Résumé

  • Le RFC 9870 enregistre des éléments d’information IPFIX qui signalent qu’un type d’option UDP SAFE ou UNSAFE a été vu au moins une fois dans un flux.
  • Un bit positionné atteste une présence dans le périmètre d’observation ; il ne révèle ni ordre, ni fréquence, ni valeur, ni exécution réussie, ni résultat applicatif, et ne prouve aucune amélioration ou dégradation des performances.

Un bitmap semble livrer une réponse définitive. Une position à un signifie bien que l’exportateur a vu ce type d’option, mais le RFC 9870 s’arrête avant les questions suivantes. Il ne dit pas quel datagramme la portait, combien de fois elle est apparue, quelle valeur elle contenait, ni si le destinataire l’a traitée.

Les options UDP occupent l’espace excédentaire après le paquet UDP et sont identifiées par un Kind d’un octet. Le RFC 9870 ne redéfinit pas ces options et ne donne pas de consignes d’exploitation. Il définit seulement comment un exportateur IPFIX peut rapporter son observation.

Deux espaces de bits, deux catégories d’options

Les Kinds 0 à 191 sont SAFE ; les Kinds 192 à 255 sont UNSAFE. udpSafeOptions, élément 525, utilise un champ non signé de 256 bits dont les 64 bits de poids fort doivent rester nuls. udpUnsafeOptions, élément 526, réserve 64 bits aux Kinds UNSAFE.

Dans les deux cas, un bit signifie « observé au moins une fois dans le flux ». Deux flux peuvent donc produire le même bitmap alors que l’un contient une seule occurrence et l’autre plusieurs options, dans un ordre différent et avec des valeurs différentes.

L’encodage à taille réduite peut raccourcir la valeur lorsque les bits élevés sont inutiles. Cette économie ne modifie pas la portée de la preuve : une représentation plus courte ne raconte pas ce qu’un terminal a exécuté.

Les expériences exigent un identifiant

Les éléments 527 à 529 représentent un identifiant expérimental de 16 bits et des listes d’identifiants SAFE ou UNSAFE observés. Lorsqu’une liste est présente, elle prévaut sur le drapeau générique EXP ou UEXP, que l’exportateur doit laisser à zéro pour ce flux. La liste distingue les expériences ; elle ne certifie toujours pas leur succès.

Le collecteur peut utiliser ces champs pour repérer un trafic à examiner ou comparer des points d’observation. Pour conclure sur l’ordre, le nombre, le contenu ou le comportement du terminal, il faut une preuve qui enregistre réellement ces faits.

La spécification principale est le RFC 9870. Le contexte des options UDP vient du RFC 9868, tandis que RFC 7011 et RFC 7012 définissent IPFIX. Les enregistrements figurent dans le registre IANA IPFIX. Ces sources établissent le format, pas son déploiement actuel.