Кратко

  • Редакция 01 опубликована 28 сентября как действующий документ рабочей группы OPSAWG со статусом I-D Exists; это ещё не RFC и не завершённое присвоение номеров IANA.
  • Предлагаемые поля разделяют четыре разных обстоятельства: полноту определения границ датаграммы, результат обработки пакета, наличие значения и его локальное исключение из экспорта.

В отчёте о сетевом трафике легко принять пустую ячейку за отрицательный результат. Но пустота появляется на разных этапах: сенсор не знает правил новой версии QUIC, захваченных байтов недостаточно, пакет повреждён, защищённое поле недоступно наблюдателю или экспортёр решил не передавать уже известное значение. Если история расследования хранит только итоговое «нет», она теряет причину, по которой свидетельства не было.

draft-ietf-opsawg-ipfix-quic-header-01 меняет предложенную форму записи. Предыдущая редакция содержала семь новых элементов информации о QUIC; нынешняя предлагает 24 и четыре профиля: сетевое наблюдение, наблюдение на конечном узле, агрегат потока и необязательное состояние соединения. В сетевом профиле одна верхняя запись соответствует нефрагментированному IP-пакету с полной UDP-датаграммой. Если внутри находятся несколько совместно переданных QUIC-пакетов с определимыми границами, они образуют упорядоченные дочерние записи с указанием смещения. Выдавать их за независимые верхние записи значило бы потерять контекст исходной датаграммы.

Для оценки пропуска проект предлагает не общий балл, а отдельные признаки. quicDatagramParseStatus говорит, удалось ли перечислить границы пакетов в датаграмме. quicProcessingStatus описывает, что произошло при обработке конкретного пакета. quicExportFlags отмечает локальное подавление доступных данных либо усечение экспорта из-за размера или ресурсов. Это независимые измерения. Граница может быть установлена, хотя обработка содержимого остановилась; полный разбор не мешает организации затем убрать поле из выдачи.

Четвёртый признак нужен для числового нуля и пустой строки. Фиксированный шаблон IPFIX отводит место каждому объявленному полю даже тогда, когда содержательного значения нет. Бит quicFieldPresence сообщает получателю, следует ли читать ноль как настоящее значение или игнорировать его как технический заполнитель. Поэтому пустая строка не подтверждает ни нулевую длину настоящего Token, ни отсутствие Token в сетевой передаче. Она требует контекста записи. Наличие бита само по себе также не удостоверяет отправителя.

При неизвестной версии QUIC общие неизменные поля могут не раскрыть конец следующего пакета. Проект позволяет сохранить ранее полностью ограниченные пакеты и пометить частичное наблюдение на месте остановки, но запрещает считать дальнейшие объединённые пакеты отсутствующими. Кроме того, сетевой профиль по замыслу не экспортирует номера пакетов, типы кадров и идентификаторы потоков. Их нет в профиле, а не обязательно в трафике.

Все новые идентификаторы элементов пока имеют проектные значения. Текст не доказывает, что оборудование уже формирует такие записи, и не описывает реальный инцидент. Он уточняет язык, на котором можно будет сообщить о пределах наблюдения.

Источники