Résumé

  • Un PATH_RESPONSE correspondant valide le chemin emprunté par son PATH_CHALLENGE, pour un couple précis d’adresses IP et de ports.
  • Le nouveau chemin n’hérite ni de la capacité ni du RTT de l’ancien ; une petite sonde peut même valider l’adresse sans valider le MTU.
  • L’exploitation doit distinguer la validation du chemin de son aptitude applicative et réunir les deux dans un reçu plus complet.

Une réponse exacte, mais de portée limitée

Dans la RFC 9000, l’émetteur place des octets imprévisibles dans PATH_CHALLENGE. Le pair les renvoie dans PATH_RESPONSE sur le chemin où il a reçu le défi. La réponse correspondante prouve donc que l’échange prévu a traversé le couple d’adresses testé. C’est une défense essentielle contre l’amplification vers une adresse usurpée.

Cette précision se perd facilement dans un tableau de bord. L’état « validé » devient alors une appréciation générale de santé. Or la norme ne lui donne pas ce sens. Lorsque la limite anti-amplification empêche d’envoyer le défi dans un datagramme d’au moins 1 200 octets, la réponse peut valider l’adresse sans valider le MTU du chemin. Une seconde validation élargie reste nécessaire.

Même une sonde de 1 200 octets n’établit pas le plus grand datagramme utilisable, encore moins un débit soutenu ou un délai applicatif. Elle fixe un constat à un instant donné et dans un périmètre déterminé.

Le nouveau chemin doit produire ses propres mesures

La migration conserve la connexion, pas toutes les propriétés du réseau précédent. La RFC 9000 indique que le nouveau chemin peut ne pas accepter le débit courant. Lorsqu’une nouvelle adresse est confirmée, le contrôleur de congestion et l’estimateur de RTT repartent donc de valeurs initiales, sauf dans le cas particulier d’un simple changement de port.

Les paquets de l’ancien chemin ne doivent pas alimenter le calcul de congestion ou de RTT du nouveau. La capacité, les files d’attente et la perte doivent être réapprises. La capacité ECN, elle aussi, fait l’objet d’une validation distincte.

La RFC 9002 décrit cette acquisition progressive par les acquittements, les pertes et le temps. PATH_RESPONSE ne transporte aucune de ces séries. Il peut être parfaitement authentique alors qu’un gros échange applicatif rencontre un MTU insuffisant, un démarrage prudent de congestion ou une politique différente.

Sources