Resumo

  • A RFC 9898 é um documento Informational do IETF que revisa problemas conhecidos e mitigações de IPv6 Neighbor Discovery; ela declara explicitamente que não introduz uma nova solução de protocolo.
  • As causas-raiz são agrupadas em multicast, confiança em todos os nós no enlace e criação sob demanda de entradas de vizinhança pelo roteador.
  • O isolamento L3+L2 cobre o conjunto mais amplo de problemas, mas exige isolamento L2, um prefixo único por host e suporte do roteador ou interfaces correspondentes. Somente L3 trata a maioria dos problemas; L2 parcial reduz principalmente o domínio e a carga de multicast.

Um segmento, três causas-raiz

Em um segmento IPv6 compartilhado, a comunicação local do ND faz com que o alcance do multicast afete resolução de endereços e outros fluxos de controle. Todos os nós no mesmo enlace também ficam dentro do mesmo contexto de confiança local. Além disso, o roteador pode criar uma entrada de vizinhança quando surge uma necessidade de comunicação. Essas causas se relacionam, mas não são o mesmo defeito. A RFC 4861 define o comportamento básico de ND, e a RFC 4862 define o comportamento de SLAAC; a RFC 9898 acrescenta orientação de implantação sobre esses protocolos.

Hierarquia de isolamento e custos

Isolamento L3+L2 coloca cada host em uma sub-rede e em um enlace próprios. Na análise da RFC 9898, isso pode tratar todas as questões de ND inventariadas: reduz o alcance do multicast e da confiança no enlace e elimina a criação sob demanda de NCE no roteador. As exigências são concretas: isolamento L2, prefixo único e suporte do roteador ou interfaces adequadas. Se todo tráfego entre hosts passar pelo roteador, o encaminhamento pode se concentrar nele. Serviços de multicast entre hosts, como mDNS, também podem ser interrompidos.

Isolamento somente L3 dá a cada host uma sub-rede distinta, mantendo um meio compartilhado. Ele mitiga a maioria das questões inventariadas, mas não transforma o meio compartilhado em enlaces independentes. O multicast local do DAD e sua confiabilidade continuam dependentes do meio, enquanto o contexto de segurança no enlace continua dependente do modelo de confiança. A RFC 8273 trata de um prefixo IPv6 único por host, e a RFC 9663 trata da alocação de prefixos por DHCPv6 Prefix Delegation em grandes redes de broadcast; nenhuma delas fornece ao operador um limite universal ou uma topologia obrigatória.

Isolamento L2 parcial mantém os hosts em uma sub-rede, mas separa domínios de multicast por meio de proxy ou funções de otimização. Seu benefício declarado é reduzir tráfego multicast, especialmente o de resolução de endereços. Isso não remove automaticamente a confiança no enlace nem a criação sob demanda de NCE pelo roteador. Portanto, não deve ser apresentado como substituto automático do isolamento completo.

A RFC 9898 sugere considerar os métodos do mais forte ao mais fraco: métodos mais fortes evitam mais problemas, mas têm requisitos de entrada maiores; métodos mais fracos deixam questões residuais que podem exigir complementos. Essa é uma orientação operacional contextual, não um MUST universal. A análise de Theo March é escolher o isolamento mais forte ainda aceitável diante das restrições de prefixo, L2, interfaces do roteador e serviços multicast dos hosts, e então monitorar explicitamente as causas residuais.

A RFC 9898 não fornece prevalência de implantação, números de desempenho ou custos universais, nem prescreve configuração de fornecedor, limite de interfaces, limite de NCE, limiar de taxa multicast ou cronograma de migração.

Caminho de decisão e fixtures de verificação

  1. Registre separadamente evidências de carga multicast, do limite de confiança entre nós no enlace e do crescimento sob demanda de NCE; não use um indicador para representar os três.
  2. Verifique se cada host pode receber um prefixo único, se o isolamento L2 está disponível e se o roteador oferece o suporte ou as interfaces necessárias.
  3. Se houver serviços dependentes de multicast entre hosts, teste L3+L2 em um segmento controlado. Se o custo ou a capacidade de L2 não forem aceitáveis, avalie somente L3 e registre os resíduos de DAD e de segurança no enlace.
  4. Se apenas L2 parcial for possível, limite sua alegação ao domínio multicast reduzido e trate confiança e NCE separadamente.

Fixtures concretos incluem capturar multicast ND e classificá-lo por resolução de endereço, DAD e outros tipos; comparar, em teste controlado, a visibilidade de vizinhos locais antes e depois do isolamento; verificar se o roteador ainda cria NCE sob demanda; executar descoberta ponta a ponta para mDNS e outros serviços multicast; e confirmar que o prefixo de cada host é único. Um teste bem-sucedido não autoriza extrapolar uma conclusão universal de desempenho.

Fontes