Кратко

  • Устройство, которое заменяет TTL пробного пакета на большое постоянное значение — чаще всего 255 в новом исследовании, — может скрыть остаток прямого пути. Назначение окажется рядом с последним видимым маршрутизатором или AS, хотя между ними пакет несли другие сети.
  • Исследователи нашли затронутые трассы от 950 зондов RIPE Atlas в 471 AS и определили не менее 47 AS как наиболее вероятные места перезаписи. Это результат ограниченных измерений, а не доля всего Интернета; подмножества IPv4 и IPv6 пересекаются.
  • Захват пакета у назначения и исходный TTL, процитированный в ошибке ICMP, могут доказать увеличение. Длина пути, видимая петля в один переход и внешние сведения о топологии дают только сигнал. RIPE Atlas хранит внутренний TTL в необязательном поле ittl: отсутствие значения означает отсутствие доказательства, а не доказанное отсутствие перезаписи.

Пакет прошёл дальше, а ответы об истечении исчезли

Traceroute складывает путь из намеренно вызванных истечений. Пробный пакет выходит с ограниченным TTL, и каждый маршрутизатор уменьшает значение. На нуле устройство отбрасывает пакет и может вернуть ICMP Time Exceeded. Следующая проба получает больший начальный TTL и в норме открывает ещё один переход.

Если промежуточное устройство заменит остаток на 255, последовательность разорвётся. Следующий маршрутизатор увидит 254, затем появятся 253, 252 и 251. Ноль не наступает, поэтому не возникает сообщение, которого ждёт traceroute. Если назначение отвечает, оно может стать следующей строкой после последнего узла, видимого до перезаписи.

Скрытые маршрутизаторы выполнили пересылку. Их вычеркнула запись.

Когда запись превращают в топологию, пробел становится ложным отношением. Последовательные ответы часто считают соседними маршрутизаторами. Адреса затем сопоставляют автономным системам, а две последовательные метки AS трактуют как прямое соединение. Постоянная перезапись TTL способна породить связь на уровне маршрутизаторов и AS, которой нет как непосредственного соседства в сети пересылки.

Это не обычный артефакт ECMP. Классические пробы могут пройти по разным равноценным путям и собрать последовательность, которую не видел ни один пакет. Paris traceroute уменьшает такую ошибку, удерживая постоянными поля, влияющие на выбор потока. Но ему всё равно нужно, чтобы устройства уменьшали TTL. Постоянство потока не исправит поле, увеличенное на маршруте.

950 зондов подтверждают явление, но не измеряют весь Интернет

Sebastian Kappes, Anja Feldmann, Tobias Fiebig и Johannes Zirngibl запускали измерения с зондов RIPE Atlas к назначениям, где могли захватывать входящие пакеты. RIPE Labs сообщает о затронутых трассах от 950 зондов, расположенных в 471 AS.

Разбивка по семействам адресов не даёт непересекающихся групп: 800 зондов IPv4 и 538 IPv6; 446 AS для IPv4 и 263 для IPv6. Сложение дважды посчитает зонды и сети, работающие с обоими семействами.

В статье названо не менее 47 AS, где, вероятнее всего, находятся устройства с искажающей путь перезаписью. Для 43 наиболее частым новым значением было 255, для четырёх — 64. Есть случаи в исходной сети и в транзите. RIPE Labs приводит 14 затронутых зондов в Orange AS5511 и 65 в AT&T AS7018, когда последний видимый переход оставался внутри исходной AS. Для Arelion AS1299 источники находились в других сетях, а перезапись, по-видимому, происходила при транзите.

Эти названия локализуют свидетельства, а не устанавливают ответственность. После перезаписи продолжение пути неизвестно. AS последнего видимого адреса — лишь наиболее вероятное место, а сам адрес может принадлежать пограничному маршрутизатору. Кроме того, многие трассы пересекали упомянутые AS без изменения TTL. Классифицировать нужно отдельный путь, а не организацию целиком.

Распределение точек наблюдения тоже ограничивает вывод. RIPE Atlas и CAIDA Ark по-разному размещают зонды и выбирают назначения. Многие измерения Atlas создают пользователи, и их состав меняется. Контролируемые опыты использовали ограниченный набор целей. Работа доказывает существование механизма в действующей сети, но не оценивает долю всех интернет-маршрутов.

У 49 600 трасс есть точная дата и точный знаменатель

В историческом анализе использовался TTL исходной пробы, сохранённый внутри некоторых ошибок ICMP. Снимок RIPE Atlas за 10 ноября 2025 года содержал 204,8 миллиона трасс. Из них 2,65 миллиона получили подходящую ошибку ICMP. Только 139 600 содержали цитированный TTL, пригодный для сравнения. Метод обнаружил перезапись в 49 600 результатах — 35,5% последнего подмножества.

