Кратко

  • Экспериментальная IPv6 Destination Option из RFC 9837 содержит 32-битный указатель на FIB выходного PE, но не удостоверяет входной PE.
  • Для глобального Интернета нужны AH или ESP; в ограниченном домене безопасность зависит от ACL на каждой границе, причём RFC прямо называет эту схему fail-open.
  • Обработка по умолчанию выключена. Развёртывание, коллизии, эффективность ACL, масштаб, совместимость и OAM требуют опубликованных результатов.

Пакет может попасть к правильному клиенту и всё же прийти от устройства, которому вход был запрещён.

RFC 9837 опубликован в августе 2025 года как Experimental. Карточка RFC доказывает рассмотрение и одобрение IESG, не внедрение. RFC 7841 не позволяет стирать эту границу статуса.

По RFC 8200 входной PE инкапсулирует данные и помещает опцию 0x5E перед верхним уровнем. Четыре байта выбирают запись FIB на выходе. Совпадение ведёт к CE, отсутствие записи — к отбрасыванию.

Указатель не удостоверяет отправителя

Самозванец может послать синтаксически правильное значение. Поэтому глобальный туннель защищают AH или ESP. Доказательством служат личность пира, Security Association, срок ключа и результат проверки, а не номер услуги.

В ограниченном домене каждый пограничный узел обязан ACL отбрасывать внешние пакеты с этой опцией и внутренним адресом назначения. RFC 8799 определяет границу домена; черновик Safe(r) Limited Domains обсуждает fail-open, но стандартом не является.

Слов «только внутри» недостаточно. Нужны полный перечень входов, версия ACL на каждом и внешний тест отказа. RFC 6169 показывает, что туннель способен обойти контроль, поставленный не на тот уровень.

У записи FIB есть собственный автор

FIB может заполнять оператор через CLI, контроллер через PCEP или NETCONF, либо протокол маршрутизации. Его расширение RFC 9837 не задаёт. Один номер может быть отсутствующим, устаревшим или уже назначенным другому клиенту.

RFC 8342 разделяет запрошенное, предназначенное и рабочее состояние. Успех API не доказывает установку в оборудование; установленная запись не доказывает полномочия создателя.

BGP/MPLS VPN, EVPN и SRv6 дают сравнение, но не одобряют эксперимент. RFC 2473 описывает общий IPv6-туннель, не решение о допуске.

Эксперимент должен оставаться обратимым

Реестр IANA относит 0x5E к экспериментам. Другой опыт может использовать тот же код. Поэтому обработка выключена по умолчанию и включается явно с областью, владельцем и откатом.

RFC просит публиковать трудоёмкость, синхронизацию, обновления оборудования, стоимость и действенность ACL, источник FIB, масштаб, совместимость и видимость через PING, TRACEROUTE, Wireshark и TCPDUMP. Первый прошедший пакет лишь открывает измерение.

Идея Heng Lu о минимальной начальной спецификации и локальных дальнейших решениях сохраняет общий формат, но оставляет допуск оператору. Приоритет работающего кода требует наблюдений, а реальность прежде позиции запрещает приписывать непроверенные внедрения, продукты или инциденты.

Источники