摘要

  • RFC 9899 定义的是一个有边界的比较：选择偏移原点，从那里跳过 length 个字节，以指定操作符比较二进制模式。配置通过 schema 校验，并不能说明设备实际检查了哪段字节。
  • 计数器增量只能证明某个作用域和 epoch 内的本地 ACE 归因；它不能独立证明报文身份、动作执行或应用结果。

设想一张变更工单出现四个绿色结果：YANG Library 中能看到载荷匹配 feature，配置提交成功，回读中存在对应 ACE，测试期间计数器也增加。最容易写下的结论是“载荷规则生效”。四个观察都可能正确，但这个结论仍然没有得到证明。

问题不在 RFC 9899 本身。该文档于 2025 年 12 月作为 Proposed Standard 发布，是 RFC 8519 ACL 模型的扩展；Datatracker 记录表明它源自 draft-ietf-netmod-acl-extensions。Datatracker 后来的更新时间只是记录元数据变化，并非新的规范版本。需要固定文档状态时，应同时保存 RFC 信息页、Datatracker 页面 和当时的 勘误查询。

四个字段构成的比较窗口

match-on-payload feature 表示实现声称支持模式匹配。在 YANG 1.1 的语境里，这是 schema 能力，不是转发面的运行报告。payload-match grouping 里有四个关键 leaf：offset 选择语义原点；length 表示从原点开始忽略多少字节；operator 默认是 match；pattern 保存要比较的二进制值。实际比较从 offset + length 开始。

length 这个名字很容易被误读。它不是模式长度，而是跳过的距离。真正的比较窗口由二进制模式本身决定。因此，一条只记录“offset 42、length 4”却不记录 offset identity、operator 和完整 pattern 的审计证据，无法重放这条规则。

原点也不是普通数字。layer2 从数据链路层头开始，layer3 从 IP 头开始；layer4 从 IP 头之后开始，并把 IPv4 选项、IPv6 扩展头和 AH 等 IP 层头部计入；payload 则从传输层头部结束之后开始，TCP 选项存在时也必须跨过。 IANA YANG Parameters 能确认模块修订和 RFC 9899 创建的三个由 IANA 维护的类型模块，但它证明的是 schema 身份，不是设备行为。

数值不变，原点仍会移动

两只 TCP 报文可以拥有完全相同的应用数据，却有不同长度的 TCP 头。RFC 9293 用 Data Offset 指明 TCP 数据从何处开始。真正实现 payload 原点的设备应考虑可变头长；若测试脚本用固定绝对偏移替代语义原点，就可能在无选项报文上成功、在带选项报文上失败。

IPv6 把检查位置变得更重要。RFC 8200 允许扩展头位于 IPv6 头和上层协议之间，分片在目的端重组前还是独立报文。RFC 9899 说明了 layer4 的起点，却没有替所有设备规定匹配发生在重组、解封装或厂商归一化之前还是之后。这些属于具体实现和部署位置，必须实测。

加密则划出更硬的边界。RFC 9000 保护 QUIC 报文载荷，也对 packet number 等字段施加头部保护。某些连接标识和头部材料仍可能可见，但“属于 QUIC 报文”不等于“应用明文可见”。RFC 9899 的安全考虑很克制：未加密数据可确定性匹配；加密报文上的有效性取决于是否存在不变模式。它没有赋予解密能力。RFC 8329 可作为安全功能进行报文内容匹配的背景，却不能证明某台设备实现了 RFC 9899。

九层证据，不能合并成一个状态

可靠的验收应保留下面九层：

  1. Schema 能力：模块修订、feature 和 deviation 确实暴露了相应节点。
  2. 授权与事务：可识别的主体获得写权限，协议操作在指定 datastore 上完成。
  3. 预期与运行状态：相关 NMDA 视图中存在配置；RFC 8342 明确区分这些状态。
  4. 已编程状态：平台把 ACE 编译并挂接到预期接口、方向、阶段和软硬件路径。
  5. 精确字节：独立抓包固定报文字节、解析后的头长和该阶段的比较窗口。
  6. 可见性：加密、封装、分片、重组和归一化没有隐藏或移动目标不变量。
  7. ACE 命中：在已知作用域和 epoch 中，正确计数器围绕受控刺激发生变化。
  8. 动作执行：另一路遥测证明 accept、drop、log、mark 或其他动作确实发生。
  9. 业务结果：应用或用户可见结果再次独立验证。

RFC 8341 提醒我们，schema 合规和访问授权属于不同系统。RFC 8519 的 matched-packets 与 matched-octets 是当前 ACL entry 的只读计数器；实现可能按接口提供，也可能聚合多个接口。因而，计数器增量只能说明“该计数器在这一 epoch 归因了流量”。若没有冻结作用域、复位历史、受控刺激和独立报文观察，它甚至不能指出是哪只报文引起变化。RFC 9899 还建模了补充日志与命名计数器动作；配置动作绝不等于动作已经执行。

建立“报文窗口回执”

最小而有用的测试产物，不是一张全绿仪表盘，而是一份可重放的报文窗口回执。它应绑定：模块与修订、feature 与 deviation；设备软件和转发组件版本；认证主体、授权结果、事务 ID 与 datastore；ACE 身份、顺序、挂接点、接口与方向；解封装、归一化、重组前后的检查阶段；offset identity、跳过长度、operator、binary pattern 和计算出的字节区间；fixture 与独立抓包的哈希；解析后的 IP/TCP 头长；加密边界与声称可见的不变量；计数器名称、位宽、作用域、聚合方式、复位时间、前后值和刺激窗口；最后再附上独立的动作遥测与业务结果。

负向测试比正向命中同样重要。保持应用数据不变而改变 TCP options；插入 IPv6 扩展头；在平台文档允许时分别测试首片与非首片；只改动 pattern 的一个字节；比较加密与未加密变体；把同一规则移到 ingress 和 egress。只在最简单报文上成功的比较，只能证明 fixture 成功，不能证明策略可靠。

发布规范不等于拥有执行权

这里可以明确引入一个外部分析框架。Lu Heng 关于现实层的讨论 区分了符号/文档层与可执行权力。本文由 Daniel Kade 将其应用于 RFC 9899：YANG 模型处于规范层；已编程数据面、被观察的报文、执行的动作和业务结果，依次属于更可执行的现实层。这不是 RFC 的表述，也不代表其作者意图。

Minimum Initial Specification 与 Localized Future Decision 提供了另一条实用原则：共同证据只保留最小且可确定验证的核心——schema 身份、精确比较窗口、刺激、计数器 epoch 与独立观察。厂商对 hook、归一化、重组的选择应公开为本地实现决定，而不能被悄悄包装成普遍语义。关于权威与信念的文章 进一步凸显：协调文档可以产生影响，真正控制活动转发路径的实现和运营者才拥有执行力。这些都是本文作者的分析映射，并非 IETF 主张。

RFC 9899 的价值，正是让比较规则可以更可移植地表达；可移植不等于全知。准确的运行声明应该是：在这个 schema 与授权上下文、这个已编程 hook 上，设备以这个原点、跳过距离、操作符和模式比较了这些可见字节；这个 ACE 计数器在该 epoch 变化；另有证据证明动作和业务结果。任何更强的句子，都需要另一份回执。

来源