Кратко

  • 17 сентября 2026 года IESG объявила Last Call по версии 21 документа SAVNET о проблемах междоменной проверки адреса источника; замечания принимаются до 1 октября. Это проект информационного RFC, а не уже утверждённый стандарт.
  • Авторы различают ошибочную блокировку законного трафика и ошибочный пропуск пакетов с подменённым источником. Согласно разделу 6, применяющий таблицу SAV маршрутизатор не способен сам распознать все такие ошибки.
  • Жалоба затронутой нижестоящей или пиринговой сети может дать недостающий сигнал. Связать её с версией правила и итогом расследования предлагает эта публикация, а не обязательный формат IETF.

Маршрутизатор на границе автономной системы проверяет адрес источника входящего пакета и принимает решение по локальной таблице SAV. Это быстрая и определённая операция. Но она не отвечает на вопрос, была ли сама таблица построена на полном представлении о допустимых источниках. Документ рабочей группы SAVNET, направленный на заключительное обсуждение в IESG, рассматривает именно разницу между корректным исполнением записи и корректностью её содержания. Новый действующий протокол в документе не объявлен.

Одна причина ложной блокировки связана с ограниченным распространением префикса. Законный префикс может быть известен лишь некоторым участникам маршрутизации. Другой сценарий — скрытый префикс, используемый в качестве источника, в том числе при определённых вариантах anycast с прямым возвратом ответа. Отсутствие привычной записи BGP на стороне фильтра само по себе не делает источник поддельным. Если эту неполную видимость принять за исчерпывающий список разрешённых адресов, допустимые пакеты будут отброшены.

Слишком свободное правило направления приёма, выбранное против ложных блокировок, создаёт противоположный риск — пропуск подменённых источников.

Частичное внедрение тоже не даёт абсолютной защиты. Фильтрация у одного участника не устраняет подмену внутри группы его клиентских сетей, если проверки не распространены на остальные участки. Поэтому проект предъявляет будущим методам несколько требований сразу: точнее различать оба вида ошибок, снижать ручную работу по обновлению таблиц, приносить пользу первым внедрившим даже без всеобщего принятия, защищать специальные сведения SAV и достаточно быстро сходиться после изменений. Эти требования нельзя выдавать за результаты измерения действующей сети.

Раздел 6 переводит разговор к расследованию. Пограничный маршрутизатор может показать, какое решение принял, но не обладает встроенным знанием о том, была ли блокировка или выдача разрешения ошибочной. О проблеме достижимости может сообщить соседняя сеть — клиентская либо пиринговая. После этого оператору нужно сопоставить внешнее наблюдение с интерфейсом входа, версией таблицы и исходными данными, действовавшими в тот момент. Жалоба не доказывает вину фильтра автоматически; локальный журнал, напротив, не опровергает жалобу только потому, что машина последовательно следовала записи.

Разумная практика — короткое расследование с проверяемым следом: время и отправитель сообщения, тип соседства, затронутый исходный префикс и класс трафика, интерфейс, версии таблицы и её входных сведений, ответственный инженер, обоснование изменения либо сохранения правила, результат повторной проверки. Это предложение Daniel Kade об операционной подотчётности, а не введённый проектом стандарт обмена заявками. Содержимое пакетов и сведения о коммерческих соединениях стоит раскрывать только тем сторонам, которым они необходимы для проверки.

Версия 21 датирована 19 июля. Событие сентября — начало Last Call 17 числа со сроком до 1 октября. Документ остаётся анализом пробелов и перечнем требований, а не официальным RFC, отчётом об инциденте или подтверждением развертывания решения. Его практический смысл — назвать разрыв между властью установить правило и возможностью впервые заметить его последствия. Если извне не существует пути вернуть доказательство владельцу правила, фильтр способен безошибочно исполнять ошибочное решение.

Источники