Summary

  • draft-acee-lsr-ospfv3-deprecate-ah-00 propõe que novas implementações OSPFv3 não adotem IPsec AH e que operadores migrem para ESP com criptografia nula ou para o Authentication Trailer. A revisão 00 ainda é um Internet-Draft individual.
  • Depreciação é orientação, não migração. Todos os roteadores precisam aceitar o substituto antes da troca de transmissão; o caminho antigo só deve sair depois de comprovadas autenticação, adjacência, convergência e encaminhamento.

Na janela de manutenção, o primeiro roteador envia um Hello com o mecanismo novo. O segundo tem a chave, mas não a associação de entrada correta. O terceiro executa uma imagem compatível, porém a função está desativada naquela interface. O quarto ainda aceita apenas AH. Quatro inventários podem estar verdes; o primeiro pacote mostra que o enlace não está pronto.

Esse é o limite operacional de Deprecation of the IPsec Authentication Header (AH) for OSPFv3 Authentication, revisão 00, de 30 de setembro de 2026. O documento individual pretende seguir Standards Track e atualizaria a RFC 4552 se aprovado. Não é RFC nem comprovação de adoção.

A RFC 4552 exige ESP e permite AH. O novo texto recomenda que implementações novas deixem de implementar AH para OSPFv3, permite que as existentes o mantenham por compatibilidade com aviso de descontinuação e orienta a migração para ESP-NULL ou para o Authentication Trailer da RFC 7166.

ESP com criptografia nula oferece integridade e autenticação, não sigilo. O Trailer tem formato próprio e inclui o endereço IPv6 de origem no resumo. Nenhum dos dois contém um roteador comprometido que já possua uma chave compartilhada válida.

O estado do documento não é o estado do enlace

O rascunho cita adoção limitada de AH, seu caráter opcional na RFC 8221 e o custo de manter código, configuração e processos separados para AH e ESP. Como o OSPFv3 normal usa endereços link-local e Hop Limit 1, a cobertura adicional de campos IPv6 imutáveis por AH teria valor reduzido nesse uso.

É uma justificativa dos autores, não um censo de produtos. E não há negociação automática: publicar o documento não instala chave, não cria SA de entrada e não coordena o instante de transmissão.

A revisão 00 afirma que uma interface ou enlace virtual OSPFv3 usa um mecanismo de autenticação e todos os roteadores do enlace precisam concordar. A unidade segura de mudança é o enlace inteiro.

Primeiro receber, depois transmitir

A RFC 4552 já fornece uma ordem útil para troca de chaves. Todos recebem uma nova SA de entrada; depois, e somente depois, as SAs de saída mudam; a SA antiga de entrada é removida quando todos já transmitem com a nova.

Migrar de AH para ESP não é apenas trocar chave, mas a disciplina permanece: aceitar o novo, enviar com o novo, retirar o antigo. Cada fronteira exige recibos de todos os membros.

O rascunho admite preparação coordenada em uma janela ou adoção gradual apenas quando a implementação aceita mais de um mecanismo durante a transição. Essa capacidade deve ser demonstrada no build e na interface em execução.

A sobreposição compra continuidade ampliando temporariamente a aceitação. Curta demais, divide adjacências; longa demais, mantém o caminho antigo. Ela precisa de responsável, lista completa do enlace, início, prazo e condição de parada.

Full não informa qual caminho autenticou

ESP-NULL permanece na arquitetura IPsec e no perfil de SAs e chaves manuais da RFC 4552. Authentication Trailer viaja com OSPFv3, usa identificador de SA e número criptográfico crescente de 64 bits.

A RFC 7166 permite um modo transitório que transmite Trailer e ainda aceita pacotes sem ele. Isso preserva vizinhos antigos, mas pode expor o ambiente a dados não autenticados durante a transição. O estado Full, isoladamente, não identifica se o pacote passou pelo caminho novo, antigo ou permissivo.

Um resumo válido prova acesso à chave compartilhada. Não identifica uma pessoa, não prova que o roteador está íntegro e não autoriza automaticamente toda LSA.

A retirada final faz parte da migração

A cadeia deve guardar separadamente: revisão exata; suporte real em cada imagem; estado de entrada e época da chave; seleção de saída; Hello e Database Description autenticados; todos os vizinhos estáveis em Full; LSDB convergente; FIB e tráfego; retirada de AH ou da aceitação permissiva; repetição dos testes.

Nenhuma etapa comprova a seguinte. A adjacência pode continuar Full pelo caminho antigo. LSDB igual não prova FIB. Tráfego durante a sobreposição não atribui o sucesso ao substituto.

O quadro de Heng Lu — especificação mínima comum, decisão futura localizada, adoção voluntária e primazia do código em execução — separa padrão e implantação. A norma define a interoperabilidade; o operador escolhe mecanismo e janela. Pacotes aceitos, adjacências, base e encaminhamento comprovam a adoção.

A pergunta de liderança não é se AH recebeu a marca de desaconselhado. É se todos os roteadores aceitam a mesma prova na mesma época de chave e se o caminho antigo realmente fechou.

Sources