Web的“珍珠港事件”

　　2003年9月15日，VeriSign公司的工程师按了一个按钮，启动了SiteFinder，这项服务可以引导那些在键入网址时没有区分.com和.net的用户到达一个VeriSign的搜索引擎，从而不会出现通常的“页面不存在”的错误信息。

　　几分钟内，这些新代码就在VeriSign控制的全球范围的.com和.net域名路由体系内掀起了波澜。短短几个小时，按照ICANN的说法，它已经开始妨碍并在某些方面使许多邮件滤波器、E-mail应用和一系列搜索服务变得不可用，因为这些应用都是基于能够获得“页面不存在”错误信息而设计的。几天之内，技术群体和ISP都公开大声疾呼:“谁乱写了这些新代码？”他们强烈要求ICANN取消这项新服务，并声称它“充分妨碍了一定数量的现有业务”和“相当程度上削弱了Internet的稳定性”。10月4日晚上，VeriSign取消了该服务。

　　未来的历史学家可能会把这个有趣的事件称为Web的“珍珠港事件”。从很多方面来说，它强有力地暗示着一场关于Internet命运的战争——彻底的改革与稳定性及安全性的斗争，商业利益与技术群体以及协调机构的斗争，个人创新与人们一致同意的协议之间的斗争。

　　SiteFinder揭开了一个关键的战场——是否应该给Internet的核心增加更多的智能以提高其安全性？增加网络核心的智能是否会给Web带来阻碍、限制改革创新、破坏所谓的全球端到端的联通原理？

　　“网络的全面商业化导致了VeriSign这样的新势力出现，当然，我对此一点也不感到高兴，”VintCerf说道。他是MCI技术战略的高级副总裁，因为在TCP/IP协议的设计中发挥重要作用而广为人知，是Internet之父之一。他表示:“他们闯入并篡改了网络的核心功能模块，对我们大多数人来说，这是不可接受的。”相反，VeriSign的CEOStrattonSclavos则说：“那些认为修改核心不是一件好事的人是出于好心，但是可能迷失了方向，他们不知道今天的网络是什么和将会变成什么样。”

　　与端到端原则再见

　　伴随着其他事件的接踵而来，VeriSign的发展似乎意味着Internet端到端原则洋洋得意的日子已经屈指可数了。8月份，一些ISP封锁了135端口，以回应对黑客可能利用MicrosoftWindows的RPC协议的缺陷而通过该端口进行攻击的警告。虽然很多企业和终端用户已经封锁了135端口，但还有一些仍在继续使用，比如利用MicrosoftOutlook连接到交换服务器，ISP封锁135端口后，这些连接被切断了。还有其他事件，例如据FredBaker(Cisco公司职员、IETF的前任主席)说，已经有三个国家由于经济原因宣布VoIP流量不合法。所有这些事件都违反了端到端的原理，在这个原理下，终端用户和应用可以知道整个网内发生的任何事情，双方能够了解端到端的协议。

　　根据Cerf的观点，Internet的分裂割据和端到端可见度的日益销蚀已经有差不多十年了。“由于日益增加的安全威胁和Internet的高速增长，”Cerf表示，“越来越多的智能设备的大规模配置，如防火墙和NAT设备，完全妨碍了端到端的原理。NAT设备允许大量机器共享同一地址，从而使ISP和企业能在IP地址紧缺的状态之下工作。”

　　“像我这样的建筑纯化论者觉得NAT设备是一种可憎的事物，”Cerf解释说，“它们使终端用户看起来好像网络仍然在端到端的原则之下工作，但是他们不知道的是这个家伙正在中间疯狂翻译。”Baker认为，NAT和中间设备是在做调和，利用未曾针对局部环境特别调节的网络时，新的应用就变得困难重重。

　　从安全性的观点来看，ISP不断地试图尽可能阻止来自它们用户上传信息中的恶意攻击部分，这意味着要在核心部分增加智能滤波设备，Symantec的CTORobClyde解释说。

　　从入口到出口，滤波器要阻止ICMPEchoReply攻击、挫败DoS攻击，通过简单地临时封锁某些地址和带有某种特征的地址组，ISP们获得了一点反抗力，Clyde认为。

　　“封锁坏流量同时也封锁了好的流量，”Clyde补充说，“这是ISP一直要冒的风险，并将是一个持久的权衡和选择。”

　　改革与性能

　　一种反对在核心增加智能属性的观点认为，Internet流量正在以超摩尔定律的速度增长，因此随着时间的流逝，在核心处装置额外的处理设备将难以跟上负荷的增长。

　　Internet 2的总工程师GuyAlmes宣称：“核心路由器处理分组必需的CPU周期数正在减少。”Internet2是一个为配置下一代网络技术而工作的大学联盟。“路由器正在以指数方式增长，不过它们面对的需求也是以指数方式增长的，但路由器的速度更快。”GuyAlmes说。

　　然而，多数反对在核心增加智能的人认为真正的问题是Internet的改革将让人很沮丧，因为新开发的应用将被限制在不被广泛接受的协议上，并被迫符合更多网关的要求。“我们希望能够自由地配置新的应用，”Cisco的Baker说，“很久以前，WWW全球万维网也是一个新的Internet应用。可是，如果我们试图在今天配置它，我们将发现做不到这一点了——我必须得说服无数网络管理者允许它通过防火墙——而且还必须有这样做的商业原因。”

