الخلاصة

  • لا يمنع RFC 8212 جلسة EBGP من الوصول إلى Established، لكنه يجعل المسارات المستلمة غير مؤهلة للاختيار عند غياب سياسة استيراد صريحة، ويمنع دخول المسارات إلى Adj-RIB-Out عند غياب سياسة تصدير صريحة.
  • الاستيراد والتصدير منحَتان محليتان مستقلتان لكل AFI/SAFI. ويمكن لقاعدة permit all الصريحة أن تستوفي شرط الوجود؛ لذا يمنع المعيار خطر السهو، لا سوء الحكم أو التفويض المتعمد الخطر.
  • قد تختلف القيمة الفعلية بين تثبيت جديد وعقدة رُقّيت إلى الإصدار نفسه. يثبت الانتقال الآمن نمط التشغيل وهوية السياسة وربطها ومجموعات المسارات قبل الترشيح وبعده ورؤية الجار وFIB والحزم.

يُستبدل موجّه حدودي قديم عند منتصف الليل. ينجح اتصال TCP على المنفذ 179، ويتبادل الطرفان OPEN والقدرات، وتصل آلة الحالات إلى Established. يرى المشغّل مدة الجلسة المتزايدة فيفترض أن BGP يعمل. لكن FRRouting يعرض (Policy)، ولا يظهر مسار IPv4 صالح واحد، بينما يعلن IPv6 ـ الموروث من قالب آخر ـ تجميعاً ضيقاً.

ليست هذه جلسة واحدة معطلة. إنها أربع قرارات سلطة منفصلة: استيراد وتصدير لعائلتين من العناوين. وقد يحوّل الإصلاح الأسرع ظاهرياً، مثل تعطيل الشرط عالمياً أو إرفاق سماح شامل، انقطاعاً محدوداً إلى حادث انتشار بلا حدود.

المجاورة النقلية ليست تفويضاً بالتوجيه

يفصل RFC 4271 آلة حالات BGP عن قواعد معلومات التوجيه. يمكن للمتحدثين إكمال OPEN وتبادل KEEPALIVE قبل أن يصبح أي مسار مؤهلاً للاختيار أو الإعلان. يعدّل RFC 8212 مراحل القرار والنشر اللاحقة، لا المصافحة نفسها.

في اتجاه الاستيراد، قد يصل UPDATE ويظهر في Adj-RIB-In أو في جدول ما قبل السياسة لدى التنفيذ، لكنه لا يدخل Decision Process من دون Import Policy صريحة. لذلك قد يثبت التقاط الحزم أن الجار أرسل المسارات بينما يبقى Loc-RIB فارغاً. عبارة «الجار لم يرسل شيئاً» تختلف إثباتاً عن «النظام المحلي لم يأذن بشيء».

في اتجاه التصدير، قد يوجد المسار في Loc-RIB وFIB ويخدم التحويل المحلي، لكنه لا يدخل Adj-RIB-Out الخاص بذلك الجار الخارجي من دون Export Policy. نجاح الوصول داخل الشبكة لا يثبت الوصول من الخارج.

هنا تقع حدود السلطة. يستطيع الجار أن يعرض مسارات، لكنه لا يستطيع إجبار المستقبل على استخدامها. ويستطيع النظام المحلي امتلاك مسار، لكن وجود اتصال خارجي لا يمنحه سبباً ضمنياً لكشفه. يحتاج كل اتجاه إلى فعل محلي مستقل.

بوابتان تتضاعفان مع عائلات العناوين

ليس الاستيراد والتصدير مفتاحاً ثنائياً واحداً. قد يقبل المشغّل default route ويعلن بادئات العملاء فقط، أو يرفض كل الوارد ويرسل تجميع صيانة، أو يفتح IPv6 قبل IPv4. لكل عائلة مفعّلة ربط سياسة ومجموعة مسارات خاصة بها.

يفسّر ذلك الأعطال غير المتناظرة. غياب سياسة استيراد IPv4 قد يترك جدول IPv4 المحلي صفراً مع استمرار التصدير. وغياب تصدير IPv6 قد يتيح استخدام المسارات المتعلمة محلياً بينما لا يرى الجار مسار العودة. تختزل شارة Established هذه الأبعاد الضرورية للتشخيص.

يجب أن يسمي الجرد الجار وVRF وAS المحلي والبعيد وAFI/SAFI والاتجاه ونقطة الربط. قول «السياسة موجودة على الجار» غامض جداً. فقد تمنح peer-group اتجاهاً واحداً فيما يلغي override لعائلة عناوين الاتجاه الآخر. وقد يوجد كائن السياسة في الإعداد المولّد من دون أن يرتبط بالمثيل الفعّال.

