Summary

  • RFC 1108 определил опцию IPv4 133 как повторяемый контейнер дополнительных меток безопасности; смысл каждого кода формата задавался отдельной совместимой спецификацией.
  • Любая расширенная опция требовала базовой опции безопасности и согласованной конфигурации; удаление расширения могло сделать пакет неприемлемым или изменить приписанную ему чувствительность.

Контейнер с внешним словарём

Расширенная опция безопасности начиналась с типа 133, имела переменную длину не менее трёх октетов и содержала однобайтовый код формата Additional Security Info. Следующее поле подчинялось синтаксису, выбранному этим кодом; если соответствующий формат разрешал, оно могло быть даже пустым.

Регистрационного имени было недостаточно. RFC 1108 требовал для каждого кода отдельный RFC с описанием синтаксиса и алгоритмической процедурой принятия или отклонения, достаточно точной для совместимой реализации независимыми поставщиками. Сопоставление битов с понятными человеку названиями могло оставаться закрытым, но машинный договор обработки должен был быть общим.

При фрагментации опция копировалась и могла встречаться в датаграмме несколько раз — пока позволял размер заголовка IPv4. Однако повторяемость не означала самостоятельности. В каждой датаграмме с ESO должна была присутствовать Basic Security Option. ESO без BSO считалась ошибкой. Ошибками также были незарегистрированный код, несогласованная длина и содержимое, противоречащее RFC выбранного формата; для них предусматривалось сообщение ICMP Parameter Problem.

Поддержка могла быть выборочной. Система могла понимать BSO, но не ESO, либо реализовывать лишь часть форматов ESO. Биты Protection Authority в BSO не были связаны с пространством кодов формата ESO. Поэтому соседние поля участвовали в одном решении безопасности, хотя их реестры и наборы возможностей не совпадали.

Одного разбора заголовка было мало и для маршрутизации. Чтобы промежуточные системы выбирали защищённые пути по меткам ESO, требовалось расширение протоколов маршрутизации. Опция переносила утверждение, но действовать по нему сеть могла лишь при наличии параметров портов, знания поддерживаемых кодов и подходящего состояния маршрутов.

Цена удаления

Позднее RFC 7126 зафиксировал ограниченное применение ESO в частных сетях с высокими требованиями безопасности. Удаление опции могло заставить получателя отбросить пакет как неправильно размеченный. Хуже того, данные могли получить неверную метку чувствительности и тем самым более строгий или более слабый режим обработки.

Отсюда следовала осторожная рекомендация: устройство заранее не знает, попадёт ли оно в такую среду, поэтому по умолчанию не следует ни удалять ESO, ни отбрасывать пакет только из-за её наличия. В заведомо не использующей ESO сети администратор мог настроить отбрасывание; устройству также следовало вести проверяемый учёт таких пакетов.

Источники не позволяют оценить нынешнюю распространённость, перечень поддерживаемых сегодня кодов или поведение всех продуктов. Надёжный вывод уже: расширяемость не устраняет согласование, а переносит его в реестр, отдельные спецификации и конфигурацию.

Источники