摘要

  • RFC 5210 的成功结果有明确前提：被测试的 AS 同时具备接入网、AS 内和 AS 间三层验证。缺少任一层的路径，不能借用完整部署的结论。
  • 端口绑定、路由派生规则和联盟标签都有版本与有效时间。删除这些字段，历史上正确的通过结果就会被误写成永久属性。
  • 反源地址伪造回答的是“这个地址在当前网络规则下是否可接受”，不是“哪个人发出了这个包”。使用合法地址的受控主机仍可发动攻击。

09:00 的绿色，只属于 09:00

09:00，一台主机从交换机 17 号端口发出 IPv6 数据包。接入设备查到地址、MAC 与端口的绑定，第一道围栏通过；AS 边界按照当时的路由视图，确认该源前缀可以从这条接口进入，第二道围栏通过；远端联盟成员核对当前跨 AS 标签，第三道围栏也通过。

如果记录写成“该数据包在三个指定检查点、依据这些状态，于 09:00 被接受”，它是完整的。问题出在系统把它压缩成了一个没有时态的词：源已认证。

09:12，主机因故障切换到另一条接入链路，前缀映射也发生变化，联盟正在轮换标签。某个验证引擎已收到新规则，另一个仍停留在旧路由投影；为了避免切换丢包，新旧标签短暂并存。09:15，管理屏上的绿色没有变化。

这不说明 09:00 的记录造假。它说明 09:15 的现在时没有新证据。更严重的是，绿色从“地址符合网络规则”继续越级成“发送者身份可信”。

这是为解释控制边界而构造的场景，不指向任何真实运营商、产品或事故。需要保留的原则很简单：验证结果属于数据包、检查点、状态版本和时间，不能脱离这些条件单独流通。

RFC 5210 到底证明了什么

RFC 5210 于 2008 年 6 月以 Experimental 状态发布。作者在 CNGI-CERNET2 相关基础设施上部署了 SAVA 原型：12 所大学各自形成一个 AS，其中 6 个站点具备接入网、AS 内与 AS 间全部组件，可以进行完整功能测试。

试验包括正常、动态和反伪造场景。以非相邻 AS 方案为例，测试覆盖标签添加与移除、合法源地址转发、标签更新、新成员加入保护、地址空间增加或删除，以及伪造地址过滤。

文档报告，在三层完整部署的 AS 中，没有经过认证的源地址数据包不会被转发。这是有分量的运行结果，但句子中的“完整部署”不可删去。它并没有测量整个互联网，也没有给出现代网络、任一厂商或任一运营商的普遍成功率。

作者明确把原型与试验视为后续工作的输入，而不是替未来 IETF 方案预先作出决定。文档还逐项列出部署、同步、安全与性能限制。尊重这些限定，不是削弱 SAVA，而是避免一项有用成果被迫承担它从未承诺的职责。

第一层：接入绑定只认识连接位置

原型的一种接入方案动态建立 IP 地址、MAC 地址和交换机端口之间的绑定。交换机不允许不符合地址—端口关系的数据包通过。另一种方案从网络接入认证取得会话密钥，并利用它保护主机或代理到 SAVA 设备之间的包。

前一种结果说明地址与当时的接入位置相符；后一种还说明包在指定密钥上下文中通过了保护验证。两者都没有直接说明谁在操作主机、哪个进程产生流量、用户是否授权，或主机是否已被攻陷。

RFC 5210 自己指出，原型的接入方法在生产环境中并不足够。多宿主、故障切换、移动、无线接入以及主机连接变化都会撞上静态假设。生产记录必须包含绑定创建时间、过期时间、迁移方式、冲突处理和最后一次成功下发，而不是只留一条地址对应关系。

第二层：AS 内验证认识前缀与拓扑

AS 内层借用了 RFC 2827 与 RFC 3704 的入口过滤思想。这里的问题已经从“这台主机能否使用这个地址”变成“按照所选路由模型，这个源前缀能否合理地从这条接口到达”。

严格反向路径、可行路径和更宽松的检查并不等价。对于对称拓扑，严格模式可能十分有效；在多宿主或非对称路由中，合法包的入口未必等于最佳返回路径。放宽规则可减少误杀，但得到的证据也更粗。

因此，一次通过只能说明：在某份路由视图、某种检查模式和某条接口规则下，源前缀被接受。它不是主机绑定，更不是人员身份。要让结果可复核，必须保留路由视图时间、模式、接口、规则标识以及规则从生成到安装的链路。

