RFC 5149：服务选择不等于服务交付

摘要

服务目录很容易制造一种误解：选择失败只是菜单没有打开，原来的连接仍会留在原位。RFC 5149 描述的状态迁移并非如此。移动节点若要改用另一项服务，规范建议先注销当前绑定，再为新服务注册；即使客户端没有按这一建议分两步完成，归属代理看到服务发生变化时仍必须重新授权。

新旧服务可能使用不同的归属地址或归属网络前缀。若新服务授权失败，归属代理拒绝注册，并删除与既有地址或前缀相对应的绑定。移动节点收到状态码 151 后，也必须删除匹配的本地绑定。因此，失败回执可以与原路径消失同时发生。它证明的是授权失败和规定的状态处理，不是旧服务已安全恢复。

对运营者而言，真正需要保留的不是一个红色状态，而是一条迁移账本：旧绑定最后一次可用的时间、新标识符、订阅版本、授权结果、归属代理删除动作、移动节点清理动作、替代绑定以及端到端恢复。少任何一环，都不能把“拒绝了错误请求”升级为“用户没有受到影响”。

同一个移动性订阅可以承载企业接入、专用服务域、彼此分离的网络或特定 QoS 语境。仅凭移动节点身份不足以说明它此刻请求的是哪一项服务。RFC 5149 因而在绑定更新里加入一个可变长度标识符，让归属代理知道应当针对哪个服务上下文查询权限和应用策略。

其线缆规则很精确。类型值是 20；标识符为 1 至 255 个八位字节，使用 UTF-8，并按 NFKC 规范化。一个绑定更新里至多出现一次。存在 MN-NAI 时，服务选择选项排在它后面；涉及授权与认证的移动性选项排在它后面。这种次序让消息保护可以覆盖服务选择，但被覆盖的数据仍然只是请求内容。

字符串的作用是提出问题：“这个节点能否使用这项服务？”答案必须来自移动节点认证、订阅资料和归属代理的明确授权。即使标识符长得像域名，它也不是 DNS 控制权、全球注册权或第三方服务所有权的证明。规范只要求它在该节点获准访问的归属代理范围内保持唯一。

被接受的选择可能改变归属地址、归属网络前缀、出站路由、防火墙配置、安全策略或 QoS。这里的“可能”是边界，不是措辞上的保留。绑定确认可以说明归属代理接受了注册，却不能说明策略控制器、转发设备、外部网络和应用端点都接受了相同含义。

分配到前缀，不等于返回路径存在；策略编译成功，不等于执行点已加载；防火墙数据库有一条规则，不等于实际流量被放行；QoS 类别有名称，不等于队列行为经过测量；计费目录认得服务，也不等于用户会话已建立。这些都需要独立的读回、探测和时间戳，而不能从类型 20 这个字段倒推。

没有显式选择符时，归属代理把请求当作普通互联网接入。RFC 5149 强烈建议允许这种默认服务，以减少基本接入对运营商专用配置的依赖，但它没有要求每一位订阅者都必须获准使用。缺少选项只确定了请求语境；它不是网络连通保证。

移动节点通常不应把服务选择选项发给通信节点，因为它不能假设对方共享归属代理的目录知识。不了解这套服务语义的通信节点应当静默忽略该选项。只有在通信节点与归属代理处于共同管理域、确实使用同一服务目录时，基于该选择进行处理才可能有意义。

即使双方使用同名服务，运行效果也未必相同。目录版本、订阅缓存、策略编译器、边缘防火墙和外部对等网络可能各自停留在不同状态。规范还明确提醒：由于服务位于分离的管理域或采用严格的入站、出站过滤，选择一项服务可能限制对另一项服务的同时访问。

这正是领导层仪表盘最容易压平的事实。绿色绑定注册可以与外部资源不可达、回程流量被拦截、旧绑定已经删除同时存在。若系统只展示归属代理的成功回执，它展示的是一个行政决定，而不是用户得到的服务。

所选服务可能泄露组织身份、业务用途或其他敏感上下文。RFC 5149 建议在需要保密时，对绑定更新和绑定确认采用具有非空加密的 ESP 传输模式。这可以降低旁观者读取标识符的风险，却不会使订阅数据库自动正确，也不会证明标识符映射到预期策略。

反过来，服务授权成功也不意味着选择在传输中受到保密保护。完整性、机密性、身份认证、服务授权和交付结果必须分别记录。把它们合并成“安全成功”一个状态，只会让故障与责任边界更难追溯。

IANA 分配的选项类型 20 和状态码 151 提供了稳定协调点。它们不能证明某一归属代理已实现功能，更不能证明现实网络中的互操作性。RFC 3775 的原始 Mobile IPv6 框架后来被 RFC 6275 取代；文档谱系说明规范关系，而非当前部署清单。