摘要

  • RFC 3634 把 CCC 子选项 10 定义为一个或多个四字节 IPv4 KDC 地址；多个地址必须按优先级递减排列。它不携带领域、传输、端口、实时健康或服务器身份。
  • DHCP 收到、客户端安装、候选选择、网络接触、KDC 认证、票据签发、应用认证与安全 SNMPv3 结果是八层不同证据，前一层不能代替后一层。
  • 管理者应把地址表当成版本化政策输入，把客户端真正执行的选择另行记录，并为回退容量、认证失败、停止条件与回滚设置责任人。

四字节只能指出方向

RFC 3634 面向 CableHome 场景：住宅网关先使用 Kerberos，再建立安全的 SNMPv3 关系。子选项包含代码 10、长度以及至少一个 IPv4 地址；长度不得少于四，且必须能被四整除。若列出多个 KDC，发送端按优先级从高到低排序。

这个设计解决的是配置分发。它没有说明第一个地址此刻可达，也没有把地址绑定到领域、传输或端口，更没有权重、TTL、证书指纹、服务器主体、探测结果或票据状态。

RFC 3495 的相邻结构进一步说明边界：Kerberos 领域名、AS 往返重试与退避、AP 往返重试与退避各有独立子选项。它们属于同一配置体系，却不是地址字段的隐含属性。

“优先”不是“健康”

优先级表达配置生成时的管理意图。RFC 3634 没有完整规定客户端应等待多久、哪些失败触发下一地址、失败记忆保存多长，或何时返回首地址。不同固件收到相同字节后，可能执行不同路径。

因此，配置库能证明候选顺序，却不能证明尝试顺序。把第一项显示为“活动主机”，等于把本地选择算法从证据链中删除。

RFC 4120 的 DNS SRV 发现模型包含服务、传输、领域、TTL、优先级、权重、端口和目标。RFC 2782 还定义同优先级目标的加权选择，但同时明确：权重用于静态选择，不是动态负载测量。字段更丰富，仍不等于健康探针。

后来的 RFC 6784 在 DHCPv6 中分别携带优先级、权重、传输、端口、IPv6 地址与领域。这证明这些维度需要分开表达，而不是替 RFC 3634 补写含义。

安全拒绝仍可能造成可用性损失

RFC 3634 依赖 DHCP 的安全能力，本身不增加额外保护。错误地址可以造成流量误导、拒绝服务或中间人风险。文档把 CMTS 转发和下行过滤、证书、Kerberos 双向认证、网络隔离与防火墙列为缓解措施或架构假设。

若伪造 KDC 最终无法通过认证，密码学边界发挥了作用，但客户端已经消耗等待、网络与证书验证资源。大批设备同时收到错误首地址，会把一次安全失败放大为同步延迟，并可能把负载推向次选 KDC。

允许来源也不等于正确身份。地址来自受准许的 DHCP 路径，只能说明配置传递渠道的一部分；它不证明目标领域、机构角色、服务器密钥与预期一致。

逐层建立收据

第一张收据保存 DHCP 服务器、认证结果、事务、配置时代与原始字节。第二张证明客户端确实接受并安装该表。第三张记录选择决定：表版本、地址位置、重试次数、截止时间、上一失败类别与推进规则。

随后才是路由、传输、端口与网络接触。KDC 身份、领域绑定、时钟与密码学结果另行记录。AS 或 TGS 请求与响应需要相关标识。应用认证、安全关联和 SNMPv3 管理操作还在更后面。

DHCPACK 不等于票据；票据不等于应用会话；安全会话也不等于管理动作成功。

证据边界

本文不指认任何运营商、网关、CMTS、KDC、领域、用户、事故或部署。标准轨状态和 IANA 对代码 10 的登记证明规范与协调分配，不证明采用。

RFC 3634 是机制主源；RFC 3495 给出 CCC 环境；RFC 2131 与 RFC 3118 区分 DHCP 传输与消息认证；RFC 4120、RFC 2782 提供发现模型对照；RFC 6784 是后续谱系；RFC 5021 与 RFC 6251 说明传输和 TLS 另有证据。

恒鲁关于运行代码、最小初始规范、权威与信念、现实层次的文章是明确披露的分析框架。它们帮助区分符号配置、机构授权、实际执行和观察结果，不证明 RFC 作者意图或部署事实。

第一个地址值得先被考虑；只有后续收据才能证明它值得继续被信任。

Sources