Это не 35,5% всех трасс Atlas. Доля относится к результатам с цитированным TTL в один указанный день. Сокращение от 204,8 миллиона до 139 600 — часть вывода: оно показывает область, где решающее свидетельство вообще было доступно.

Исторические признаки видны с февраля 2018 года и позже встречаются чаще. Однако состав пользовательских измерений меняется, поле ICMP необязательно, а метод лучше обнаруживает увеличение TTL, чем уменьшение. Временной ряд даёт консервативную нижнюю границу для проверяемых путей, а не перепись развёрнутых устройств.

Один пример CAIDA Ark показывает возможный масштаб искажения с отдельной точки. У IPv6-узла igx2-us внутри AT&T AS7018 в октябре 2025 года 93,4% завершённых traceroute имели длину четыре перехода. В другом знаменателе 95,9% обнаруженных петель заканчивались тремя одинаковыми переходами. Обе доли относятся к одному примеру, а не ко всему трафику или всем путям AT&T.

Два доказательства и три предупреждения

Пять индикаторов исследования обладают разной силой.

Индикатор Допустимый вывод
У назначения захвачен пакет с TTL выше всех отправленных значений Решающее доказательство увеличения на этом пути
В ошибке ICMP процитирована исходная проба с TTL выше всех отправленных значений Решающее доказательство увеличения на этом пути
Видимый прямой путь намного короче оценённого обратного Предупреждение, требующее пакетного доказательства
Один адрес отвечает на соседние TTL как видимая петля длиной в переход Предупреждение, требующее пакетного доказательства
Видимая связь противоречит независимым сведениям о топологии Предупреждение, требующее пакетного доказательства и осторожного сопоставления AS

Последние три условия не являются ни необходимыми, ни достаточными. Короткий путь может быть настоящим. У петли может быть другая причина. Открытые данные маршрутизации и пиринга неполны. Превратить предупреждение в вердикт — значит повторить топологическую ошибку другим способом.

Два строгих метода сокращают охват. Для захвата прибывшего пакета нужен контролируемый адресат. Метод ICMP работает, только если назначение или последний доступный узел отправляет пригодную ошибку с исходной пробой. Чем выше стандарт доказательства, тем меньше путей можно уверенно классифицировать.

Отсутствие ittl — не отрицательный результат

Документация RIPE Atlas определяет ittl как TTL пакета, вызвавшего ошибку ICMP. Поле необязательно. RIPE Labs уточняет, что Atlas сохраняет этот внутренний TTL лишь иногда. Если значение есть и оно превышает все отправленные TTL, перезапись можно подтвердить. Если поля нет, у последующей обработки нет материала для такой проверки.

Отсутствию нужен отдельный статус. Запись ttl_rewrite=false объединила бы два разных утверждения: «имеющееся решающее свидетельство не показало увеличения» и «решающего свидетельства в результате не было».

Небольшая запись для каждого пути может различать:

  • confirmed_target_capture, если увеличение доказано захватом у назначения;
  • confirmed_quoted_ttl, если оно доказано цитатой ICMP;
  • indicator_only, если форма или внешняя топология вызывают подозрение без доказательства;
  • evidence_unavailable, если оба решающих метода неприменимы.

Названия можно изменить, смыслы — нет. Следует хранить идентификаторы измерения и зонда, источник и назначение, семейство адресов, протокол, время, максимальный отправленный TTL, ittl при наличии, метод решения, версию классификатора и производную связь, которая была оставлена или отложена. Новое свидетельство сможет исправить вывод без стирания прежней квитанции.

Причина остаётся за пределами доказанного

Исследователи не нашли цитируемого источника, устанавливающего причину, и не смогли воспроизвести поведение в лаборатории. Два оператора анонимно предложили объяснения. Одно связано с двойными метками MPLS и реализацией, копирующей TTL внутренней метки обратно в IP-пакет. Второе — с сетевой операционной системой и ошибкой отображения функции широкополосного шлюза в SDK производителя ASIC.

Эти сообщения делают дефект реализации правдоподобным, но не относят все случаи к одному поставщику или продукту. В работе также упомянуто предположение, что фиксация TTL скрывает коммерческие отношения, однако авторы считают его маловероятным: то же поведение мешает диагностике самого оператора. Невидимый участок не доказывает скрытый мотив.

Источники

Общедоступное объяснение опубликовано RIPE Labs: When Traceroutes Lie. Методы, знаменатели, ограничения и пример AT&T взяты из принятой на IMC 2026 статьи Kappes, Feldmann, Fiebig и Zirngibl TTL Jumps: Unexpected TTL Rewrites Impacting Inferences from Traceroutes, DOI 10.1145/3777912.3809149.

Необязательное поле описано в формате результатов RIPE Atlas, версия 5000. Статья указывает набор захваченных пакетов и трасс по DOI 10.17617/3.D5GQFG. Эти источники не дают всемирной доли и не устанавливают конкретное устройство с полной уверенностью.