网络全流与控制协议离线审计方案

2026-10-19 · E2离线 · partial · 30/66，发送0/5，Gate R未关

来源：site/devlog/p4-fixture-lab-device-network-send-plan-2026-10-19.md；源SHA-256 61ebec72922de8b71a27cb64e1e0c981611135148b9c028d889e63ab11f7370d

### 全流与非传输协议离线审计合同 · 2026-10-19

文档类型devlog增量，Lead定稿；基线a02f4a01。只读既有controlled-pair-a01与network-lifecycle-a01的全部原始pcapd/DTX及派生映射，不接手机、不新捕获、不回改历史数字。逐件独立stdlib读取长度前缀/索引/原件SHA；另行解Ethernet/IP/TCP/UDP及有界IPv6扩展，交叉全部已解端点/端口/长度。对其余原帧按真实EtherType、协议号与边界读取ARP、ICMP/ICMPv6、IGMP；不以family元数据覆盖实际版本，不把坏形状修成合法包。UDP 68→67只有BOOTP固定头、DHCP cookie和有界TLV/消息类型全部成立才称DHCP，不能按端口命名。依据RFC 826、792、2131、4861原文；不把格式识别当来源身份、scope或完整性证明。

全部流保持接口/方向/协议/端点，不跨接口去重；分别统计无端点声明、唯一声明、同serial重复声明及跨serial歧义，不用重复声明次数充连接数，也不把同tuple当同生命。结合更新的负time初始量/非负time、serial/kind与协议候选关联，列有更新无声明、有声明无包及单向/跨协议歧义。不把pcapd30秒与DTX约19秒的不同时间窗未匹配包称丢失；旧受控stop缺24对象仍单列，不修补。输出必须可复核反例/原序号与SHA，公开只写脱敏汇总。结果决定下一取证需要证明的范围及可比层，Gate R仍不预判通过；不修改产品scope/公式，不进193/诊断/五轮/接收验收。

单来源≤200000包/256MiB、单件≤1MiB、DTX≤20000对象/64MiB、连接≤4096、流≤8192，输出≤64MiB；流式O(原件bytes+消息+包+端点候选次数)，不用全包列表或重复扫描全盘。host≥10GiB且≥预计新增两倍，单脚本30秒/192MiB，预计<5秒；先以合法/截断/版本矛盾/错误DHCP cookie与TLV等控制拒绝条件，再处理两批实规模，记录首输出/耗时/CPU/RSS/吞吐、I/O峰unknown。新离线审计无旧等价物，不虚构前后加速；产品和Lab未变，无新安装包。

分离复核只将全部非传输结果及DHCP候选的原帧逐字转为有原序号/SHA索引的选择性派生pcapng，交由系统tcpdump作第二格式reader；它明确是选帧复核，不是完整新捕获或独立采集源。独立逐帧核原字节、原source ticks和真实linktype；系统调用≤20秒、输出≤16MiB，不补伪Ethernet头、不隐藏版本矛盾。全部传输字段的第二解析覆盖与选择性系统协议识别分别报告，不互相替代。