7. 安全考虑 (Security Considerations)

RFC 9960 继承 RFC 9524 中 Replication segments 的安全考虑. SR domain 必须按 RFC 8402, RFC 8754 和 RFC 8986 所述防护外部攻击者.

如果 SR-MPLS domain 未通过正确的 per-interface MPLS provisioning 加以保护, 外部攻击者可能向使用域内 SR P2MP Policies 的 multipoint service receivers 发送 packets.

如果 SRv6 domain 未在 external interfaces 上使用 inbound Infrastructure Access Control Lists (IACLs) 保护, 且部署也未实现 RFC 2827 / BCP 38 或未在 provision SIDs 的 nodes 上应用 IACLs, 外部攻击者可能向这些 multipoint services 的 receivers 发送 packets.

Controller 错误配置 Replication segments 可能形成环路. 此时 replicated packets 会造成 packet storm, 直到 SR-MPLS 的 MPLS TTL 或 SRv6 的 IPv6 Hop Limit 降为 zero.

用于实例化 SR PTI Replication segments 的 control-plane protocols, 如 PCEP 和 BGP, 应依赖自身 security mechanisms, 包括 encryption, authentication 和 filtering.

对于 SRv6, RFC 9524 描述了 ICMPv6 Parameter Problem Code 2 的例外. 如果攻击者能将 packet 注入 multipoint service, 使用某节点 source address, 并携带标记为 mandatory 的 unknown option type extension header, 大量 ICMPv6 Parameter Problem messages 可能对 source node 造成 denial-of-service attack.