لم يفهم الموجّه السمة، ولذلك مرّرها: بتّ Partial في BGP وسلطة الجهل

الخلاصة

• تسمح فئة السمات الاختيارية الانتقالية بأن يمر امتداد جديد عبر أجهزة لم تنفذ دلالته. إذا قبل المتحدث المسار وأعاد إعلانه، فعليه إبقاء السمة وضبط Partial على 1؛ ولا يجوز لنظام مستقل لاحق محو هذه العلامة.
• Partial أثر دائم لغياب الحيازة الدلالية الكاملة، وليس فحص نزاهة. لا يحدد العقدة التي جهلت النوع، ولا يوثق المصدر، ولا يثبت صحة القيمة أو موافقة الشبكات على معناها السياسي.
• قد يتخلص التعامل المنقح مع أخطاء UPDATE من السمة أو يعامل المسارات كمسحوبة مع بقاء الجلسة. لذلك يجب وصل البايتات المستلمة والمرسلة بالفعل المحلي وحالة RIB وFIB وحركة الحزم.

عند الساعة 02:10 يختبر مشغّل سمة سياسة جديدة بين موقعين تحت السيطرة. حافة المنشأ تشغّل الإصدار الجديد، وموجّه العبور في الوسط لا يعرف رمز النوع، أما الحافة المستقبلة فقد رُقّيت وتعرف كيف تفككه.

الإطار الخارجي لرسالة UPDATE صحيح: أعلام، ونوع، وطول، وقيمة، وبادئة IPv4. يستطيع موجّه العبور معرفة حدود السمة، لكنه لا يملك مفسّر معناها. وبما أن Optional وTransitive مضبوطتان، يقبل المسار ويحفظ البايتات ويضبط Partial ثم يرسله إلى الطرف الآخر.

هناك تنتقل سلطة الحكم. يعرف المستقبل النوع ويطبق قواعده الداخلية، فيكتشف أن القيمة غير صالحة. الإجراء المحدد هو treat-as-withdraw: يزول المسار من Adj-RIB-In، لكن اتصال TCP ورسائل KEEPALIVE يستمران. وما زال موجّه العبور يعدّ البادئة. الذي اختفى فقط هو مسار العميل في الأسفل.

المشهد افتراضي، أما الحد فحقيقي. صُمم BGP كي تحمل الشبكة معلومات مستقبلية عبر متحدثين أقدم، من دون ترقية عالمية متزامنة. ثمن هذه القابلية للتطور أن الموجّه قد ينقل دلالة لا يستطيع فحصها، وأن ترقية لاحقة قد تجعل جسماً ظل مبهماً زمناً طويلاً قابلاً للفهم والرفض.

أربعة بتات، وأربعة وعود مختلفة

للبتات العليا الأربعة في Attribute Flags وظائف منفصلة. تميز Optional الامتداد من السمات well-known التي يجب أن تعرفها كل التطبيقات. تقرر Transitive إن كانت السمة الاختيارية المجهولة تستطيع عبور حد BGP. يسجل Partial أن معلومات السمة الاختيارية الانتقالية غير كاملة. أما Extended Length فلا يفعل سوى اختيار حقل طول من بايت واحد أو اثنين. البتات الدنيا الأربعة محجوزة.

يجب فهم السمة well-known؛ تكون Transitive فيها 1، لكن Partial يجب أن يبقى صفراً. وقد تكون السمة الاختيارية غير الانتقالية نافعة بين أجهزة متوافقة، إلا أن المستقبل الذي لا يعرفها يتجاهلها بصمت ولا يمررها، ويكون Partial فيها صفراً أيضاً.

مساحة التطور هي السمة الاختيارية الانتقالية. لا يفترض RFC 4271 أن يعرف كل تطبيق كل امتداد. ينبغي عادة قبول المسار الذي يحمل سمة مجهولة من هذه الفئة. وإذا أُعيد إعلانه، تسافر السمة معه ويُضبط Partial على 1.

هذا وعد ضيق: حيازة للبايتات لا فهم للدلالة. يعرف الموجّه الحدود والرمز والأعلام، لكنه لا يعرف هل القيمة مأذون بها تجارياً، أم موثقة المصدر، أم سليمة داخلياً، أم آمنة لمفسر سيظهر في المستقبل.

لا يمنح Extended Length شهادة للمحتوى. إنه يغير عرض حقل الطول فقط. قد يكون الجسم محدد الحدود تماماً فيما تكون لغته الداخلية تالفة. يحفظه الجهاز القديم تحديداً لأنه لا يملك المنطق الذي يكشف الخلل.

Partial ليس درجة ثقة

قد يوحي الاسم بأن القيمة «معطوبة» أو «غير متحققة» أو منخفضة الثقة. تعريف البروتوكول أضيق. حين يمرر متحدث سمة اختيارية انتقالية لا يعرفها، يضبط Partial. وإذا عرف متحدث لاحق السمة ووجد البت مضبوطاً، فلا يجوز له إعادته إلى الصفر. كذلك يضبطه متحدث غير المنشأ إذا أضاف سمة جديدة من هذه الفئة.

