquer.

La libération des ressources peut devancer la reprise

Une révocation rapide évite de garder un tunnel, un contexte de visite ou une comptabilité ouverts sans raison. Cette efficacité est précisément ce qui crée l’intervalle à surveiller. Le réseau peut nettoyer correctement son état alors que le terminal continue d’émettre vers l’ancien chemin.

Le trou noir n’est pas prouvé par le texte de la norme, mais il est une conséquence possible du décalage entre les deux horloges. Son existence et sa durée doivent être mesurées. La réussite locale de l’agent n’est pas une mesure de bout en bout.

Dans le cas différent d’un nœud mobile colocalisé, le terminal peut recevoir la révocation, répondre lui-même, fermer son tunnel inverse et libérer ses ressources. Cette variante ne doit pas être projetée sur le cas où un agent étranger sert d’adresse de relais. Les acteurs qui parlent et les reçus disponibles ne sont pas les mêmes.

Les RFC voisines ne produisent pas le reçu manquant

RFC 3344 décrit la base Mobile IPv4 de l’époque ; RFC 5944 l’a ensuite révisée et remplacée. RFC 2002 fournit le contexte antérieur. Ces textes encadrent l’enregistrement et la durée d’un lien, sans transformer un accusé de révocation en observation d’usage.

RFC 3012 puis RFC 4721 traitent de défis et de réponses pour la fraîcheur et l’authentification de l’enregistrement. RFC 3024 traite du tunnel inverse et de contraintes de filtrage. Ces mécanismes voisins répondent à d’autres questions. Les invoquer ensemble ne comble pas la dernière étape.

La bonne question de contrôle reste constante : qui a émis ce reçu, pour quel message, sous quelle association de sécurité et quel acteur ultérieur n’a toujours pas parlé ?

Le dossier de preuve à exiger

Le dossier commence par le lien : adresse du mobile, agents de rattachement et étranger, adresse de relais, durée, politique, motif et instant de décision. Il conserve le message exact, les bits A et I, l’authentificateur, l’identifiant de rejeu et l’heure d’envoi.

Chez le destinataire, il faut le résultat d’authentification, le contrôle de rejeu, la recherche du lien, la transition d’état, les ressources libérées et le contenu de l’accusé. Chez l’émetteur, il faut sa validation, sa corrélation et l’arrêt des répétitions. Chaque répétition garde son nouvel identifiant et son intervalle.

La piste de notification est séparée : propriétaire de la décision, annonce de séquence zéro, interface, contrôles locaux, puis réaction du terminal. Enfin viennent le nouvel enregistrement, le tunnel, le trafic utile et la réconciliation comptable.

Une phrase exacte peut alors être produite : « Les deux agents ont aligné l’état de ce lien ; l’agent étranger a émis cet avis local ; le terminal s’est réenregistré ici ; le trafic a repris ici. » Si les deux dernières propositions manquent, la reprise demeure non prouvée.

Limite des preuves

Cet Article ne désigne aucun opérateur, constructeur, agent, terminal, abonné ou incident. Il ne mesure aucun taux d’adoption, délai de reprise ou impact. Les situations décrites sont des possibilités dérivées du protocole et des déductions de gouvernance, pas un compte rendu de production.

RFC 3543 est présenté avec son statut de Proposition de norme d’août 2003. Le registre IANA confirme les allocations actuelles, non les déploiements. RFC 8174 borne la lecture du langage normatif.

Les textes de Heng Lu sur la primauté du code exécuté et la spécification initiale minimale sont des grilles éditoriales déclarées. Ils aident à séparer norme publiée, mise en œuvre locale et résultat observé ; ils ne documentent ni l’intention des auteurs de la RFC ni un réseau réel.

La conclusion se limite donc à ceci : l’accusé authentifié peut prouver le traitement de la révocation par l’autre agent. Il ne prouve pas que le terminal a été averti, qu’il a changé de chemin ou que son service a repris.

Sources