RFC 3069：掩码承诺邻居，VLAN 要求路由器介入

摘要

RFC 3069 让独立客户 VLAN 共用一个 IPv4 前缀和默认网关，回收原本被网络号、定向广播、网关和增长预留占用的地址。
主机仍会根据掩码把同前缀地址视作链路内邻居，因此 super-VLAN 路由器必须以类似 Proxy ARP 的方式回答；真实邻接和反欺骗依据存在于路由器绑定，而不在前缀本身。

2001 年 2 月发布的 RFC 3069 是信息性文档，并非互联网标准。它针对大型交换 LAN 和城域网中的具体浪费：每个客户拥有一个子网时，容量必须按二次幂向上取整，还要分别保留网络号、定向广播地址与默认网关。

文档中的三个客户预计需要十、五和一台主机。传统的 /28、/29、/30 总计占用 28 个地址，才能容纳 16 台计划中的主机。客户 A 若只使用三个地址，其余预留不能借给客户 C；C 增加一台机器时，要么重编号，要么再获得一个子网。

super-VLAN 改变了计量单位。三个客户都使用 1.1.1.0/24 和网关 1.1.1.1，但继续处于独立的 sub-VLAN 广播域。网络号、一个广播地址、一个网关和十六台主机只需十九个地址。空余地址留在共同池中，扩容无需更换客户掩码或网关。

这是真实的节省，却不意味着客户进入了同一条以太网。

IPv4 主机先用掩码判断目的地址是否在本地。1.1.1.2/24 会把 1.1.1.12 看作同一前缀，因此不会先交给默认网关，而会通过 ARP 询问目的硬件地址。

在 RFC 3069 的结构里，两者可以属于不同 sub-VLAN。ARP 广播不能越过二层边界。IP 计算称它为邻居，交换结构却说它在另一个房间。

于是 super-VLAN 路由器可以执行类似 Proxy ARP 的功能。RFC 1027 描述的透明子网网关会代替另一网络上的主机回答 ARP，给出网关自己的硬件地址，再转发收到的 IP 包。发送方以为自己解析了本地邻居，实际上接受了一个中介。

IPv4 地址没有因此失效；改变的是“本地”的含义。前缀表达三层范围，VLAN 规定二层广播受众，路由器选择性地把二者接起来。一个正确掩码不再足以证明直接邻接。

传统设计把客户边界编码在前缀中。聚合取消重复开销，却不能取消“哪个地址属于哪个客户”这一事实。它被移入地址范围与 sub-VLAN 的配置绑定。

RFC 3069 因此建议使用黏性分配。若某个 sub-VLAN 收到的 IP 或 ARP 包，其源地址不在该 VLAN 获准的范围内，路由器应丢弃，并可记录管理事件。否则一个客户即使没有越出共享 /24，也能冒用另一客户的地址。

安全证据便不再是一条格式正确的源地址或一次成功 ARP。需要同时看到入口 VLAN、授权范围、当前邻居或代理状态、过滤决定、转发路径与目的结果。路由器成为地址托管和客户隔离相遇的控制面。

文档有意省略实现细节，因为功能都留在本地 super-VLAN 路由器。它报告 Extreme Networks 的实现已在服务商数据中心运行一年多，却只把其他厂商的开发称为传闻。这能证明一项作者报告的部署经验，不能证明广泛采用或互操作性。

定向广播最直接地暴露了错位。/24 的全一主机地址无法自然选择多个独立客户 VLAN，RFC 3069 因此不支持定向广播。RFC 2644 已因安全风险要求路由器默认禁用它，但旧企业应用仍可能依赖这种语义；这里还多了一层拓扑不兼容。

组播也依赖已经被拆开的映射。反向路径转发检查要知道发送者应从哪条路径可达。当一个前缀散布于多个 VLAN，组播路由器可能需要类似主机路由的发送者状态。后来的 RFC 4562 还指出，每客户 VLAN 会令组播逐 VLAN 复制，并受基本 4096 个 VLAN 标识符上限约束。

“子网”过去同时承担分配单位、链路内判断、广播范围、组播上下文与管理边界。RFC 3069 保留了分配单位，把其余含义交给新的执行状态。

CIDR 通过按拓扑聚合地址来约束全球路由状态。RFC 3069 在接入网络内部做了另一种聚合：既然路由器能另行维持隔离，就不必为每个客户支付固定子网开销。但聚合从来不会自行执行政策。

用 Lu Heng 的运行代码视角看，配置中的 /24 只是紧凑符号。实际系统由 VLAN 成员、地址范围、代理回答、转发表、组播状态和丢弃计数器组成。掩码截图不能证明隔离；ping 成功不能证明伪造源被拒绝；ARP 表项不能证明客户当前仍获准使用该地址。

RFC 3069 的历史意义不是消灭子网语义，而是计算其成本，并选择哪些含义留在前缀、哪些搬入路由器。IPv4 利用率提高了，权力与故障也集中到了必须可审计的本地设备中。