تظهر Minimum Initial Specification هنا بوصفها امتناعاً لا تصريحاً. فالحد الأدنى المشترك يقول إن غياب القرار لا يجوز أن يتحول إلى انتشار. لكنه لا يقرر أي بادئات أو origins أو AS paths أو communities أو علاقات أعمال يأذن بها كل مشغّل؛ تبقى تلك القرارات محلية.

الصراحة لا تعني السلامة

يعالج RFC 8212 خطر نسيان السياسة، لكنه لا يحكم على جودتها. تظل permit all المضبوطة عمداً سياسة صريحة. وتوثّق BIRD أن خياري all وnone الشاملين صالحان بوصفهما اختيارين صريحين، حتى مع اشتراط سياسات الإدخال والإخراج لـ BGP الخارجي.

ليست هذه ثغرة في المعيار، بل الحد الضروري بين default آمن للبروتوكول وسلطة المشغّل. قد يكون قبول الكل مبرراً في مختبر مضبوط أو تصميم route server أو انتقال قصير. أما العبارة نفسها على حافة transit للإنترنت فقد تكون كارثية؛ فلا يستطيع النحو البرمجي معرفة العقد التجاري.

حتى اسم المرشح قد يمنح طمأنينة كاذبة. ربما يشير route-map إلى prefix-set فارغة أو بناء IRR قديم أو فضاء communities خاطئ أو نسخة سابقة من السياسة. وربما يكون مرتبطاً بـ peer-group لكن إعداد الجار الفردي يحجبه. الوجود ليس سوى البوابة الأولى.

ينبغي أن يسجل الإثبات المحتوى المحلول وهويته المشفّرة، لا الاسم وحده. في الاستيراد تُقارن مدخلات pre-policy بالمسارات المؤهلة بعد السياسة وأسباب الاختيار. وفي التصدير تُقارن المرشحات قبل التصدير بـ Adj-RIB-Out بعده وبما شاهده المستقبل فعلاً. لا يصبح الصفر مشروعاً إلا بعد معرفة سببه: غياب السياسة، رفض صريح، أو عدم تطابق أي مسار مع منحة صحيحة.

قد تنقسم القيم الافتراضية أثناء الانتقال

يسمح RFC 8212 للتنفيذ بخيار خروج، ويصف ملحقه الانتقالي غير المعياري مسار N+1/N+2: يُقدّم insecure mode والتحذيرات أولاً، ثم يتغير default للتثبيتات الجديدة. قد تحتفظ عقدة رُقّيت عبر الإصدار السابق بسلوك متساهل، بينما ترفض عقدة ثُبّتت من الصفر على الإصدار نفسه.

لذلك يمكن لإصدار واحد ومقطع neighbour متشابه أن ينتجا نتيجتين متعاكستين. تستورد عقدة كل شيء لأن حالة الانتقال حافظت على السلوك القديم، ولا تستورد الأخرى شيئاً لأنها وُلدت بعد تغيير default. نسخ الإعداد المرئي لا ينسخ تاريخ المنشأ الخفي.

يوفّر FRRouting الأمر ebgp-requires-policy وطريقة تعطيله ومؤشرات (Policy) عند غياب المرشحات. ويشترط BIRD 3.3.0 سياسات صريحة لـ BGP الخارجي. هذه أسطح تشغيلية نافعة، لكنها ليست ضمانات عامة. يبقى الإصدار المنشور وتاريخ البدء والإعداد المولّد والقيمة الفعلية وقت التشغيل هي الدليل.

ينبغي أن تُحكم أي استثناءات insecure mode كما تُحكم منحة سلطة: مالك وسبب والجيران والعائلات المتأثرة ومجموعة المسارات الدقيقة وتاريخ انتهاء واختبار إزالة. يتحول مخرج انتقالي بلا انتهاء إلى بنية دائمة غير مرئية.

تفعيل السياسة انتقال حالة، لا مجرد تغيير إعداد

لا تثبت إضافة المرشح أن كل UPDATE قديم أُعيد تقييمه. قد يحتفظ التنفيذ بجدول import قبل السياسة، أو يطلب Route Refresh، أو يعيد تشغيل البيانات المحفوظة، أو يتطلب reset للجلسة. يسمح RFC 2918 للمستقبل بطلب إعادة إرسال التصدير الحالي، لكن الطلب يعتمد على القدرة المتفاوض عليها وعلى سياسة الطرف البعيد وقتها.

