Кратко

  • RFC 9565 связывает tcpControlBits с официальным реестром TCP Header Flags IANA и требует передавать назначенные и неназначенные управляющие биты такими, какими они наблюдались.
  • Установленный бит сообщает лишь о появлении хотя бы в одном пакете Flow; порядок, направление, количество и совместное присутствие флагов не сохраняются.
  • Для вывода о состоянии TCP нужны исходный Template, длина поля, эпоха экспортёра, направление потока и отдельные пакетные либо конечные свидетельства.

В хранилище приходит аккуратное значение с SYN, ACK и FIN. Оно похоже на краткую запись нормального сеанса, хотя могло возникнуть из повторных SYN, односторонних ACK и FIN, замеченного уже после разрыва окна наблюдения. Число одинаковое, истории несовместимы.

RFC 9565 устраняет иную неопределённость. Вместо статической таблицы в определении IPFIX Information Element 6 он обращается к реестру TCP Header Flags IANA. Поле остаётся unsigned16 с семантикой flags, а процесс измерения должен экспортировать и назначенные, и пока неназначенные позиции по факту наблюдения.

Так старый словарь не уничтожает новый или необычный сигнал. Однако операция сведения остаётся необратимой.

Побитовое OR не хранит события

Если хотя бы один пакет Flow содержит бит, он появляется в результате. После этого нельзя узнать, какой пакет его принёс, сколько раз, вместе ли с другим флагом и от какой стороны. SYN вместе с ACK не доказывает завершение рукопожатия; FIN или RST не устанавливают порядок закрытия и инициатора.

Flow определяется ключами измерения, Observation Point, направлением и таймерами экспортёра. Состояние TCP принадлежит конечным узлам. Битовая карта годится для отбора подозрительных потоков, но не получает права объявлять успех соединения или намерение отправителя.

Длина поля — граница наблюдения

IPFIX Template задаёт элементы Data Record и их длины. Однооктетный tcpControlBits в reduced-size форме представляет только позиции 8–15 и ничего не утверждает о 4–7. Если коллектор расширяет его нулями до шестнадцати бит и выбрасывает исходную длину, «не измерялось» превращается в «измерено и отсутствует».

Следовательно, нужно хранить Template, Observation Domain, версию экспортёра и период действия. Позиции 0–3 относятся к TCP Data Offset и здесь должны обнуляться или игнорироваться; длина заголовка передаётся через tcpHeaderLength.

Реестр и установленное оборудование меняются не одновременно

RFC 9293 фиксирует знакомые флаги, а RFC 8311 изменил статус позиции, связанной прежде с экспериментальным NS. Старые определения линии RFC 7125 предписывали нули там, где нынешняя редакция стремится сохранить наблюдение. Поэтому ноль может означать реальное отсутствие, сокращённую ширину, старое правило или пробел наблюдения.

С другой стороны, старый коллектор способен назвать зарезервированным уже назначенный IANA бит. Значение следует сохранить и интерпретировать вместе с датой, реестром, Template и программной версией.

В терминах слоёв реальности Heng Lu IANA распоряжается символической властью, RFC задаёт договор обмена, работающий код выполняет измерение, а конечные узлы держат состояние TCP. Flow Record — сжатая квитанция между ними, а не замена каждому слою.