摘要

  • 早期 TFTP 规则允许任一端收到旧的重复数据报后重发“当前”数据报；一枚延迟 ACK 因而可能把后续所有 DATA 和 ACK 固定成双份，并继续放大拥塞。
  • RFC 1123 要求 DATA 发送方不得仅因重复 ACK 而重发当前块；Karen Sollins 署名的 RFC 1350 延续了修正后的协议，同时明确记载 1992 年 5 月的缺陷修订由 Noel Chiappa 完成。

先看一段没有坏数据的故障。发送方发出第 X 个数据块，接收方收到后回 ACK X。这个确认没有丢，只是在网络里耽搁了一会儿。发送方等不到它，计时器到期，于是再次发送 DATA X。接收方看到重复块，又发出一枚 ACK X。

此时第一枚 ACK X 抵达。发送方正常前进，开始发 DATA X+1。紧接着，第二枚 ACK X 也到了。旧规则允许发送方在收到一枚旧的重复确认后，重发自己“当前”的数据报；而当前数据报已是 DATA X+1。于是 X+1 出现第二份，接收方也回两枚 ACK X+1。第一枚把状态推进到 X+2，第二枚又复制 X+2。若没有一次恰好打断节奏的丢包，余下传输都会结伴而行。

这正是 RFC 1123 所称的 Sorcerer’s Apprentice Syndrome。它借用了“魔法师的学徒”不断复制搬水工具、却无法叫停的故事。故障的危险并不在第一份副本，而在每个端点都认真服从一条看似有助于恢复的规则，最终让重复本身获得延续重复的能力。

RFC 1123 特别指出，只要传输最终结束，文件仍会正确。可这不等于协议运行正确。过量重传可能让会话超时；而原始 ACK 往往正因拥塞而变慢，新增的双份流量会进一步挤压同一路径。一个为不确定性准备的恢复动作，反过来稳定地产生更多不确定性。

修复的关键不是少发一次，而是取消错误权限

RFC 1123 给出的要求很窄：产生 DATA 的一端，绝不能仅仅因为收到重复 ACK 就重发当前 DATA。发送方仍需要重传计时器；预期确认长时间不到，仍可构成重试理由。被取消的是旧消息对新状态的支配权。

接收方收到重复 DATA 后，仍可以重发 ACK。这在前一枚 ACK 真正丢失时很有用。但若发送方已经前进，这枚重复 ACK 必须无害。修复因此不是把所有重复一律封死，而是在两端之间建立非对称边界：一端可以重复提供关于旧块的信息，另一端不能把该信息解释成对当前块的新命令。

RFC 1123 还要求采用自适应超时，并至少使用指数退避。它们与循环修复相互补充，却不是同一件事。更准确的计时器能减少过早重传，退避能在拥塞时抑制压力；但只要状态转换仍错，迟到的第二枚 ACK 依旧可能复制当前数据。概率控制不能代替因果边界。

这也是今天仍值得复用的测试思路。某个组件单独看可能是幂等的：重复收到 DATA，只重复发同一个 ACK。可若这份响应会触发对端的非幂等动作，系统整体仍不是幂等。分布式协议必须验证闭环，而不是只审查每个函数的局部行为。

“简易”是一项工程约束

RFC 1350 直接说明，TFTP 是一个非常简单的文件传输协议。它能读写文件，却不能列目录，基础协议也没有用户认证。这里的“Trivial”不是说任务可有可无，而是刻意缩小功能面。

RFC 1123 把它描述为一次只处理一个 512 字节段的停等协议。RFC 906 则解释了这种取舍最重要的历史场景：网络引导。TFTP 客户端足够小，可以放进 ROM 或 EPROM，先把启动代码拉进机器，再由更完整的软件完成后续配置。第一阶段的目标不是把链路跑满，而是用尽量少的机制抵达下一阶段。

小并不代表容易维护。固件里的代码可能比普通应用更难发现、更难升级，也更容易被不同厂商代代复制。规格中一句含糊的重传许可，可以在“兼容”名义下活得比原始环境更久。对小状态机而言，准确描述每个输入拥有什么权限，反而更加重要。

后续 RFC 为 TFTP 增加了选项协商、块大小和超时参数。RFC 2347 设计了独立的 OACK，并要求不支持的选项应被省略，而不是悄悄改变基础交换。扩展可以提高效率，但不能覆盖基础不变量：旧块的确认不得重新生成当前块。

安全边界也不能被“标准协议”四个字抹平。RFC 1350 明记基础协议没有用户认证；RFC 1123 建议限制可访问路径，并要求对广播 TFTP 请求保持静默，因为薄弱的访问控制可能形成严重漏洞。一个封闭引导网段里的合理工具，并不会自动成为适合公网暴露的文件服务。

标准文档保留了分工，而非制造单一英雄

Sollins 在 1981 年的 RFC 783 与 1992 年的 RFC 1350 上都是署名作者。但 RFC 1350 对贡献链写得很清楚：TFTP 最初由 Noel Chiappa 设计，之后由 Chiappa、Bob Baldwin 与 Dave Clark 重新设计，Steve Szymanski 提供评论，后续修改又吸收了一组更广泛的建议。文档尤其说明，1992 年 5 月修复“学徒综合征”及其他文本问题的修订由 Chiappa 完成。

因此，Sollins 的人物价值不应被写成独自发现并修复故障。她的贡献在于协议作者的长期工作：保存极简设计的边界、解释选择、吸收实现经验、记录贡献者，并把修正后的规则发布为可互操作的标准。Robert Braden 主编的 RFC 1123 又以一段逐包序列说明故障，并把修复提升为主机必须遵守的要求。

MIT CSAIL 的公开简介把这项工作放进更长的研究轨迹。Sollins 在 Swarthmore 学习数学，在 MIT 获得计算机科学硕士与博士学位；研究涉及基于网络的系统、分布式名称管理、认证、全球命名、超长寿命信息系统与极端规模问题。她还曾在 1999 至 2000 年离开实验室，到美国 National Science Foundation 担任网络研究项目负责人。

这些主题都在追问同一个问题：当消息、软件与机构跨越原始设计时刻后，怎样保持语义不走样？TFTP 的答案小到只有一条限制——迟到的 ACK 仍是真的，但它只说明过去，不再命令现在。

这种清楚的署名链还有实际用途。几十年后重写固件的人，可能把“忽略重复 ACK”视作多余分支。若文档只留下规则而没有故障缘由，简化代码时就可能删掉它。RFC 保存的不是纪念性姓名，而是让未来实现者知道某一行判断为何存在的上下文。

正确文件不是充分的验收证据

验证实现时，应主动复现时间错位。让 ACK X 延迟到发送方重传 DATA X 之后，再把两枚 ACK 都交给已经前进的发送方。接下来的 DATA X+1 只能出现一次。测试还应分别叠加真实丢包、乱序、DATA 重复、块编号边界和选项协商。

验收记录不能只有最终文件哈希。还要统计每块数据报数量、总时长、计时器变化与状态转换。对封闭固件或老旧设备，绑定固件版本与网络抓包，可能是唯一可重复的运行证据。

至于今天哪些设备仍使用 TFTP，不能从历史地位反推。它可能只在制造、无盘启动或紧急恢复时启用，也可能已经被替换。每个环境都需要实测。Sollins 所署名标准留下的判断题依然有效：一枚旧消息回来时，系统把它识别为过去工作的余波，还是让它有权制造当下的新工作？

来源