摘要

  • 1992 年的 CIPSO 草案在安全标签之前设置 32 位解释域标识符，因为级别和类别数字只有在共享映射的系统群体中才有意义。
  • 主机与端口按配置的标签范围执行策略，网关跨域时还必须翻译选项；结构正确的数字并不天然拥有全球权威。

压缩数字需要一部本地词典

Commercial IP Security Option 面向采用强制访问控制和多级安全的商业系统，试图摆脱只服务于美国国防体系的 BSO 与 ESO 代码空间。它占用 IPv4 选项类型 134，长度可变，在分片时必须复制，并且一个数据报中最多出现一次。

一个八位组的类型和一个八位组的长度之后，是无符号的 32 位 Domain of Interpretation（DOI，解释域）标识符，再后面才是标签结构。零值被保留，不得使用。DOI 指明应当采用哪一个共同体的映射表，把紧凑的级别与类别数字还原成人和策略系统理解的标签。

这层间接关系不是装饰。草案用一个直白例子说明：两个互不相关的系统群体，可以分别用 5 和 1 表示同一个“非密”级别。数字本身无法告诉接收方该查哪张表。DOI 权威负责定义映射并在域内分发；映射若涉及敏感信息，并不要求向域外公开。

CIPSO 用 tag 承载其余安全信息。0 至 127 号预留给原计划通过 RFC 公开的标准格式；127 以上可由 DOI 权威定义，但仅限无需与外部网络互操作的封闭网络。草案把三种强制访问控制敏感度格式明确对应到编号：type 1 使用类别位图，type 2 使用升序类别枚举，type 5 使用互不重叠且升序排列的类别范围。合规实现至少要能生成普通的 tag type 1，并接收所有有效 type 1，包括优化格式。

配置才把含义变成动作

语法正确只是起点。支持多标签的主机、网关或路由器需要配置系统或接口允许的最低与最高标签。主机必须拒绝无权处理的级别；离开接口的数据报若超出端口允许范围，也必须丢弃。出站 DOI 可以按端口、目的网络或目的主机选择。

错误处理还区分“无法理解”与“理解但不允许”。无法识别的 CIPSO 字段导致丢包并返回 ICMP Parameter Problem；格式有效但超出配置范围的标签则导致丢包，并返回表示管理性禁止的 ICMP Destination Unreachable。管理员可以明确指定某些未知 tag 可安全忽略，但这只是对默认拒绝规则的扩展。

即使选项缺席，也要有明示策略。接收端口可以给无标签流量补上端口标签，用于单级网络，或所有无 CIPSO 主机都处于同一级别的混合网段。如果端口要求 CIPSO 而数据报没有它，草案要求丢包，并用 ICMP Parameter Problem 表示缺少类型 134。

DOI 之间的边界最能显出制度依赖。实现必须至少支持一个 DOI，并应支持多个。网关在网络之间转发时，必须能把 CIPSO 从一个 DOI 翻译到另一个 DOI。数据包负责携带紧凑标签，网关则负责让标签跨过行政词典后仍保持原意。

没有成为 RFC 的设计

CIPSO 2.2 最终停留在过期 Internet-Draft，没有发布为 RFC。其思路后来由 NIST 标准化为 FIPS 188：1994 年发布，2015 年撤销。RFC 7126 在 2014 年记录了若干多级安全操作系统的实现和部分高安全网络部署；这些是有时间边界的历史证据，不能当作今天的普及率。

RFC 7126 同时解释了为何不应粗暴过滤。移除 CIPSO 可能让接收端因标签不完整而丢包，更糟时会把数据关联到错误的敏感度。它因此建议默认不要仅因 CIPSO 存在就删除选项或丢包，同时保留按存在性配置丢弃的能力，并建议逐接口记录可审计计数。

DOI 留下的长期启示是：数字能节省首部空间，却不能自动产生共同语义。真正的语义存在于权威维护的映射、每台系统的配置，以及域边界上发生的翻译中。

来源