9.2.1.3. Änderungen an der IPsec-Tunnel-Header-Verarbeitung (Changes to IPsec Tunnel Header Processing)

Für vollständige ECN-Unterstützung werden das IPv4-TOS-Feld und das IPv6-Traffic-Class-Feld in der Encapsulation- und Decapsulation-Verarbeitung von dem in [RFC2401] angegebenen zu Folgendem geändert:

                    <-- Wie äußerer Hdr sich auf inneren Hdr bezieht -->
                    Äußerer Hdr beim              Innerer Hdr beim
IPv4                Encapsulator                  Decapsulator
  Header-Felder:    --------------------          ------------
    DS-Feld         kopiert vom inneren Hdr (5)   keine Änderung
    ECN-Feld        konstruiert (7)               konstruiert (8)

IPv6
  Header-Felder:
    DS-Feld         kopiert vom inneren Hdr (6)   keine Änderung
    ECN-Feld        konstruiert (7)               konstruiert (8)

(5)(6) Wenn das Paket unmittelbar in eine Domäne eintritt, in der der DSCP-Wert im äußeren Header unangemessen ist, MUSS dieser Wert auf einen angemessenen Wert für diese Domäne abgebildet werden [RFC 2474]. Siehe auch [RFC 2475] für weitere Informationen.

(7) Wenn der Wert des ECN Tunnel-Feldes im SAD-Eintrag für diese SA "allowed" ist und das ECN-Feld im inneren Header auf einen beliebigen Wert außer CE gesetzt ist, kopieren Sie dieses ECN-Feld in den äußeren Header. Wenn das ECN-Feld im inneren Header auf CE gesetzt ist, setzen Sie das ECN-Feld im äußeren Header auf ECT(0).

(8) Wenn der Wert des ECN Tunnel-Feldes im SAD-Eintrag für diese SA "allowed" ist und das ECN-Feld im inneren Header auf ECT(0) oder ECT(1) gesetzt ist und das ECN-Feld im äußeren Header auf CE gesetzt ist, kopieren Sie das ECN-Feld vom äußeren Header zum inneren Header. Andernfalls nehmen Sie keine Änderung am ECN-Feld im inneren Header vor.

(5) und (6) sind identisch, um mit der Verwendung in [RFC2401] übereinzustimmen, obwohl sie in [RFC2401] unterschiedlich sind.

Vollständige Funktionalität

Die obige Beschreibung gilt für Implementierungen, die das ECN Tunnel-Feld in der SAD unterstützen; solche Implementierungen MÜSSEN diese Verarbeitung anstelle der in [RFC2401] definierten Verarbeitung für das IPv4-TOS-Oktett und das IPv6-Traffic-Class-Oktett implementieren. Dies stellt die Full-Functionality-Alternative für die ECN-Verwendung von IPsec-Tunneln dar.

Eingeschränkte Funktionalität

Implementierungen, die das ECN Tunnel-Feld in der SAD nicht unterstützen, MÜSSEN diese Verarbeitung implementieren, indem sie annehmen, dass der Wert des ECN Tunnel-Feldes für jede SA "forbidden" ist. In diesem Fall reduziert sich die Verarbeitung des ECN-Feldes auf:

(7) Setzen Sie das ECN-Feld im äußeren Header auf Not-ECT. (8) Nehmen Sie keine Änderung am ECN-Feld im inneren Header vor.

Dies stellt die Limited-Functionality-Alternative für die ECN-Verwendung von IPsec-Tunneln dar.

Abwärtskompatibilität

Für Abwärtskompatibilität gilt: Wenn Pakete mit gesetztem CE-Codepoint im äußeren Header auf einer SA ankommen, die die Limited-Functionality-Option verwendet, oder wenn solche Pakete auf einer SA ankommen, die die Full-Functionality-Option verwendet, aber Not-ECN-Codepoint im inneren Header gesetzt hat, SOLLTEN diese Pakete verworfen werden.