Resumo

  • O RGMP trocou inundação em portas de roteador por demanda de grupo renovada, exigindo um único roteador habilitado diretamente por porta.
  • Dois roteadores numa porta podiam sofrer buraco negro após o Leave de um deles; a RFC preferiu essa falha visível à inundação que escondia a causa.

O IGMP snooping descobria quais hosts queriam um grupo, mas não quais fluxos um roteador precisava encaminhar. O switch inundava portas de roteador, gastando banda e processamento de descarte. A RFC 3488 documentou o RGMP como correção estreita: roteadores enviavam mensagens e switches mantinham estado por porta.

Hello habilitava a porta e iniciava cinco intervalos de tempo. Join abria um grupo e precisava de renovação periódica. Leave removia a necessidade. Bye ou expiração restaurava o encaminhamento anterior. Tudo dependia de um fato físico: exatamente um roteador RGMP diretamente conectado à porta.

Com dois roteadores compartilhando a porta, ambos podiam querer o grupo G. O Leave de um removia G para a porta inteira, apesar de o outro continuar interessado. Guardar origens IPv4 e alertar sobre múltiplas origens ajudava a detectar o erro, mas não criava estado separado por roteador.

A RFC chamou o retorno à inundação de opção potencialmente perigosa. O buraco negro era visto pelos usuários e produzia menos tráfego. Inundar parecia restaurar tudo, porém eliminava o benefício de controle. A instalação errada podia permanecer invisível até crescimento posterior saturar porta e roteadores, afastando efeito e causa.

Join não era comprovante de entrega. Alguns grupos sempre eram encaminhados. Grupos desejados e indesejados podiam compartilhar o mesmo MAC, impedindo filtragem seletiva. Outro mecanismo de camada 2 podia conservar o grupo mesmo depois de Leave. Mensagem, estado lógico, entrada de hardware e pacote recebido eram fatos distintos.

O RGMP tampouco restringia sozinho enlaces entre switches. Roteadores sem RGMP recebiam tudo. PIM Dense Mode, DVMRP, o DF de Bidir-PIM e fontes diretamente ligadas em PIM-SM impunham incompatibilidades. A função disponível não provava que o papel de roteamento era adequado.

Segurança herdava a porta dedicada. Hello ou Leave forjado podia cortar tráfego; Bye ou Join forjado podia atrair carga e sobrecarregar capacidade dimensionada esperando supressão. O ataque podia levar a tráfego insuficiente ou excessivo.

A auditoria começa no cabeamento: porta, sistemas, origens Hello/Bye, temporizadores, grupo, Join e Leave. Depois vêm mapeamento MAC, filtros paralelos, tabela física, contadores, descartes, utilização e recepção. Só então separam-se supressão correta, buraco negro e inundação oculta.

A disciplina de realidade de Heng Lu explica o padrão. A RFC 3488 preferiu uma falha localizável a uma continuidade aparente que apagava a causa e transferia o custo para o futuro.

Fontes