Resumo

  • Um host podia alcançar X por seu gateway padrão e ainda assim atravessar duas vezes a mesma LAN: H entregava a G1, e G1 repassava ao vizinho G2. ICMP Redirect permitia encaminhar o primeiro datagrama e avisar que os próximos poderiam ir direto.
  • O aviso não era uma rota universal. O host precisava reconhecer o remetente como primeiro salto atual, verificar o gateway sugerido no enlace de chegada e guardar uma exceção estreita, associada ao destino.
  • No IPv6, origem link-local, Hop Limit 255 e regras sobre alvo tornaram a fronteira local verificável. SEND podia autenticar a mensagem dentro de uma confiança configurada, sem provar que o caminho era sempre o melhor ou que o roteador possuía o destino.

Um triângulo dentro da LAN

Rotas padrão são uma disciplina de ignorância útil. A estação não precisa carregar a visão completa da Internet. Quando nenhuma entrada mais específica resolve o endereço, ela passa o datagrama a um roteador conhecido e conserva sua tabela pequena.

O desenho básico de RFC 791 deixa essa divisão clara: nomes, endereços e rotas respondem a problemas diferentes, enquanto hosts e gateways tomam decisões em sequência. H pode saber para onde quer enviar sem saber qual vizinho de G1 oferece a melhor saída.

Considere H, G1 e G2 no mesmo meio local. H escolhe G1 por padrão. A tabela de G1 indica G2 como próximo salto para X. O pacote então faz H–G1–G2 antes de sair da rede. Nada falha, mas o mesmo enlace transporta duas pernas de um triângulo que poderia ser uma linha.

RFC 792 deu a G1 uma maneira de comentar o fato. Ele encaminha o pacote, envia um ICMP Redirect a H e informa o endereço de G2. A próxima tentativa pode evitar G1.

O mecanismo nasce de sucesso, não de impossibilidade. Essa diferença importa: ele não anuncia que X está inalcançável. Anuncia que uma entrega observada revelou uma escolha local mais direta. O controle é uma memória do plano de dados.

O recibo do conselho

O Redirect carrega o gateway proposto e uma citação do pacote que o motivou: cabeçalho IP original e os primeiros 64 bits de dados. H recebe, portanto, não só uma afirmação, mas um trecho do evento a que ela se refere.

A citação ajuda a localizar fluxo e destino. Ela não revela a topologia mundial, não promete disponibilidade futura e não concede direitos sobre X. Seu poder probatório termina onde os bytes terminam.

Os códigos originais ofereciam Redirect para rede, host e variantes ligadas a tipo de serviço. A classificação parecia permitir generalizações amplas. Mas o receptor não tinha como deduzir com segurança a máscara de uma rede remota a partir daquele encontro.

RFC 1122 conteve o salto lógico. Mesmo Network Redirect deveria ser tratado como específico para o host. Um fato sobre X não autorizava H a inventar um prefixo inteiro.

O mesmo RFC exige duas validações. O gateway sugerido precisa pertencer à mesma sub-rede lógica em que o Redirect chegou. E a origem do aviso precisa coincidir com o primeiro salto que H usava para aquele destino.

Isso transforma a autoridade em relação. Não basta um equipamento conseguir emitir ICMP ou ocupar a LAN. G1 fala sobre o pacote porque H o escolheu para recebê-lo. Sem essa escolha anterior, o vizinho é apenas um terceiro tentando influenciar a tabela.

Cache é uma promessa com prazo

Depois da aceitação, o resultado pertence ao cache de rotas ou destinos do host. Não é anúncio a outros roteadores, não é nova rota padrão e não é participação silenciosa em um IGP.

Uma entrada por destino combina com o alcance da prova. Também permite expiração e retorno ao padrão. G2 pode desaparecer, G1 pode aprender nova topologia, ou a interface pode mudar. Uma otimização que não envelhece deixa de ser otimização e passa a congelar o passado.

RFC 1256 separou ainda melhor dois estados. Router Solicitation e Router Advertisement permitem descobrir roteadores padrão, preferência e tempo de vida. O texto ressalta que Router Discovery não é protocolo de roteamento.

Descoberta responde quais saídas locais estão disponíveis. Redirect responde qual vizinho pareceu melhor para um destino depois de uma observação concreta. O primeiro estado sustenta o padrão; o segundo cria uma exceção.

