Summary

  • У соединения QUIC есть набор выданных конечными точками маршрутных меток; один CID не является постоянным идентификатором субъекта.
  • Готовность к миграции зависит от свободного запаса, согласованных лимитов и завершённого отзыва.
  • Двусторонний журнал жизненного цикла различает ошибку маршрута, исчерпание и ротацию ради приватности.

Телефон переходит с Wi-Fi на мобильную сеть. Ключи действуют и потоки открыты, но клиент не может проверить новый путь к серверу: у него не осталось неиспользованного CID, выданного сервером. В обратном направлении серверу также нужен неиспользованный ID, выданный клиентом. Соединение продолжает действовать, однако ресурс непрерывности исчерпан.

RFC 9000 §5.1 задаёт для соединения набор идентификаторов. Каждая сторона независимо выбирает значения, которыми пользуется её партнёр. Их главная функция — доставить пакет к правильному состоянию соединения при смене нижележащих адресов.

Направление принципиально. Сторона выдаёт ID для пакетов к себе и при отправке использует ID партнёра. CID назначения в трассе — текущий указатель одного направления, а не общее имя и не аутентифицированная личность пользователя, устройства или приложения.

§5.1.1 назначает выданным CID номера последовательности. NEW_CONNECTION_ID несёт возрастающие номера. Они помогают согласовать жизненный цикл, но не являются временем или глобальным идентификатором.

active_connection_id_limit сообщает, сколько активных ID готов хранить партнёр. Превышение после добавления и отзыва требует CONNECTION_ID_LIMIT_ERROR. Однако лимит не равен свободному запасу: значения могут быть использованы или ожидать замены, хотя общее число ниже потолка.

§9.5 описывает последствие. Исчерпав доступные CID, сторона не может проверять новые пути, начинать миграцию или отвечать на миграцию партнёра. Открытое соединение не доказывает готовность к мобильности.

Запас нужен и для приватности. Стабильный CID на разных путях позволяет связать активность. QUIC запрещает повторно использовать его при отправке с нескольких локальных адресов или к нескольким адресам назначения. Ротация убирает очевидный сигнал, но время и размер пакетов всё ещё допускают корреляцию.

По §5.1.2 RETIRE_CONNECTION_ID обещает больше не применять значение и запрашивает замену. Retire Prior To выводит старые последовательности. Пока сообщения и подтверждения не сошлись, стороны могут видеть разные состояния.

Кадры выдачи и отзыва зашифрованы. Пассивный наблюдатель видит смену CID, но не обязательно запас или причину. RFC 9312 отмечает это ограничение. Нулевая длина CID также запрещает выдачу новых значений и исключает поддерживаемую CID миграцию.

Редакционная эксплуатационная рекомендация — хранить полный двусторонний журнал: ID и время наблюдения; роль конечной точки; пару локального и удалённого адресов; направление выдачи; последовательность и отпечаток CID; состояния активен, не использован, назначен пути, запрошен к выводу и выведен; active_connection_id_limit; наибольший Retire Prior To; время приёма NEW_CONNECTION_ID; отправки и подтверждения RETIRE_CONNECTION_ID; отпечаток связанного токена stateless reset; первый и последний путь; согласование нулевой длины; число неиспользованных ID в обоих направлениях; потребность в миграции или проверке; результат маршрутизации backend; и оговорки о приватности. Отпечатки позволяют не раскрывать чувствительные значения.

Отдельный CID доказывает мало. Криптографическое состояние связывает пакет с соединением, а жизненный цикл и путь показывают запас для миграции. Само значение не удостоверяет человека или приложение.