第三层：AS 间验证引入集体依赖

对相邻 AS，原型把入口接口与允许的源地址块关联。规则生成引擎处理 AS 层信息，映射服务把 AS 转成 IPv6 前缀，验证引擎再执行下发后的前缀规则。

对不相邻的 AS，试验建立联盟并使用临时标签。源端边界路由器按照目的 AS 添加标签，目的端边界核对并移除标签。注册服务维护成员列表，各 AS 控制服务器交换前缀归属与标签，并向本地边界设备配置处理状态。

这时，结果已依赖多方共同运行：联盟成员是否最新、前缀归属是否同步、标签是否轮换、设备是否安装、旧值是否按时失效。系统计划支持动态加入与退出，但试验中的初始信任需要线下确认。它不是自动形成全球信任的证明。

状态传播速度决定结果寿命

RFC 5210 指出，相邻 AS 的关系型规则可能跟不上快速路由变化，并因此产生误判；试验网络相对稳定，所以该方法在测试中表现良好。这里没有矛盾：方法在已观察的动态范围内成立，动态范围变化后就需要新的证据。

非相邻方案中的标签也有生命周期。旧标签不能无限期有效。试验在新标签启用后保留了五秒重叠期，以避免切换丢包。那五秒意味着“当前标签”并非单值，而是一条带截止时间的接纳规则。

所以，一个可辩护的通过凭据至少要写清：接入绑定版本、路由视图、AS 关系、AS—前缀映射、规则版本、分发回执、设备安装哈希、联盟成员快照、标签时期、重叠结束时间，以及第一处缺失、滞后或绕过的围栏。

如果只留下 valid=true，值没有错，语义却被掏空了。事故发生后，没人能回答“按哪一份现实判断为真”。

可追溯性增强，不等于身份突然出现

RFC 5210 把源地址更可靠与追踪信心提高联系起来。减少伪造确实能让调查人员更依赖剩余的地址和路径信息。但是，信心提高不会让证据跨越层级。

RFC 7039 后来给出了更直接的警告：人们很容易把源地址验证想象成可以追到发包的人，甚至确定最终系统；实际上，它提供的是间接证据，并没有独立解决归因问题。

共享服务器、代理、转发器、应用平台、自动任务和受控主机，都可以使用完全合法的地址。网络绑定可到达某个连接位置；设备证据可进一步关联终端；工作负载日志可能指出进程；账户认证可能指出凭据。组织责任、具体人员与主观意图还需要更多证明。

绑定日志也带来隐私问题。它们可能揭示设备或人员在何时何地活动。保留期限、访问权限、用途与纠错机制必须明确。技术上“看起来像”某个用户的记录，不能自动变成惩罚性归因。

僵尸网络不需要伪造自己的地址

RFC 5210 对技术上限的描述非常清楚：相当一部分拒绝服务攻击可以由僵尸网络客户端使用其合法 IP 地址发起，即使源地址验证实现全球覆盖，也无法阻止这一类攻击。

反伪造控制解决的是伪造，不是端点健康、应用授权、流量善恶或用户意图。被控制的笔记本可以使用分配给自己的地址，通过三层 SAVA 检查，同时持续发送恶意流量。

因此，运营语言必须克制。可以说“地址被接受”“路径上的三个指定围栏均通过”，不能顺手写成“流量已认证”或“攻击源可信”。遇到合法地址的恶意行为，调查应转向端点、工作负载、账户、授权与行为证据，而不是重复检查已经正确工作的反伪造装置。

控制平面有规则，不等于数据平面执行

试验的轻量标签是共享随机值，不是逐包密码学身份。RFC 讨论了路径上攻击者的风险，也说明更强密码计算会增加转发成本。IPv6 hop-by-hop 选项在某些测试路由器上只能以有限速度处理，成为实际性能边界。

控制器中存在配置，证明有人希望设备执行它；设备返回安装成功，证明设备接收了状态；计数器、测试包和正确位置的观测，才证明数据平面真的按该状态处理了流量。

三类证据不能互相替代。慢路径可能制造新的拒绝服务面，紧急旁路可能在仪表盘不变的情况下拆掉围栏。真实指标应是“多少相关流量被当前正确规则实际检查”，并解释剩余部分去了哪里。

一份不会越权的运行凭据

凭据先记录包或流、观察点与时间，再列出本次声明要求哪些围栏。接入层记录分配来源、地址、链路标识、端口、创建与过期以及移动处理。AS 内层记录检查模式、接口、路由视图、前缀规则与生成时间。

AS 间层记录关系、映射来源、规则版本、分发和安装；联盟层记录成员、对等方、前缀归属交换、标签或种子时期、重叠和失效。硬件软件版本、选项处理、计数器、丢弃与测试来源也必须保留。

然后在证据末端停笔。若没有独立设备、账户或人员证据，就明确写：地址与路径符合指定规则；行为者未知。准确表达未知，不是安全体系的软弱，而是让下一位调查者知道还缺哪一层现实。

来源