Résumé

  • RGMP remplaçait l’inondation des ports de routeur par des demandes de groupe rafraîchies, avec une condition physique : un seul routeur RGMP directement relié à chaque port.
  • Deux routeurs derrière un port pouvaient subir un trou noir après le Leave de l’un. RFC 3488 jugeait ce défaut visible préférable à une inondation qui cachait la cause.

L’écoute IGMP savait quels hôtes demandaient un groupe, pas quels flux un routeur devait recevoir pour les acheminer. Le commutateur inondait donc les ports de routeur. Dans un cœur commuté, cette prudence consommait bande passante et calcul, puisque les routeurs jetaient les paquets inutiles.

RGMP ajoutait une déclaration explicite. Le routeur envoyait Hello, Join, Leave et Bye ; le commutateur les consommait. Hello activait le port avec un délai de cinq intervalles. Join ouvrait un groupe et devait être renouvelé. Leave le fermait. Bye ou expiration restituait le comportement antérieur.

Cette simplicité reposait sur une vérité physique : un routeur par port. Si deux routeurs partageaient le port et voulaient le même groupe, le Leave de l’un pouvait supprimer le flux encore nécessaire à l’autre. L’état appartenait au port, non à chacun des routeurs cachés derrière lui. Une alerte sur plusieurs adresses source pouvait révéler l’écart, mais ne réparait pas le modèle.

Le texte assume ce choix. Le trou noir intermittent était visible aux utilisateurs et produisait moins de trafic. Revenir automatiquement à l’inondation paraissait rétablir le service, mais annulait le contrôle de charge. La congestion survenait plus tard, séparée de la mauvaise connexion par le temps et par d’autres changements. La portée apparente devenait une preuve trompeuse.

Un Join ne prouvait pas non plus la livraison. Certains groupes restaient toujours transmis. Une ambiguïté d’adresse MAC pouvait obliger le matériel à conserver un groupe indésirable avec un groupe désiré. Si RGMP et une autre méthode de filtrage coexistaient, le trafic restait dès qu’une seule le demandait. Un Leave capturé n’était donc pas un reçu de retrait matériel.

La frontière s’arrêtait aussi aux liens intercommutateurs, qui pouvaient continuer à inonder. Les routeurs incompatibles recevaient tous les groupes. PIM Dense Mode, DVMRP, le DF de Bidir-PIM et certaines sources directement raccordées en PIM-SM ne convenaient pas au modèle d’abonnement explicite. Le rôle du routeur comptait davantage que la présence de la fonction.

La sécurité dépendait du même isolement physique. Un faux Hello ou Leave pouvait créer un trou noir ; un faux Bye ou Join pouvait rétablir une charge non désirée et saturer un port dimensionné grâce à la suppression. L’attaque pouvait donc pousser le système vers trop peu ou trop de trafic.

L’audit doit commencer par le câblage, les sources Hello/Bye et les temporisateurs, puis conserver groupe, Join, Leave, correspondance MAC et mécanismes parallèles. Viennent ensuite la table matérielle, les compteurs, les rejets du routeur, l’utilisation du port et la réception finale. C’est seulement ainsi que l’on distingue suppression voulue, trou noir et inondation cachée.

La discipline des couches de réalité de Heng Lu explique le refus du faux rétablissement. RFC 3488 acceptait une panne localisable plutôt qu’une apparence saine qui déplaçait le coût et détruisait la causalité.

Sources