1. 题目
一个移动客户端正在通过 HTTP/3 下载大文件。用户从 Wi-Fi 切到蜂窝网络后，客户端的源 IP 和 UDP 源端口都变了；产品希望下载继续进行，不因网络变化而重新完成一次完整连接建立。
请解释 QUIC 如何识别仍属于同一连接的数据包，描述迁移到新路径时的验证步骤，并区分 NAT 重绑定、客户端主动迁移和服务器迁移。还要说明连接迁移对负载均衡、状态管理、放大攻击防护、可观测性和隐私的影响。
2. 约束与澄清
- 讨论的是 RFC 9000 传输层语义；HTTP/3 只是承载应用，不改变 QUIC 的路径验证规则。
- 客户端和服务器已经完成握手，客户端拥有可用的备用连接 ID；若服务器只提供零长度连接 ID，迁移能力会受到部署约束。
- “连接保持”不等于旧路径上的每个数据包都可达。路径变化期间仍可能丢包、重排或触发拥塞控制重新探测。
- 题目不要求实现完整 QUIC 栈，重点是状态机、攻击面和可验证的诊断信号。
3. 核心机制：连接 ID 脱离地址四元组
TCP 通常用本地地址、远端地址、本地端口和远端端口的四元组定位连接；移动网络切换会改变四元组。QUIC 在握手后使用 Destination Connection ID（DCID）和 Source Connection ID（SCID）把数据包映射到连接状态，因此新路径可以继续携带同一连接的标识。
连接 ID 由端点生成并通过 NEWCONNECTIONID 帧提供给对端。端点还维护序列号、重置令牌和可用 ID 数量；旧 ID 可以通过 RETIRECONNECTIONID 回收。连接 ID 不应把用户 IP、账号或可推断的稳定身份直接编码进去，否则会扩大可关联性和隐私风险。
4. 迁移与路径验证流程
客户端发现源地址变化后，可以在新路径使用备用 DCID 发送数据，并携带 PATHCHALLENGE。服务器在新路径返回 PATHRESPONSE，客户端据此确认对端能接收并返回该路径的数据。验证前，端点必须限制对新地址的发送量，避免被伪造地址诱导放大流量。
on_packet(packet, source_address):
conn = lookup_by_destination_connection_id(packet.dcid)
if conn is unknown:
reject_or_handle_as_new_connection()
elif source_address == conn.validated_path:
process_with_current_congestion_state()
else:
mark_possible_new_path(source_address)
send_path_challenge_on_new_path()
cap_bytes_sent_until_validation()
on_path_response(token, source_address):
if token matches outstanding_challenge:
conn.validated_path = source_address
switch_active_path()
update_congestion_and_rtt_measurement()路径验证证明数据包能往返，不证明该地址属于某个用户，也不自动证明旧路径已经失效。实现必须处理同时存在的旧路径和新路径、乱序响应、重复挑战、超时以及新路径验证失败。
5. 三种情况与系统影响
NAT 重绑定是中间设备改变外部端口或映射，但端点观察到的地址变化可能是被动的。RFC 允许端点在满足条件时继续使用连接，而不把每次端口变化都当成客户端主动迁移；实现仍应完成路径验证并重新测量 RTT 与拥塞状态。
客户端主动迁移通常发生在网络接口切换，客户端选择备用连接 ID 在新地址发送。服务器迁移则受协议规则和实现支持限制，不能把“服务器换了出口 IP”简单当成对称操作。连接 ID 轮换还能减少不同网络路径之间的关联，但日志和风控系统需要用受控的连接标识关联同一会话。
负载均衡器必须根据 DCID 把同一连接路由到能恢复状态的后端，或让共享状态层保存加密握手和传输状态。只按五元组粘滞会在地址变化后失效。观测上应记录路径验证结果、迁移次数、旧路径与新路径 RTT、丢包、重传和连接 ID 生命周期，而不记录未经保护的用户标识。
6. 追问与陷阱
- 为什么不能直接接受任意新地址？ 攻击者可伪造源地址，诱使服务器把大量响应发送给受害者；路径验证和发送量限制降低放大风险。
- 连接 ID 是永久身份吗？ 不是。端点可以轮换、撤回并限制 ID 的存活；应用不应把它当作用户身份或跨连接追踪键。
- 迁移后是否保留全部拥塞状态？ 不能盲目照搬。新路径容量和 RTT 可能不同，应重新探测并避免突发发送；实现可以保守地继承部分状态，但必须有验证和回退策略。
- 代理或四层负载均衡会破坏迁移吗？ 如果设备终止 QUIC、改写 DCID 或无法把新路径路由到原后端，迁移可能退化为新连接；部署必须明确连接 ID 编码、状态归属和健康转移协议。
7. 验证与排障清单
- 抓包对齐： 关联握手产生的 DCID/SCID、
NEWCONNECTIONID、PATHCHALLENGE和PATHRESPONSE，确认地址变化前后仍映射到同一连接。 - 注入网络变化： 在测试中切换接口、触发 NAT 端口变化、延迟或丢弃路径验证响应，观察是否限流、重试并最终回退。
- 检查路由与状态： 对比负载均衡器的 DCID 路由、后端连接表和连接 ID 退休记录，确认没有只依赖旧五元组。
- 检查安全信号： 统计未知 DCID、验证失败、异常迁移频率和放大字节比，避免把攻击流量当成普通移动性。
8. 面试评分点
能解释连接 ID 与四元组差异
候选人应说明地址变化为何会影响 TCP 四元组，以及 QUIC 如何用 DCID/SCID 找回连接状态。
能讲清路径验证和放大防护
应提到 PATHCHALLENGE、PATHRESPONSE、发送量限制、旧新路径并存和验证失败回退。
能区分迁移、重绑定和部署边界
应区分 NAT 重绑定与主动迁移，并覆盖负载均衡、代理终止、共享状态和连接 ID 轮换。
能给出可验证的排障方案
应提出抓包、网络故障注入、DCID 路由检查和安全指标，而不是只说“QUIC 运行在 UDP 上所以更快”。