6.1.1.1. Problèmes de Middlebox (Middlebox Issues)

ECN introduit les drapeaux ECN-Echo et CWR (comme montré dans la Figure 3) dans l'en-tête TCP pour l'initialisation. Il existe certains pare-feu défectueux, équilibreurs de charge et systèmes de détection d'intrusion dans Internet qui abandonnent les paquets SYN de configuration ECN ou répondent avec un RST, considérant de tels paquets (avec ces bits définis) comme une signature d'outils de scan de ports qui peuvent être utilisés dans des attaques par déni de service. Certains dispositifs problématiques ont été identifiés, et la page Web [FIXES] contient une liste de produits non conformes avec des correctifs publiés par les fournisseurs (si disponibles). La page Web TBIT [TBIT] répertorie certains serveurs Web affectés par ces dispositifs défectueux. Nous mentionnons cela dans ce document comme un avertissement à la communauté concernant ce problème.

Pour fournir une connectivité robuste même en présence de tels dispositifs défectueux, un hôte qui reçoit un RST en réponse à la transmission d'un paquet SYN de configuration ECN PEUT retransmettre le SYN avec CWR et ECE effacés. Cela peut entraîner l'établissement d'une connexion TCP sans utilisation d'ECN.

Un hôte qui ne reçoit pas de réponse à un SYN de configuration ECN dans l'intervalle normal de temporisation de retransmission SYN PEUT retransmettre le SYN avec CWR et ECE effacés ainsi que toute retransmission SYN ultérieure. Pour surmonter une perte de paquets normale qui a causé la perte du SYN original, l'hôte initiateur peut retransmettre un ou plusieurs paquets SYN de configuration ECN avant d'abandonner et de retransmettre un SYN avec les bits CWR et ECE effacés.

Nous notons que dans ce scénario, le scénario d'exemple suivant est possible :

(1) Hôte A : Envoie un SYN de configuration ECN. (2) Hôte B : Envoie un SYN/ACK de configuration ECN, le paquet est abandonné ou retardé. (3) Hôte A : Envoie un SYN non de configuration ECN. (4) Hôte B : Envoie un SYN/ACK non de configuration ECN.

Nous notons que dans ce cas, en suivant les procédures ci-dessus, ni l'hôte A ni l'hôte B ne peuvent définir le bit ECT sur les paquets. De plus, une implication importante des règles de la Section 6.1.1 concernant la configuration et l'utilisation d'ECN est qu'il est interdit à un hôte d'utiliser la réception d'un paquet ECT comme signal implicite que l'autre hôte prend en charge ECN.