摘要

  • draft-ietf-roll-enrollment-priority-18 定义了一个紧凑的 RPL 选项，其中包含根节点版本、紧急位、最低入网优先级和 DODAG 近似规模；中间路由器可以提高优先级数值，以反映更严的下游条件。
  • 最终值 127 会停用 Join Proxy，但这个值不会保留其成因：根节点政策、经过取整的规模估计、逐跳增量、能力断层后的默认值、本地资源上限或控制平面攻击都可能产生同一结果。
  • 应另建一份“入网压力回执”，在不扩张无线信号的前提下，串联根节点声明、传播路径、能力缺口、本地计算、实际信标、Pledge 观察和尝试终点。

新设备看见的是偏好，不是理由

一个尚未获信任的设备来到低功耗网状网络边缘。它监听附近路由器发出的 Enhanced Beacon，其中一部分路由器充当 Join Proxy，把它的入网流量转送到网络内部。数值越低，入口越值得选择；数值达到最大，表示代理功能不可用。Pledge 据此挑选一个看似可行的入口。

这种协调必须节省。电量、带宽、内存和 Neighbor Cache Entry 都很稀缺。若每台新设备在尝试之前都要向管理服务索取完整容量解释，机制本身就会违背受限网络的条件。把少量状态塞进路由选项，可以让许多设备避开拥塞位置。

但最终数值很容易被误读成“决定”。Pledge 看到优先级 110，只能知道某个代理此刻不太欢迎新的尝试。它不知道根节点是否设置了保守基线，中间路由器是否上调过数值，代理是否缺少邻居缓存，旧固件是否切断了选项传播，或某个已入网但遭攻陷的节点是否注入了异常消息。

协议不必在无线链路上公开所有细节，照样可以完成协调；事后问责却无法从最后七个比特反推整条因果链。

“加入”其实指向两个动作

第 18 版草案特别澄清了术语。在受限入网架构里，新节点需要完成身份验证并获得成员资格，这一过程称为 enrollment。RPL 里已经获得授权的节点也会“join”——它选择首选父节点并接入某个 DODAG。草案把前一个过程明确称为入网，但保留了沿用已久的 Join Proxy 名称。

这一区分会改变故障归因。Pledge 可能没有发现可用代理，数据可能没能穿过代理，CoJP 身份验证可能失败，授权政策可能拒绝成员资格；已经入网的节点也可能在以后改选 DODAG。把这些结果统称为“加入失败”，就抹掉了权力真正介入的阶段。

拟议优先级只描述 6LowPAN Router 是否提供代理入口、入口有多值得选择。它不替代凭据校验，也不替代授权决定。运行记录必须区分“没看到有吸引力的信标”“开始了代理转发”“完成身份验证”和“获得成员资格”。高优先级是入口状况的证据，不是 Pledge 被拒绝入网的证明。

三个字节承载的是分层判断

新的 RPL DIO 选项只有三个字节：八位 Version Number 按 lollipop counter 解释，一个 T 紧急位，七位 Min Priority，四位指数 Exp，以及四位 DODAG 规模值 DODAGSz。根节点生成选项；最低优先级或规模一旦改变，就推进版本。若变化需要迅速扩散——例如应当立即停止入网——根节点置位 T，采用新版本的路由器便会重置 Trickle 计时器。

Min Priority 的数值越低，表示越有能力接受新子节点。0x7f，即十进制 127，代表无穷并停用 Join Proxy。根节点设置基线时，可以考虑 DODAG 规模、带宽占用、根节点内存，也可以执行一项管理决定。

选项沿图向下传播时，6LR 可以提高 Min Priority，却不能降低它。这个单向棘轮有合理的安全含义：下游路径若更受限，就不应许诺比上游更多的接纳能力。拟充当 Join Proxy 的路由器还会加入上游拥塞、可用 NCE 等本地因素，并把结果封顶在 127。结果低于 127 时，代理功能应当启用，该数值再用于 RFC 9032 所定义的 Enhanced Beacon Join Priority。

因此，线上数值至少揉合了两层权力：根节点的全局声明，以及下游逐点添加的克制。选项没有为每次上调携带原因码，这对路由效率是合理取舍，却不足以回答“谁在什么条件下关闭了入网”。

近似规模必须始终被当作近似值

DODAG 规模与优先级分开传递，因为部署方可以选择让接纳政策依赖规模，也可以不这样做。编码结果是 DODAGSz * 2^Exp，两个组成量各占四位。真实观察值落在两个可表示值之间时，根节点向上取整。

计数对象本身也有边界。如果规模由 DAO 活动推断，它统计的是路由，不是设备。只有当不同节点宣布的地址数量大致相同、产生的流量也大致相当时，这个数字才可作为负载提示。一个设备宣布多个地址、另一个只宣布一个的网络，不能把路由总数当成精确人口。

若运维记录只留下“规模 384”，它便丢失了原始指数和尾数、测量方法、取整方向、采样时间，以及“路由数可以近似负载”的前提。以后政策引用该值时，审查者无法判断是设备真的增加了，地址模式改变了，还是压缩编码跨入了下一个粗粒度档位。

