Summary

  • Если длина кандидата составляет не менее 21 байта и последние 16 байт совпадают с токеном соединения, получатель должен завершить соединение; совпадение не удостоверяет отправителя.
  • Он не сообщает причину, время потери или ответственный backend.
  • Для расследования нужны решение маршрутизации, поколение ключа и последнее подтверждённое состояние.

Балансировщик переводит поток на другой backend. Вскоре клиент получает пакет, последние 16 байт которого совпадают с известным токеном, и закрывает соединение. Сигнала достаточно для действия клиента, но недостаточно для вывода «сервер потерял состояние».

RFC 9000 §10.3 оставляет сброс без сохранения состояния последним средством конечной точки без доступа к состоянию соединения. В QUIC v1 при определённых стандартом алгоритмах AEAD пакет с коротким заголовком короче 21 байта никогда не бывает допустимым и подлежит отбрасыванию. Для кандидата длиной не менее 21 байта получатель сравнивает последние 16 байт с токенами используемых идентификаторов соединения. Совпадение требует немедленного завершения, но не удостоверяет отправителя и не сообщает причину, обслуживающий узел или время первоначальной потери состояния.

Пакет намеренно трудно отличить от обычного пакета с коротким заголовком. Псевдослучайный вид затрудняет внешнее распознавание, а ограничения размера уменьшают риск циклов. Поэтому пассивная запись не позволяет уверенно объявить reset каждый похожий пакет.

§10.3.1 допускает криптографическое получение токена из статического ключа и идентификатора соединения. Слой маршрутизации без полного состояния способен сформировать совпадающий токен, но клиент не узнаёт версию ключа, экземпляр или предшествующее изменение.

§10.3.2 устанавливает важную границу: разные connection ID не должны иметь общий токен. Коллизия или ошибочное повторное использование способно дать ложное совпадение и закрыть здоровое соединение. Правильное сравнение на клиенте не доказывает правильность выдачи и хранения во всей системе.

Соображения безопасности §21.11 также ограничивают атрибуцию. Раскрытый или плохо управляемый токен может позволить поддельный сброс. Само совпадение токена не доказывает атаку, не исключает эксплуатационную ошибку и не подтверждает сохранение состояния при переключении.

Редакционная эксплуатационная рекомендация — соединять время наблюдения, адреса и порты, длину и форму пакета, отпечатки CID и токена, соответствующую последовательность, выдавший обслуживающий узел и версию ключа, решение балансировщика, последний исправный пакет, события развёртывания или переключения и независимые сведения хранилища состояния.

Такая хронология разделяет перезапуск, вытеснение, истечение срока, ошибочный маршрут, задержку репликации, несогласованную ротацию ключа, коллизию и вредоносное внедрение. Reset объясняет закрытие сейчас; эксплуатационные данные объясняют отсутствие состояния.