Summary

  • 对至少 21 字节的候选数据报，末尾 16 字节与连接关联令牌匹配时，接收端必须终止连接；这一匹配并不认证发送者身份。
  • 它不说明状态为何消失、由哪个后端负责，也不携带丢失发生的时间。
  • 事故归因还需要路由决策、密钥版本、最后正常数据包和独立状态存储证据。

负载均衡器刚把流量切到另一台后端，客户端便收到一个末尾十六字节与已知重置令牌匹配的数据包，并立即放弃连接。这个信号足以决定客户端动作，却不足以得出“服务器丢了状态”这一原因判断。

RFC 9000 第 10.3 节把无状态重置定义为缺少连接状态的端点所能使用的最后手段。对于 QUIC v1 定义的 AEAD 算法，短首部包若小于 21 字节便不可能有效，必须丢弃。候选数据报达到 21 字节后，接收端才将末尾 16 字节与活动连接 ID 关联的令牌比较。匹配会立即终止连接，但既不认证发送者，也不携带原因码、后端身份或最初丢失状态的时间。

这种数据包被刻意设计得难以与普通短首部包区分。近似随机的内容避免观察者轻易识别，长度规则也减少重置循环风险。因此，被动抓包看到相似形状，并不能安全断言它就是无状态重置。

第 10.3.1 节允许依据静态密钥与连接 ID 派生令牌。这使不保存完整连接状态的路由层也可能产生匹配令牌，但令牌不会向客户端揭示使用了哪个密钥版本、哪台实例或哪次运维变更。

第 10.3.2 节给出更严厉的边界：不同连接 ID 不应共享令牌。碰撞或错误复用可能制造假阳性并杀死仍然健康的连接。客户端正确识别匹配，并不证明基础设施在分配、轮换和保存令牌时从未出错。

第 21.11 节的安全讨论进一步限制归因。泄漏或管理不当的令牌可能被用于注入重置。一次令牌匹配本身既不能证明攻击，也不能排除运营故障，更不能证明故障切换成功保留了状态。

作为编辑性运营建议，事故凭据应保存：观察时间、源和目的地址端口元组、包长与形状、CID 与令牌指纹、对应序列号、签发后端与密钥版本、负载均衡决策、最后一个正常数据包、发布或切换事件，以及状态存储中有无该连接的独立证据。

这条时间线可以区分客户端看到相同结果的多种机制：重启、状态逐出、过期、错误路由、复制滞后、密钥轮换不一致、令牌碰撞或恶意注入。重置解释客户端为何此刻关闭连接；只有拼接后的运营证据才能解释状态为何不可用。