Essa separação produz uma propriedade de recuperação. Se a exceção expira ou deixa de funcionar, H ainda pode recorrer ao conjunto de roteadores padrão. Se o conselho substituísse a própria capacidade de descobrir saídas, uma falha local ganharia efeitos desproporcionais.

Um conselho proibido aos conselheiros

O host simples pode se beneficiar de uma pista que seria imprópria para outro roteador. RFC 1812 determina que um roteador que usa protocolo de roteamento não considere rotas aprendidas por Redirect ao encaminhar pacotes.

Roteadores trocam alcance por processos com métricas, políticas, temporização e regras contra loops. Se um Redirect pudesse alimentar esse estado, uma mensagem criada para reduzir um salto de host contornaria o mecanismo que produz evidência entre roteadores.

RFC 1812 também estreita as condições de emissão: G1 envia o pacote pela mesma interface física em que o recebeu; o próximo salto pertence à mesma sub-rede lógica que a origem; e o datagrama não usa source route. As condições redesenham exatamente o triângulo local.

Essa geometria é a justificativa, não um detalhe de implementação. G1 pode dizer «G2 estava ao seu lado quando recebi isto». Não pode concluir «G2 controla X», «G2 será sempre melhor» ou «todos os destinos deste bloco devem usar G2».

O perímetro observável do IPv6

Neighbor Discovery preservou Redirect no IPv6. RFC 4861 permite indicar um primeiro salto melhor ou informar que o próprio destino está on-link. Em ambos os casos, o receptor aplica testes que amarram o pacote ao enlace.

A origem deve ser link-local e o Hop Limit precisa chegar como 255. Como um roteador reduziria esse valor ao encaminhar, 255 é evidência de que o pacote não atravessou um salto roteado. O remetente também deve ser o primeiro salto atual para o destino.

O destino do Redirect não pode ser multicast. O Target deve ser o endereço link-local de um roteador ou ser igual ao Destination quando o destino é vizinho direto. Essas igualdades limitam o que a mensagem pode dizer sem pretender verificar a Internet inteira.

Aceito o aviso, o host atualiza Destination Cache; a opção Redirected Header liga o controle ao pacote original; Target Link-Layer Address pode atualizar Neighbor Cache. Cada estado tem finalidade própria. Um roteador, por sua vez, não transforma o aviso recebido em rota de encaminhamento.

Segurança sem onisciência

O requisito de localidade bloqueia pacotes vindos de muitos lugares, mas não torna confiável todo participante do enlace. Um vizinho hostil pode tentar parecer G1, interferir em Neighbor Discovery ou escolher um G2 sob seu controle.

RFC 3971 especificou Secure Neighbor Discovery. Endereços gerados criptograficamente, assinaturas RSA e certificados de autorização de roteador vinculados a trust anchors procuram autenticar quem fala e sob que autorização.

Essas provas respondem perguntas importantes, porém delimitadas. A assinatura liga mensagem e chave. A cadeia liga um roteador a uma confiança configurada. Nenhuma prova, sozinha, certifica que o caminho é o mais curto, que satisfaz políticas futuras, que G2 continuará ativo ou que alguém possui X.

Também não se deve transformar a existência do RFC em afirmação de implantação universal. A postura real depende do sistema, da rede e da configuração observados. Uma análise histórica responsável separa capacidade padronizada de prevalência operacional.

O direito de apontar

O Redirect tem uma estrutura de delegação incomum. H delega o primeiro pacote a G1. G1 observa uma alternativa local, continua cumprindo sua obrigação de encaminhar e devolve uma sugestão acompanhada do recibo. H verifica e decide.

O verbo «apontar» é exato. G1 não transfere a si próprio poder sobre X. Não escreve diretamente na tabela do host, não anuncia o atalho à rede inteira e não substitui o protocolo de roteamento. Ele oferece uma direção que H pode aceitar por um período limitado.

Uma captura prova emissão, não aceitação. Uma entrada de cache prova escolha local, não optimalidade global. Um salto a menos prova uma diferença topológica, não segurança, custo total ou conformidade com política. Manter essas frases separadas evita que telemetria modesta vire narrativa grandiosa.

ICMP Redirect sobrevive como uma lição de proporcionalidade. A melhor autoridade para um pequeno ajuste pode vir de quem acabou de ver o desperdício. Mas essa autoridade só é segura quando permanece presa ao pacote, ao primeiro salto, ao enlace, ao destino e ao relógio.