因此，公开表述应当克制：该选项发布的是根节点的近似视图，可用于平衡 DODAG，也可帮助已入网节点重新连接；它并不证明精确节点数、均匀流量或未来容量。

优先级沿着一条没有留下名字的路径上升

支持该选项的路由器从自己选定的父节点接收并采用它。按照 lollipop 顺序，旧版本会被忽略。来自父节点的优先级上升被 Trickle 视为不一致，从而加快传播；下降值可以触发相同动作，也可能按照冗余规则缓慢扩散。设计天然倾向于迅速收紧、谨慎放松。

这种不对称在运行上可以成立：恢复中的网络若过早开放，可能承接无法处理的流量。代价是不同子树在一段时间内可能展示彼此不同、却都仍有效的版本。若要把现场观察同根节点意图比较，至少需要选项版本、T 状态、当时的首选父节点和接收时间。

本地棘轮又增加了一层歧义。叶端的 96 可能原本就是根节点的 96，也可能由根节点 64 经一次大幅上调，或由多个较小增量累积而来。即使后续节点电量充足、NCE 宽裕，也不能把数值调低。它传递的是沿途最强的累计克制，而不是该克制的来源。

因果回执无须公开拓扑。它可以使用只对单次事件有效的路由器摘要，以及根政策、根容量、上游拥塞、本地内存、NCE 可用性、安全覆盖等粗粒度原因类别。关键是保留有序链：哪个版本进入路径，数值在哪里上升，哪项本地增量生成了最终信标。

混合固件会形成无声边界

草案没有掩饰渐进部署的难处。RPL 过去没有为这些设置提供全网管理协议。改变默认值可能依赖定制固件或专有机制，而设备本来又希望在无逐台操作的条件下完成入网。即使单一厂商网络，在固件分批升级期间也会出现能力差异。

不理解新选项的路由器既不会使用它，也不会继续传播它。位于该节点之后的整个子树，都收不到根节点的 DODAG 规模和最低优先级。支持该功能、但没有收到选项的路由器，会以中间值 0x40 作为基础 Join Priority，再叠加本地信息。

中间值是一种折中，不是“容量适中”的证明。若它偏低，子树可能吸引本应被疏导的入网流量；若偏高，则可能无谓地拒绝或转移尝试。多处不支持节点还可能制造交替接受和拒绝的区域。更严重的是，根节点发出的 127 关闭指令无法穿过能力断层。

这是一条实际部署边界，不能靠假定消失。回执必须说明基线来自根节点选项，还是来自“未收到选项”时的默认值，并保存路径能力观察。否则，同一个 0x40 可能被解释为根节点有意制定的政策，实际上它只是信息传播中断的痕迹。

受保护的控制平面仍可能有内部攻击者

该选项可以承载在链路层保护的 RPL 控制消息里，也可以采用 Secure DIO 方法。这能阻止外部设备轻易加入控制平面，却不能保证每个已经入网的路由器永远诚实。

第 18 版列出两种内部风险。恶意成员可以观察最低优先级，在网络最开放时通知同谋发送入网流量；它也可以发送带有不同优先级的 DIO。过低的值会诱使下游接受超出预期的 Pledge，过高的值则会拖停入网。RFC 9031 的重新换钥机制让运维方可以移除失陷节点，但从发现到移除之间的影响仍须记录。

所以，“消息经过正确保护”不等于“消息是获得授权的政策声明”。审计需要控制平面安全上下文、来源关系、版本、异常判断、隔离或换钥事件，以及该路径何时停止影响后代节点。无线帧的机密性并不等于因果来源可信。

为入网压力建立独立回执

回执从根节点开始：DODAG 与根身份、选项版本、T、基础 Min Priority、根政策版本，以及运维方真正能够证明的输入。规模部分保存 Exp、DODAGSz、计算所得近似值、测量方法、取整方式，以及把路由数关联到负载时采用的假设。未知信息保持未知。

路径部分记录首选父节点变更、接收时间、功能支持与断层，以及观察到的每次上调。路由器可用隐私安全的摘要表示，原因可用粗粒度类别。代理本地部分保存计算时使用的资源快照、最终优先级、代理是否启用、Enhanced Beacon 实际发布的值及其有效期。

Pledge 部分应当保持窄小：一次事件专用标识、观察到的信标、选择的代理、尝试时间，以及最后完成的阶段——发现、转发、身份验证或授权。它不应暴露设备秘密，也不应把公开日志变成稳定的网状拓扑图。最后再附上运营政策、例外授权、重新开放触发器、纠错渠道和审查时间。

这不是要求扩充三个字节的协议选项。低功耗协调需要严格的共同最小值。回执应留在运维方的证据系统中，让未来部署选择继续本地化，同时让决定链条可被检验。协议克制与制度问责并不冲突，前提是两者边界清楚。

这份文件仍在变化

截至本次研究截止时间，第 18 版仍是 ROLL 工作组的有效 Internet-Draft，目标状态为 Proposed Standard；文件日期为 2026 年 7 月 21 日，失效日期为 2027 年 1 月 22 日。Datatracker 显示它已“Submitted to IESG for Publication”，IESG 状态为 IESG Evaluation::Revised I-D Needed，有五个 DISCUSS，仍需三个 YES 或 NO OBJECTION，且尚未排入 telechat。页面还显示 8 月 20 日有后续状态更新。

这些信息不能压缩成“已经批准”或“已经部署”。它们只说明提案成熟并处于积极审查阶段。实际实现范围、固件覆盖率、优先级分布、攻击频率和入网结果，除非部署方公开证据，否则仍是未知数。

来源