إذن تقول العلامة إنه لا يمكن افتراض سلسلة كاملة من الحيازة الدلالية منذ المنشأ. لا تقول أي نظام مستقل كان جاهلاً، ولا تسرد من فهم الجسم، ولا تثبت أن تعديلاً مسموحاً وقع، ولا أن المرسل كان مخولاً بإرفاقه.

وليست Partial موثقة تشفيرياً. إنها بت داخل UPDATE ترث حد الثقة في الجلسة والسلسلة التشغيلية. لا تعوض تحقق المنشأ أو سياسة العلاقة أو حماية النقل أو أصل الإعداد أو دليل مستوى البيانات.

قيمتها في تواضعها: تحفظ اعترافاً بأن الجسم عبر حداً لم تكن فيه ملكية المعنى كاملة. هذا الاعتراف يستدعي تحقيقاً وسياسة محدودة، لا ثقة تلقائية ولا رفضاً شاملاً.

الترقية تنقل حد المعرفة

«مجهول» ليست صفة دائمة لرمز النوع؛ إنها نسبية إلى التطبيق والإصدار وعائلة العناوين والميزة المفعلة والزمن. قد تكون البايتات نفسها مبهمة يوم الثلاثاء، ومقروءة يوم الأربعاء.

حين يكون النوع مجهولاً، يمكن حفظ المحتوى بلا تحقق داخلي. وحين يصبح معروفاً، تطبق قواعده: الأعلام المسموحة والطول والبنى الفرعية والدلالة وإجراء الخطأ. قد تؤدي قيمة مرت لأشهر إلى attribute discard أو treat-as-withdraw عند أول مفسر، أو بعد ترقية عقدة قائمة.

لا يثبت ذلك تراجعاً بالضرورة. ربما كان الإصدار الجديد أول من يستطيع كشف عطب حقيقي. وربما نفذ موجّه العبور القديم القاعدة الأساسية بدقة. ينشأ الحادث من تلاقي تبنّ غير متزامن، وانتقال مبهم، وحد دلالي أصبح نشطاً حديثاً.

لهذا تحتاج كل ترقية إلى جرد سابق للمسارات ذات السمات المجهولة: الرمز، والأعلام، والطول، وبصمة القيمة، والجار، وAFI/SAFI، وNLRI المتأثرة، وحالة Partial. وبعدها يُسأل: أي الرموز أصبحت معروفة؟ ما التحقق الذي بدأ؟ ما الإجراء؟ وأي المسارات تغيرت؟

من دون هذا الجرد تصبح خسارة المسار «مشكلة برمجية» عامة. ومعه يمكن الفصل بين خلل المفسر، والرفض الصحيح، والاحتواء المفرط، ومرسل خالف عقد السمة.

بقاء الجلسة لا يعني بقاء الخدمة

كان نموذج أخطاء BGP-4 الأصلي قادراً على إعادة ضبط جلسة كاملة بسبب سمة تالفة واحدة، فيزيل معها مسارات صحيحة لا علاقة لها. وزادت السمات الاختيارية الانتقالية الخطر لأن العقد الجاهلة تستطيع توزيع قيمة غير مفحوصة على عدد كبير من المستقبلين الذين يعرفونها.

يحصر RFC 7606 أخطاء كثيرة في ثلاثة إجراءات مهمة. يبقى session reset الأقوى. يزيل treat-as-withdraw مسارات UPDATE المعيبة من Adj-RIB-In مع إبقاء الجلسة. أما attribute discard فيزيل السمة ويتابع معالجة الإعلان.

هذه ليست درجات خطورة بسيطة. قد يكون حذف السمة أشد تضليلاً من سحب المسار: تبقى إمكانية الوصول، لكن الدلالة التي كان يفترض أن تؤثر في الاختيار أو التثبيت تختفي. لذلك يُحصر discard أساساً في سمة لا تؤثر في تلك القرارات، ما لم يثبت تحليل خاص خلاف ذلك.

يظهر treat-as-withdraw الفشل كخسارة مسار، لكنه قد يختفي عن مراقبة تركز على الجلسة. الجار Established، والمؤقت سليم، وKEEPALIVE تصل. لا شيء من ذلك يثبت بقاء NLRI.

إذا خالفت Optional أو Transitive مواصفات سمة معروفة، يطلب RFC 7606 عادة treat-as-withdraw ما لم تضع مواصفة السمة إجراء آخر. تكرار MP_REACH_NLRI أو MP_UNREACH_NLRI يجعل كل المسارات في UPDATE كأنها مسحوبة مع إبقاء الجلسة؛ وفي أغلب السمات الأخرى تُهمل النسخ بعد الأولى. وإذا اجتمعت أخطاء متعددة، يطبق الإجراء الأقوى.

لذلك لا تكفي عبارة «يدعم RFC 7606». يلزم التصنيف الفعلي وقاعدة السمة ومجموعة المسارات النهائية. قد ينقذ التطبيق الجلسة كما يجب، ومع ذلك يقطع خدمة مهمة.

