Pakke

Pakkekobling blev udtænkt uafhængigt af Paul Baran hos RAND i begyndelsen af 1960'erne, som "message blocks" i et robust, decentralt netværk, og af Donald Davies på det britiske National Physical Laboratory, som fandt på ordet "packet" i 1965; ARPANET gjorde idéen til virkelighed fra 1969. Strengt taget skifter betegnelsen med laget: Linklaget sender frames, IP sender pakker (eller datagrammer), TCP sender segmenter, og UDP sender datagrammer. Hvert lag indkapsler laget ovenover, så en typisk Ethernet-frame indeholder en Ethernet-header på 14 byte, en IPv4-header på 20 til 60 byte, en TCP-header på mindst 20 byte, selve indholdet og en frame check sequence på 4 byte.

IPv4-headeren (RFC 791) rummer version og headerlængde, DSCP/ECN-bits til servicekvalitet og signalering om trængsel, samlet længde, et identifikationsfelt, flagene DF og MF samt fragment offset til fragmentering, time to live (TTL), protokolnummeret for indholdet (6 for TCP, 17 for UDP), en header-checksum og kilde- og destinationsadresse. IPv6 (RFC 8200) erstatter det med en fast header på 40 byte med hop limit, flow label og en kæde af extension headers og har ingen header-checksum. Hver router tæller TTL eller hop limit ned og kasserer pakken ved nul med en ICMP Time Exceeded-besked tilbage; det er præcis det, traceroute udnytter til at kortlægge vejen.

Pakkestørrelsen begrænses af hver forbindelses MTU, 1500 byte nyttelast på almindeligt Ethernet, hvilket giver en maksimal TCP-segmentstørrelse (MSS) på 1460 byte over IPv4 uden options. IPv4-routere må fragmentere pakker, hvor DF ikke er sat, mens det i IPv6 kun er afsenderen, der fragmenterer, og alle forbindelser skal kunne bære mindst 1280 byte. Path MTU Discovery (RFC 1191 for IPv4, RFC 8201 for IPv6) afhænger af ICMP-beskederne "Fragmentation Needed" og "Packet Too Big", så firewalls, der blokerer al ICMP, skaber sorte huller: Små forespørgsler virker, men store overførsler hænger - et klassisk symptom, efter at der er indført VPN-tunneler, hvis ekstra headere mindsker den brugbare MTU.

Pakker kan gå tabt, blive dubleret, komme i forkert rækkefølge eller blive beskadiget, og IP gør ikke selv noget ved det; genopretning er transportlagets eller applikationens opgave. Sikkerhedsværktøjer arbejder i forskellige dybder: Tilstandsløse filtre læser kun headere, stateful firewalls tilføjer kendskab til flowet, og deep packet inspection samler strømme igen for at se på indholdet. Fragmentering og overlappende segmenter er længe blevet brugt til at få netværksstakke til at gå ned (Teardrop, Ping of Death) og til at undgå IDS'er, der samler pakkerne anderledes end målmaskinen - et problem, Ptacek og Newsham beskrev i 1998. Til efterforskning giver fuld pakkeopsamling (pcap-filer fra tcpdump eller Wireshark) det komplette bevis, men er dyr at opbevare, mens flow-data som NetFlow eller IPFIX kun gemmer metadata; og når det meste trafik alligevel er krypteret med TLS, er metadata i stigende grad det eneste, der kan undersøges.