Então você acha que entende fragmentação IP?

Artigo original ↗ Discussão no Hacker News ↗

A fragmentação IP e a descoberta de MTU de caminho acabam sendo, na prática, muito menos confiáveis e interoperáveis do que as especificações de IP sugerem, em grande parte porque roteadores, firewalls e middleboxes frequentemente descartam fragmentos ou mensagens ICMP por desempenho ou segurança. Os comentaristas exploram como isso quebra VPNs, DNS e outros protocolos baseados em UDP, por que muitos sistemas tentam ao máximo evitar fragmentação, e se designs alternativos como truncamento em voo ou um tratamento mais rígido na camada inferior teriam sido melhores. O fio, no fim, enquadra a fragmentação como um mecanismo legado e de último recurso em um mundo que cada vez mais espera que camadas superiores gerenciem explicitamente o tamanho dos pacotes.

ICMP, Descoberta de MTU e Comportamento Real de Roteadores

  • Muitas redes falham em gerar mensagens ICMP Time Exceeded / Too Big adequadas para IPv4/IPv6, muitas vezes por limitação de taxa ou filtragem geral de ICMP.
  • Alguns argumentam que isso efetivamente muda o “verdadeiro” padrão; outros veem isso como engenharia guiada por custo para manter os roteadores estáveis.
  • Path MTU Discovery (PMTUD) e suas variantes são descritas como frágeis, especialmente quando dispositivos intermediários silenciosamente descartam ICMP ou pacotes grandes demais.

Tratamento de Fragmentos por Firewalls e Histórias de Ataques

  • Vários comentários descrevem firewalls descartando fragmentos, ou até mesmo apenas o primeiro fragmento, levando a fluxos parciais bizarros.
  • Buffers de remontagem de fragmentos podem ser abusados em ataques DDoS; buffers grandes autoescalados e buscas lineares ingênuas fizeram alguns sistemas entrarem em colapso sob enxurradas de fragmentos impossíveis de remontar.
  • Alguns observam que descartar todos os fragmentos ainda é comum e “funciona” porque muitos endpoints nunca dependem de fragmentação de qualquer forma.

Debates sobre Camadas IP e o Design da Fragmentação

  • Uma linha de discussão argumenta que foi um erro os fragmentos não carregarem cabeçalhos de camada superior, o que simplificaria filtragem e roteamento.
  • Outros chamam isso de violação de camadas: IP não deveria precisar entender cabeçalhos de transporte, embora muitos roteadores modernos já espiem TCP/UDP para hashing e política.
  • Ideias como incluir um “próximo comprimento de cabeçalho” configurável ou um campo genérico de metadados são propostas, mas vistas como um acréscimo de complexidade de hardware para um recurso raramente usado.

Proposta: Truncamento em Voo em vez de Fragmentação

  • Um subfio importante explora substituir a fragmentação por roteadores truncando pacotes para caber no MTU do próximo salto e marcando-os.
  • Benefícios alegados: descoberta de PMTU em banda em uma ida e volta, sem dependência de ICMP, implementável em caminhos rápidos de dados e com pelo menos informação parcial entregue.
  • Críticos apontam problemas com checksums, complexidade de protocolo, incompatibilidades de MTU em L2, criptografia e caminhos em que quadros grandes demais já são descartados por switches.
  • Consenso: intrigante, mas não uma solução completa; ainda sofreria com muitas das patologias de PMTU de hoje.

Casos de Uso e Relevância da Fragmentação Hoje

  • Alguns afirmam que a fragmentação “nunca realmente teve um lugar” e há muito tempo é considerada prejudicial; sistemas robustos se esforçam ao máximo para evitá-la.
  • Outros a defendem para ambientes controlados ou embarcados (por exemplo, links unidirecionais, UDP em redes restritas, Automotive Ethernet com fragmentos fixos de 1500 bytes).
  • Relatos de dores reais aparecem para VPNs (por exemplo, WireGuard), onde a encapsulação reduz o MTU efetivo e caminhos mal configurados ou o tratamento de DF quebram a conectividade.
  • DNS e DNSSEC são discutidos: a tendência é evitar respostas UDP grandes ou usar TCP/outros transportes, mas futuras assinaturas pós-quânticas podem voltar a inchar as respostas.

Inspeção de Segurança e Fragmentos Sobrepostos

  • Sistemas IDS/IPS precisam remontar fragmentos e segmentos em alta velocidade, muitas vezes usando FPGAs/ASICs.
  • Fragmentos sobrepostos são uma ambiguidade conhecida; os padrões não definem claramente a precedência.
  • Isso pode levar a divergências entre aparelhos de segurança e endpoints, permitindo técnicas de evasão.

Censura, Roteamento e Discussão Paralela sobre VPN

  • Um tangente explora se firewalls nacionais que bloqueiam tráfego de saída podem ser contornados por conexões iniciadas de entrada e comportamento semelhante a túneis.
  • Outros respondem que tais regimes já permitem tráfego seletivo (por exemplo, comércio) e que a censura diz respeito a bloqueio baseado em conteúdo, não a isolamento absoluto.
  • Esse fio é em grande parte ortogonal à fragmentação; participantes observam que VPNs e túneis funcionam de modo semelhante independentemente da direção da conexão.

APIs, Padrões e Peculiaridades da Documentação

  • É notada confusão em torno do comportamento de IP_MTU_DISCOVER e da semântica do bit DF; a documentação é vista como ambígua em comparação com o comportamento real do kernel.
  • Surgem perguntas sobre definir DF em pacotes já fragmentados; a discussão observa que a especificação base não proíbe isso, mas casos de borda e bugs são uma preocupação.
  • Alguns questionam se faz sentido sondar PMTU quando pacotes podem seguir caminhos diferentes com MTUs diferentes; outros sugerem que ainda é a melhor aproximação disponível.