يجب أن يدخل مسار التفعيل في خطة التغيير. حين تصبح سياسة الاستيراد صالحة، يحتاج المشغّل إلى معرفة هل ظهرت المسارات من Adj-RIB-In محفوظ أم بعد refresh أم بعد reconnect. ويجب توقع الأعداد والصفات مسبقاً.

قد يكون تفعيل التصدير أخطر: يمكن لآلاف المسارات الموجودة أصلاً في Loc-RIB أن تصبح مؤهلة دفعة واحدة. ينبغي لمحرك السياسة حساب delta دقيقة في Adj-RIB-Out، وعلى الجار تأكيد المجموعة المتوقعة. إعمال الاستيراد والتصدير معاً يحجب أي منحة أنتجت الوصول أو التسريب.

تُفصل الاتجاهات زمنياً. يبدأ الطرفان بسياسة deny صريحة، ثم canary صغير للاستيراد، وبعده canary صغير للتصدير. يُراقب كل انتقال، ولا تتسع المنحة حتى تتطابق route-set مع العقد المعتمد.

الرفض الافتراضي أساس وليس نظام أمان كاملاً

يصف RFC 7454 مرشحات البادئات وAS-path وcommunities المصممة بحسب العلاقة. ويصنف RFC 7908 تسريبات المسار التي تخالف افتراضات الانتشار. ويضيف RFC 9234 أدوار BGP وOTC لجعل جزء من العلاقة قابلاً للقراءة الآلية. ويمكن لـ RPKI origin validation اختبار ما إذا كان AS مخولاً أن يكون origin لبادئة.

لا يحل أي منها محل السياسة الصريحة. فقد يكون المسار صحيح المنشأ وغير مرغوب. ولا يحدد OTC بادئات العميل كلها. ويحد maximum-prefix حجم الحالة بعد حد عدّ مختار، لكنه لا يقرر أي مسار يستحق القبول. يضمن default reject فقط ألا يصبح غياب الإعداد إذناً صامتاً.

الفائدة من الدرجة الثانية تنظيمية: يجبر default الفارغ شخصاً ما على تسمية المنحة وامتلاكها. أما الخطر من الدرجة الثالثة فهو الامتثال الطقوسي؛ إذ تنشئ الفرق سياسات سماح عامة لتحويل لوحة النشر إلى اللون الأخضر ثم تتوقف عن التفكير في العلاقة الحقيقية.

تمنع أولوية Running Code هذا الانزلاق. سطر الإعداد يعبّر عن النية. وتُظهر السياسة المترجمة وربطها مدخل التنفيذ. وتثبت RIB قبل وبعد أثر مستوى التحكم. وتثبت رؤية الطرف البعيد عبور الحد، بينما يثبت FIB والحزم الوصول التشغيلي.

يبدأ canary بلا شيء ويتنبأ بكل مسار

يُختار جار منخفض الأثر أو عائلة معزولة. تُنشأ الجلسة بلا سياسة استيراد أو تصدير. ويُثبت baseline المتوقع: ينجح OPEN وKEEPALIVE، وقد يظهر الاستلام قبل السياسة، ولا يوجد مسار مؤهل، ويبقى Adj-RIB-Out فارغاً.

ثم تُربط سياستا deny صريحتان. تبقى الأعداد صفراً، لكن وقت التشغيل يعبّر الآن عن منحة صفرية مقصودة بدلاً من غياب default. تُسجل هوية السياسة ومسار التفعيل.

تُسمح بادئة sentinel واحدة للداخل، وتُتوقع صفاتها وصورتها بعد الاستيراد وقرار اختيارها وnext hop في FIB. وإذا ادعى الاختبار التحويل، تُختبر الحزم. بعد ذلك تُسمح بادئة sentinel واحدة للخارج، ويُقارن ترميز Adj-RIB-Out الدقيق بما رآه الجار.

تتكرر العملية لكل AFI/SAFI ولكل اتجاه. ويُضاف مسار غير مطابق عمداً، ومقارنة origin غير صالح، وصفة علاقة، وحد لطول البادئة، لإثبات المساحة السلبية للسياسة. يفصل rollback المنحة الضيقة ويتحقق من withdrawals ويعيد النظام إلى الصفر المعروف. أما تعطيل RFC 8212 عالمياً فليس rollback، بل توسعة للسلطة إلى كل جار ناقص السياسة.

لا تعني جلسة Established ذات الصفر من المسارات بالضرورة أن البنية ناقصة. قد تكون عبارة دقيقة: النقل موجود، لكن سلطة التوجيه لم تُمنح بعد. يجعل النظام الأكثر أماناً تلك العبارة مرئية وقابلة للعكس والاختبار، ويطالب بدليل أقوى قبل أن يتحول الصمت إلى وصول.