Résumé

  • PCP formalise une demande de mappage NAT ou d’ouverture de pare-feu, mais la passerelle conserve le choix de l’adresse, du port, de la politique et de la durée.
  • Le nonce, l’expiration et l’Epoch Time rendent cet état temporaire vérifiable et récupérable, sans promettre une propriété ni une joignabilité universelle.

Le premier chiffre à regarder dans une réponse PCP est la durée de vie. Elle est fixée par le serveur. L’hôte doit renouveler le mappage tant qu’il en a besoin ; s’il cesse de le faire, l’état est appelé à disparaître. Cette temporalité donne au protocole sa véritable grammaire : une requête n’est pas un acte de propriété, mais la négociation d’une ressource entretenue par un autre équipement.

Avec l’opération MAP, le client indique un protocole et un port interne. Il peut suggérer une adresse et un port externes. La passerelle n’est toutefois pas tenue de les reprendre. Si elle peut fournir une autre combinaison, elle la renvoie normalement dans la réponse. L’option PREFER_FAILURE inverse seulement ce choix : lorsque la proposition ne peut pas être satisfaite, le serveur doit alors refuser au lieu d’attribuer un autre point d’entrée.

Le pouvoir de décision apparaît aussi dans les codes de résultat. Une opération peut être rejetée parce qu’elle n’est pas prise en charge, parce que le client n’est pas autorisé, parce que son quota est dépassé, parce que les ressources manquent ou parce que l’extrémité externe demandée est indisponible. Une réponse positive décrit donc l’état accepté par ce serveur à cet instant ; elle ne prouve ni la permanence du port ni l’accès depuis tous les réseaux distants.

Chaque lignée de mappage comporte un Mapping Nonce de 96 bits choisi par le client. Le serveur le recopie dans sa réponse et s’en sert pour contrôler les renouvellements. Dans le modèle de menace simple, un nonce différent ne peut pas reprendre sans façon un mappage dynamique existant. Il faut pourtant résister à une traduction trop ambitieuse : ce nombre relie des messages à un même état et à un même serveur PCP. Il n’identifie ni une personne ni durablement une machine, et ne constitue pas une défense générale contre un adversaire placé sur le trajet.

La durée zéro, pour MAP, possède des significations précises de suppression. Elle n’offre pas un bouton universel capable d’effacer l’état d’autrui : le protocole combine le tuple, le nonce et les règles du modèle de menace. De même, PEER ne reproduit pas exactement MAP. Il crée ou prolonge un mappage sortant explicite vers un pair distant nommé et ajoute donc une contrainte de destination à l’état demandé.

Reste le cas où l’équipement lui-même oublie. L’Epoch Time fourni par le serveur progresse avec ses réponses. Un redémarrage, une perte de l’état explicite ou certains changements d’adresse produisent un signal anormal que le client peut détecter. Sa réaction est de recréer les mappages. Ce mécanisme témoigne d’une rupture probable de continuité ; il ne démontre pas que le trafic a circulé sans interruption et ne ressuscite pas un état perdu.

L’option THIRD_PARTY éclaire enfin la politique. Un client correctement autorisé peut demander un état pour une autre adresse uniquement si le serveur le permet. Les passerelles grand public sont invitées à l’interdire par défaut. La syntaxe du protocole rend l’opération exprimable, mais l’autorité vient toujours de la configuration du serveur.

RFC 7488 montre que cette autorité peut être distribuée. Plusieurs adresses peuvent mener à un même serveur, ou plusieurs serveurs indépendants peuvent contrôler des chemins différents. Le client réemploie le même nonce entre les adresses d’un même serveur, mais en choisit un autre pour chaque serveur distinct. Plusieurs mappages peuvent alors coexister ; dans un environnement de pare-feu sans réplication d’état, ils peuvent tous être nécessaires.

Faits établis, interprétation et inconnues

Les RFC établissent les champs de requête et de réponse, les durées, les nonces, les codes, l’Epoch Time et la sélection des serveurs. On peut en déduire que PCP organise une garde négociée de l’état de bordure. En revanche, ces textes ne mesurent pas le déploiement du protocole, ne certifient aucun produit, n’expliquent pas la décision d’une passerelle précise et ne garantissent pas une joignabilité de bout en bout. RFC 7488 laisse en outre au mécanisme de provisionnement la responsabilité d’identifier un serveur légitime.

Sources