تحتفظ الشبكة المحلية بسلطة الاحتواء

تحمي قاعدة الانتقال قابلية التوسع، لكنها لا تلزم المشغّل بتمرير كل رمز مجهول عبر كل حد إنتاجي. يمكن طلب دليل المصدر والكلفة وأثر المصب قبل السماح.

تعرض وثائق Juniper الحالية خيارين مختلفين: إسقاط السمات الاختيارية الانتقالية المجهولة مع إبقاء المسار، أو سحب المسارات التي تحملها. ويمكن استثناء رموز بعينها وتطبيق القرار عالمياً أو على مجموعة أو جار. ويعرض readback للجار السمات المسقطة وتلك التي سببت سحباً.

هذه ضوابط محلية وليست قانون BGP عاماً. قد يبقي حذف السمة الحزم ويمحو دلالة يحتاجها المصب. وقد يحول سحب كل مسار يحمل رمزاً جديداً التبني التدريجي إلى انقطاع. والاستثناء الواسع يعيد التعرض الأول.

السؤال الصحيح ليس «هل نسمح بالمجهول؟» بل «أي رمز يعبر أي علاقة وأي AFI/SAFI، بعد أي دليل، وبأي إجراء عند الشك؟». قد تختلف الإجابة للعميل وroute server والعاكس الداخلي والنظير والمختبر.

توضح وثائق Cisco NX-OS مستوى الرؤية اللازم: سرد البوادئ ذات السمات المجهولة أو المسقطة، ثم إظهار الأعلام والنوع والطول والقيمة لمسار واحد. لا يستطيع عداد عام التمييز بين تجربة سليمة وجسم معيب ملتصق بمئات آلاف المسارات.

الانتقال حيازة لا موافقة

الموجّه الذي يحفظ سمة لا يفهمها لا يوافق على معناها؛ إنه ينفذ عقد نقل للمعلومات. الخلط بين الفعلين يصنع استنتاجات تجارية وأمنية خاطئة.

إذا عبّرت السمة عن فئة خدمة، فلا يعني حملها عبر نظام عبور جاهل أنه يقدم الخدمة أو يتحقق من أهلية العميل أو يقبل المسؤولية. لا تحول Partial النقل إلى رضا. تحتفظ كل شبكة مستقبلة بعقدها وسياستها.

ولا يعني المجهول عدائياً، كما لا يعني رمز IANA المخصص آمناً. يمنح السجل الجسم هوية ثابتة، لكنه لا يثبت التزام المرسل أو خلو المفسر من عيوب الموارد والتحليل والمنطق.

توجد سيادة بيانات عملية حتى على البايتات المبهمة. تقرر الشبكة هل تدخل السجلات، وتعبر المستأجرين، وتغادر المجال، وتطلق إجراء مسار، أو تبقى للتحقيق. المبهم ليس بلا حارس.

ينبغي أن يحتفظ الدليل ببصمات البايتات الداخلة والخارجة، لا بنص CLI فقط. قد تطبع الواجهات الأعلام بصيغة موحدة أو تختصر القيم أو تخفي السمة. يثبت UPDATE الخام مع Adj-RIB قبل السياسة وبعدها هل حُفظ الجسم أو عُدّل أو أزيل.

يجب أن يجعل الاختبار الجهل قابلاً للرصد

لا ينبغي اختراع رمز عشوائي في جدول الإنترنت العام. مكان الاختبار هو المختبر أو علاقة ثنائية مضبوطة أو إجراء التخصيص الخاص بالامتداد الحقيقي: عدد قليل من البوادئ، ورمز معروف، وسياسة قابلة للرجوع، واختبار حزم مستقل.

تُحفظ أربع مراحل: UPDATE المنشأ ببايتاته؛ العقدة الجاهلة وPartial قبل وبعد والإعلان الخارج؛ العقدة العارفة وإصدار المفسر والتحقق والإجراء وAdj-RIB-In؛ ثم مستوى البيانات والمسار المختار وFIB والحزم.

تُجرّب قيمة صحيحة، وقيمة صحيحة الإطار خاطئة الدلالة، وسمة ضابطة مجهولة غير انتقالية. تنتج الأولى أثرها الموثق، والثانية إجراء الخطأ، وتتوقف الثالثة عند العقدة الجاهلة. بذلك نثبت التصنيف لا مجرد الوجود.

ثم تُرقى العقدة التي كانت جاهلة ويعاد UPDATE نفسه. قد يكون تغير النتيجة صحيحاً. هذه هي البروفة الأهم: المعرفة تنقل حد التحقق.

يحتاج الرجوع إلى ذراعين مستقلين. الأول يصلح السمة أو يزيلها عند المصدر، والثاني يحتوي النوع عند الحد بلا إعادة ضبط جلسات لا علاقة لها. إذا احتاج أحدهما إلى إصدار كود طارئ، فالاختبار غير جاهز.

أولوية الكود العامل حرفية هنا. تعطي المواصفة الآلية، لكن السلسلة المنشورة تقرر بقاء البايتات والمسار. الدليل هو UPDATE الملتقط، وانتقال Partial، والإجراء المحلي، وRIB، والحزمة التي وصلت.