PCP 매핑 수탁: 호스트의 요청, 게이트웨이의 통제

요약

PCP는 호스트가 NAT 매핑이나 방화벽 개방을 명시적으로 요청할 수 있게 했지만, 실제 작동하는 외부 엔드포인트와 결과, 수명은 여전히 서버가 결정했습니다.
논스(nonce), 만료, 에포크 타임(Epoch Time)은 임시 요청을 소유권이나 보장된 도달 가능성으로 바꾸지 않으면서 매핑을 관측 가능하고 복구 가능하게 만들었습니다.

호스트는 프로토콜, 내부 포트, 그리고 선호가 있다면 제안하는 외부 주소와 포트를 담아 PCPMAP요청을 보냅니다. 그 제안은 예약이 아닙니다. 성공적인 응답은 실제로 할당된 외부 주소와 포트, 그리고 서버가 정한 수명을 함께 제공합니다. 제안을 수용할 수 없는 경우 정상적인 결과는 다른 엔드포인트가 될 수 있습니다.PREFER_FAILURE를 담은 요청만이 서버에게 다른 매핑으로 대체하는 대신 실패하라고 요구합니다.

이 상호 작용이 바로 프로토콜의 권한 배분에서 핵심적인 부분입니다. 클라이언트는 자신의 필요를 진술하고, 갱신하고, 삭제를 요구할 수 있습니다. 게이트웨이는 변환 또는 방화벽 상태를 관리하며 자신의 자원, 할당량, 정책 범위 안에서 응답합니다. PCP의 결과 코드는 이 경계를 가시화합니다. 요청은 지원되지 않거나, 권한이 없거나, 할당량을 초과하거나, 자원이 부족하거나, 제안된 외부 엔드포인트에서 불가능할 수 있습니다. 성공 결과는 서버가 수용한 매핑의 증거일 뿐, 호스트가 공개 포트를 소유한다는 증명이 아닙니다.

PCP는 요청에 96비트 매핑 논스(Mapping Nonce)를 부여합니다. 클라이언트가 이를 선택하고, 서버는 응답에 그대로 복사해 이후 갱신을 검증할 때 사용합니다. 단순 위협 모델(Simple Threat Model) 아래에서 다른 논스는 기존의 동적 매핑을 쉽게 탈취할 수 없습니다. 그러나 논스는 의도적으로 신원보다 좁은 개념입니다. 하나의 매핑 계보를 하나의 PCP 서버와 연관시킬 뿐이며, 사람을 인증하거나 내구성 있는 호스트 신원을 확립하거나 경로에서 트래픽을 관찰하고 변경할 수 있는 공격자를 무력화하지 못합니다.

시간 역시 명시적으로 다뤄집니다. 클라이언트는 필요한 동안 매핑을 갱신하고, 응답은 서버가 얼마나 오류 유지할지를 명시합니다. 수명으로 0을 요청하는 것은 MAP에 대해 정의된 삭제 의미를 가지며, 위협 모델 규칙이 이것이 보편적인 지우개가 되는 것을 막습니다. 따라서 이 프로토콜은 매핑의 소멸을 예외적 실패가 아니라 일상적인 상태 관리로 취급합니다. 갱신을 멈추거나, 올바르게 삭제하거나, 임대 만료를 허용하는 것입니다.

서버의 에포크 타임은 다른 불확실성을 다룹니다. 응답에서 앞서 가지만 서버 재시작, 명시적 매핑 상태의 상실, 특정 주소 변경 시에는 리셋되거나 불일치하게 됩니다. 의심스러운 점프나 역행을 감지한 클라이언트는 매핑을 즉시 재생성합니다. 따라서 에포크 타임은 서버 상태의 연속성에 대한 증거입니다. 그 구간 내내 패킷이 수용되었다는 증명이 될 수 없고, 그 자체로 상태를 복원할 수도 없습니다.

PEER는 원격 피어에 묶인 명시적 아웃바운드 매핑에 동일한 수탁 논리를 적용합니다. 그 상태를 생성하거나 연장할 수 있으며, 원격 주소 필드 덕분에 MAP보다 더 구체적입니다. 한편THIRD_PARTY는 요청 출발지 호스트가 항상 수혜자가 아님을 보여줍니다. 권한을 가진 클라이언트는 서버 정책이 허용하는 범위에서만 다른 호스트를 위해 요청할 수 있으며, 소비자 게이트웨이는 기본적으로 이런 요청을 금지하도록 권고됩니다.

RFC 7488은 운영적 그림을 넓혔습니다. 하나의 PCP 서버가 여러 주소를 가질 수 있고, 하나의 인터페이스가 여러 독립적인 PCP 서버로 이어질 수 있습니다. 클라이언트는 정의된 재시도 절차에 따라 주소를 시도하고, 동일 서버의 주소들에서는 논스를 재사용하며, 서버가 다르면 다른 논스를 사용합니다. 이 서버들에 대한 요청은 권한을 공유하지 않습니다. 여러 매핑이 생길 수 있고 각각은 다른 장치가 유지합니다. 상태가 복제되지 않았다면 방화벽 경로는 이 모든 매핑을 필요로 할 수 있습니다.

이 기록이 확립하는 것

이 프로토콜 기록은 요청 및 응답 필드, 서버가 정한 수명, 논스 검증, 결과 코드, 복구 신호, 서버 선택 동작을 확립합니다. 이를 통해 PCP를 유한한 에지 상태의 협상된 수탁으로 해석할 수 있습니다.

여전히 알려지지 않은 것

이 RFC들은 채택률을 측정하지 않고, 어떤 구현도 인증하지 않으며, 특정 게이트웨이의 정책을 설명하지 않고, 모든 네트워크에서의 종단 간 도달 가능성을 보장하지 않습니다. 또한 클라이언트가 프로비저닝된 서버 주소가 정당한 것인지 어떻게 알아내는지도 정의하지 않습니다. RFC 7488은 이 보안 질문을 프로비저닝 메커니즘에 맡겨 둡니다.