　　对新功能的需求，如VoIP和视频应用，将驱使应用提供商和ISP们在核心配置更多的QoS和控制能力。“Internet创立者们的初衷是可以很清楚地观察到分层的结构、减少核心的智能，”MCI的Cerf说，虽然明知有很多种方法可以达到QoS的目标，“要么我们将把网络的核心分为两个层次，要么省下这笔钱建造一个更高容量的网络。我们在MCI就对此展开了争论。”

　　“这是一个难缠的问题。你不想将Internet又变回到电路交换的系统。”ICANN安全和稳定咨询委员会主席SteveCrocker说。Crocker不希望回复到古老的与Bell系统相似的模型，在中心交换机建立智能，具有很高的可靠性和稳定性，但要花数十年的时间来配置和升级。

　　Crocker认为，Net取得最大成功的事情是保持它的核心尽可能的简单，而把改革创新都推到边缘。制定标准的智慧是避免在核心放入任何不必需的东西，越少越好。可是VeriSign的Sclavos则否认这种观点，他认为在核心(包括DNS)放入更多的智能将使迅速增长的终端用户的需求得到最好的处理。

　　“我们已经看到消费用户的戏剧性增长，”Sclavos说，“当我们购买网络解决方案时，我们每天处理十亿个DNS访问，现在则是100亿个，而且每18个月还将翻一倍。”在网络处于学院研究型的早期阶段时，将智能推到网络的边缘是有意义的，但现在由于网络的增长，它已经不再有意义了。

　　“网络必须有更多的智能来提供更好的路由和更好的安全性，”Sclavos说，“而且它必须位于核心路由系统中，如果你想获得对人们有意义的潜在价值的话。你希望核心处于复杂的地方，所以它对用户来说是隐藏的。我们已经获得了很多体验，简化网络边缘将更容易扩展。”

　　Sclavos强烈地暗示，现有的技术标准体系已经倒塌了，独立的新人和团体必须担负起定义和开发下一代Internet功能的任务，包括智能核心。“Internet的发展可能比制定标准的速度还要快，”Sclavos说，“我们将回到80年代和90年代初期，在各种力量驱动标准之间找到平衡和健康的心态。”

　　挽救标准委员会

　　Internet技术团体能否成功推动基于端到端协议的创新，可能将取决于那些标准的命运，如IPv6——一个全新的Internet寻址体系，用于代替目前的世界标准IPv4。

　　下一代Internet协议的弄潮儿——IPv6可能使NAT变得没有必要，它提供一个更广阔的IP地址库而且在单个平台上统一分割用户团体。与一个称为DNSSec(DNS安全)的相关协议一起，它将帮助实现更多额外的安全功能，如每个人都可以使用的密码和身份鉴定。问题在于，这些体系协议是否可以在不基于端到端应用的解决方案掌握市场以前，就能从委员会的认可变成广泛的应用。

　　“配置有一个困难的部分——实际应用，”ICANN的Coccker解释说，“经过一致同意的程序，协议才被确定，而这些协议的应用则由分散的个人或独立的组织分别完成，Internet上发生的事情就是这样，要么接着向下发展，要么不然。”Crocker还认为：“应用像IPv6这样的协议存在着天然的阻力，因为它不仅增加了系统的开销成本，还增加了计算和存储两者的成本。”他进一步解释说:“数据在寄存器中占据了更多的空间，而且签名和鉴定检查花费了计算时间，此外反馈信息很多，耗费了更多的传输。”虽然IPv6在教育机构和中国（在IPv4系统下地址储备不充分的国家）体现了早期的吸引力，但是在美国却面临着重大的障碍。

　　“整个产品的升级周期看起来十分复杂，所有的东西都必须改变，可能还要依靠政府来推动IPv6，”Symantec的Clyde说，“我认为单从工业界而言，并没有感觉到有不可抵抗的、强制性的需求去做这件事情。”

　　VeriSign的Sclavos也赞成配置Ipv6，他说：“Internet是世界上惟一一个这样的地方，在我们行动之前我们等着人们来敲我们的门。”他主张建立一套更快的应用机制来使Internet满足需求，应对威胁。他还宣称VeriSign已经成为一个可靠的DNS基础设施提供商，即使在经济萧条期仍在系统中投入了一亿多美元。“VeriSign可以畅所欲言地说改造核心是重要的，”ICANN的Crocker说，“没有人让他们相信他们做的是错的，但任何带有工程背景的人只要匆匆地看一眼这个想法就会说这不是一件好事。一个主要的玩家在单独行动，这是我们想要的做事方式吗？”

　　“如果VeriSign重新开发SiteFinder，”Sclavos说，“我们将更早地提供广泛的信息，包括由于该业务的开展而引起的变化。下一次我们将创造一个最佳的实践模型，由于一些边缘的事物被推毁了，我们应该更早地发布这个新闻。”

　　正如ICANN的Crocker提到的那样，有一件事是可以肯定的，SiteFinder事件“史无前例地将大量的人物卷入到这些问题之中”。（本文系IDG专稿，未经许可，请勿转载。）