摘要

  • RFC 1455 把 TOS 值 15 定义为尽量降低外部人员秘密观察流量的请求；“最大安全”只是对可用路径的排序目标，不是最低保障。
  • 每个采用者都要以本地政策给线路和路由器赋予相对成本。同一组比特可以被共同识别，却在不同网络里产生不同决定。
  • 从标记到保密结果之间，还隔着语义识别、成本表、选路、实际转发、机房与线路状态、加密和端点授权；任何前一层都不能替后一层作证。

比特亮起时，内容并没有被锁住

设想一台早期九十年代的路由器收到数据包。TOS 的四位是 1111。这串值本身没有改变载荷，源地址和目的地址仍须明文出现，否则设备无法转发。即便上层已经端到端加密，旁观者仍可能从通信双方、时刻、频率和流量大小推断活动。

RFC 1455 针对的是位于网络外部、试图观察物理传输的人。更难接触的线路会增加窃听成本：光纤通常比金属线难以搭接，点到点线路比 Ethernet 或 FDDI 这类共享介质更少暴露，带压力告警或有人看守的管道胜过无人照管的电缆，扩频广播比普通广播难截获，链路加密还能让拿到的信号更难利用。

但威胁边界没有随修辞扩大。内部人员、被攻陷的路由器、恶意端点、密钥失守和应用授权都不由这四位解决。

为什么偏偏是十五

文档选用了十进制 15、十六进制 F，也就是四位全一。理由是它与当时其他已定义 TOS 值的汉明距离最大。这样安排旨在减少码值被误认的可能，并不表示安全强度达到“十五级”或“四重保护”。

RFC 1349 已把 TOS 重新解释成一个枚举值，而非四个可以随意按位或的独立开关。因此 1111 不是“低延迟、高手率、高可靠和低成本”的叠加，而是一个完整的新请求。

语法正确只证明节点有机会读懂意图。设备若使用旧表或别的表，原样到达的四位也可能失去含义；设备即使认出值 15，也仍需回答它加载了什么政策、算出什么路径、最终把包发向哪里。

“最安全”只在候选集合内成立

RFC 1455 明确承认，用户真正想要的也许是一个确定的链路安全等级，类似保证带宽或时延。那需要资源预留或政策路由，超出了当时 IP TOS 的能力。

所以“最大”不是绝对门槛，而是局部比较：在这台设备知道的路径中，按照这家运营者当前的判断，哪一条最不容易被外部观察？如果所有候选都很差，算法仍可选出“最好”的一个，却无法说明它足够好。

RFC 1349 的弱 TOS 设计进一步保留了可达性。没有匹配请求的路由时，可以退回默认 TOS 路由，而不是因为用户尝试一种尚未普及的服务就丢弃数据包。交付因而可能成功，偏好却没有得到执行。

RFC 1455 也直言，不可能指望整个 Internet 在可预见的时间内都实现这一新增值。数据包穿越的，是一串不一定共享语义的管理域。

成本表不是自然规律

实现方式是让支持 TOS 的路由系统给不同线路配置专用成本。文档把设定成本称为本地政策职能。

示例表中，具有安全密钥分发的强链路加密成本为 1，物理保护的点到点线路为 2，普通点到点为 6，本地多点介质为 8，城域多点为 12，本地无线广播为 24，卫星为 32。

这些数不是现场测量。32 不代表拦截概率为百分之三十二，也不证明所有卫星链路永远比加密线路危险三十二倍。它只编码了一个假想政策里的相对判断：在该模型下，路由计算应把卫星及相关设备看成比基准链路更易暴露。

另一家网络可以拥有不同的地理条件、机房、无线覆盖、加密设施和对手模型，于是写出另一张表。协议统一了请求码，却没有统一估值权。

五十跳也可能胜过两跳

RFC 1455 给出一个故意违背直觉的例子：五十多段高度保护的链路，可能优于只有两跳、但包含未加密卫星与无线广播的路径。最短路径和最少暴露路径不是同一个优化问题。

跳数增加又带来新风险。每一跳都有路由器、机房、软件、配置和能接触它的人。只评价电缆，可能让数据包经过许多保护薄弱的设备。因此文档要求把路由器本身的物理安全也计入。

这个补丁仍不构成事实闭环。线路目录要与当时状态吻合，路由计算要与实际转发吻合，机房描述要与可验证控制吻合。否则“安全路径”只是资产表里拼出的名字。

想乘概率，实际却在加成本

普通路由算法往往把各链路成本相加。RFC 1455 指出，对安全传输概率而言，连乘或许更合适；但它仍接受加法作为多数场景下的近似，类似 RFC 1349 对高可靠 TOS 的处理。

这句自我限制很重要。设备直接算出的不是攻击者失败概率，而是简化模型下的路径顺序。相对估计可能陈旧，比较对象可能不同，路由器与线路可能被错误地合并。

近似并非无用。它只应保留自己的名字：“在这份配置下更受偏好”。一旦把它改称保密承诺，模型就借用了结果层的权威。

安全标签在回答另一道问题

RFC 1108 的 Basic Security Option 携带安全分级和保护主管机关标志。系统可检查数据包是否适合由该源发出、由该目的接收，以及路径是否满足标明的保护要求；路由协议还需交换标签信息。

RFC 1455 的值 15 没有分级，没有主管机关，也没有许可关系。它只请求在可用物理设施中偏好较难观察者。

正确标签不等于内容已加密，难观察的线路也不等于接收进程有权读取。身份、授权、路由、物理控制、密钥和最终效果必须各自留下记录。

一个八位位置换了语法

RFC 2474 后来废止了旧式 TOS 定义，以 Differentiated Services 字段取代。DSCP 用来选择逐跳行为，域边界的分类、计量、标记、整形和管理政策共同构成服务。

头部里的位置延续下来，解释它的制度却变了。只看抓包中的位形，无法知道它在某个年份、某个域内意味着什么。语义版本、边界处理和政策来源也是证据。

后继 RFC 证明的是规范更替，不是 RFC 1455 曾经普及，更不是今天的 DSCP 仍承载它的物理安全请求。

从请求到结果的九层记录

发送方偏好 → 节点识别码值 → 当前本地成本政策 → 计算出的路由 → 实际转发路径 → 线路与路由器物理状态 → 加密与密钥状态 → 端点授权 → 对指定对手的观察结果

每个箭头都更换证据保管者。发送者能证明自己标了什么；网络能证明加载了哪张表；遥测能证明包去了哪里；设施和密钥记录能证明保护条件；只有边界清楚的观测才能说明对手获得了什么。

RFC 1455 没有完成这条链。它更可贵的地方，是没有让链头冒充链尾。

来源与边界

RFC 1455 的 RFC Editor 记录给出发布时间、实验状态和废止关系；RFC 1455 全文定义请求、威胁模型、成本示例和限制；RFC 1349说明枚举语法、弱 TOS 回退及非保证性质；RFC 1108记录另一套安全分级机制；RFC 2474 的 RFC Editor 记录确认后来的字段替换。

这些资料能证明规范说过什么，不能证明 RFC 1455 的部署率、真实成本表、拦截概率、某条受保护路径、当前法律状态、成功保密或今日操作建议。