الخلاصة

  • تقترح draft-geng-grow-bmp-monitor-options-00 رسالتي Enable وDisable للإعلان عن حالة مراقبة مشاهد RIB وإحصاءات BMP. النسخة 00 مسودة إنترنت فردية قيد العمل، ولا تزال قيمة النوع TBD2 غير مخصصة.
  • يؤدي Disable الخاص بـRIB إلى تغيير هدّام: يجب على المُجمِّع أن يمحو فوراً المشهد المخزن الموافق لـ<Peer, AFI, SAFI>. تحمي المصادقة المتبادلة القناة، لكنها لا تثبت موافقة المشغل أو صحة النطاق أو بقاء سجل تدقيق أو اكتمال المشهد بعد إعادة تشغيله.

لم تصل أي تحديثات إلى المُجمِّع منذ ساعة. قد يعني ذلك أن جدول التوجيه لم يتغير، وقد يعني أن الموجّه توقف عن تصدير عائلة عناوين بعينها. يمكن لجلسة BMP أن تبدو سليمة في الحالتين، فيما يستمر جدول قديم في الظهور كأنه صورة راهنة.

تعالج مسودة BMP Extension for Monitoring Options (MO) Notification المؤرخة في 30 سبتمبر 2026 هذا الفرق. إنها النسخة 00 من Internet-Draft فردي ذي حالة Standards Track مقصودة وتنتهي في 3 أبريل 2027. ليست RFC ولا إجماع مجموعة عمل ولا دليلاً على تنفيذ. أما TBD2 فهو موضع لرقم مطلوب من IANA، لا تخصيصاً قائماً.

الصمت لا يحمل تفسيره معه

قدمت RFC 7854 تدفقاً منظماً لحالة جلسات BGP ومساراتها وإحصاءاتها. وأضافت RFC 8671 مراقبة Adj-RIB-Out، ثم أضافت RFC 9069 Local RIB. لكن البروتوكول الأساسي لا يتيح للمرسل أن يعلن داخل الجلسة أن المشغل غيّر إعداد المراقبة نفسه.

تقترح MO إعلاناً صريحاً. يحدد RIB Options PDU ما إذا كان المشهد Adj-RIB-In أو Adj-RIB-Out أو Loc-RIB، ويميز Pre-Policy من Post-Policy، ويحمل علامة Enable أو Disable وقائمة من أزواج AFI/SAFI. وقد يأتي Per-Peer Header بعد Common Header. وللإحصاءات صيغة مستقلة تحدد أنواعها.

هذه الحقول هي حدود الأثر. لا تكفي عبارة «أُوقفت BMP» كسجل تدقيق. ينبغي الاحتفاظ بهوية المرسل والـpeer وسطح RIB ومرحلة السياسة وAFI وSAFI والوقت حتى يصبح السؤال «ما الذي حُذف؟» قابلاً للإجابة.

الإشعار يغير قاعدة البيانات

حين يعطل المشغل مراقبة عائلة، يجب على المرسل أن يبعث MO Disable فوراً. وعند الاستلام، يجب على المُجمِّع أن يمحو فوراً جميع إدخالات RIB المخزنة والمرتبطة بالمشهد المعطل <Peer, AFI, SAFI>.

يمنع ذلك بيانات لم تعد خاضعة للرصد من البقاء في صورة الحالة الحالية. لكنه ينقل الرسالة من فئة القياس إلى فئة الأوامر الإدارية الهدّامة. فقد تعتمد خرائط الطوبولوجيا وكشف تسرب المسارات وفحوص السياسة والتحقيقات على هذا المخزن. الحذف الصحيح يحميها من معلومات بالية، والحذف الواسع خطأً يعميها، بينما قد يبقى مؤشر الجلسة أخضر.

تقر المسودة بالخطر صراحة: يمكن لرسائل MO غير المصرح بها أن تخدع المُجمِّع برسائل Disable مزيفة فيمحو كامل قاعدة البيانات الخاضعة للمراقبة. ولذلك تشترط المصادقة المتبادلة وحماية النقل مثل TLS.

تثبت TLS هوية طرف الجلسة وسلامة القناة من العبث العادي أثناء النقل. لكنها لا تثبت من وافق من البشر، ولا أن الأتمتة اختارت AFI/SAFI الصحيح، ولا أن موجهاً مصادقاً عليه غير مخترق. إثبات هوية حامل الرسالة لا يمنحه تلقائياً صلاحية كل حذف يستطيع وصفه.

نظافة الحالة الحية وحفظ الدليل وظيفتان مختلفتان

يتعلق شرط «المحو الفوري» بمشهد RIB التشغيلي المخزن. لا تضع النسخة 00 نظاماً كاملاً للاحتفاظ، ولا تحظر تاريخاً منفصلاً غير قابل للتغيير.

يمكن إذاً إزالة المشهد الذي توقف رصده فوراً من الحالة الحية، مع حفظ بصمة سابقة أو نسخة تاريخية أو سجل تغيير وفق سياسة محلية. يجب وسم التاريخ بوضوح وألا يعود خفيةً ليخدم بوصفه حالة آنية. وفي المقابل لا تكفي خانة تقول «نجح الحذف» إن لم تسمِّ المشهد وعدد الإدخالات التي تغيرت.

يربط الإيصال القوي طلب التغيير الموافق عليه بالجلسة المصادق عليها وبحقول النطاق المرسلة فعلاً. ويسجل ما حُذف وما تُرك عمداً ونتيجة المعاملة. وقبل تغيير الحالة، ينبغي للمُجمِّع رفض رسالة مشوهة أو نطاق يتجاوز الدور الممنوح للمرسل.

Enable يبدأ التعافي ولا يشهد باكتماله

عند إعادة التشغيل، تقترح المسودة إرسال Enable ثم استئناف رسائل Route Monitoring. ويعيد المُجمِّع تكوين المشهد مع وصول الرسائل.

لكن النسخة 00 لا تعرف علامة بدء للّقطة، ولا عدداً متوقعاً، ولا علامة نهاية، ولا اختباراً يحدد متى صار المشهد كاملاً بما يكفي للاعتماد عليه. أول مسار جديد يثبت عودة الاستيعاب فقط، ولا يثبت وصول كل المسارات الحالية أو غياب فجوة بعد الحذف.

قد يكون جدول حديث جزئياً أخطر من مشهد معلن بوضوح أنه disabled، لأنه يبدو جديراً بالثقة. تحتاج المنظومة إلى حالات منفصلة مثل disabled وrebuilding وcurrent، وألا تنتقل إلى الأخيرة إلا بدليل اكتمال معلن.

تقترح مسودة منفصلة، draft-geng-grow-bmp-rr-sync-00، آلية BMP Route-Refresh تستخدم علامتي BoRR وEoRR حول مزامنة محددة النطاق. يبين ذلك أن إحاطة إعادة البناء الكاملة مشكلة بروتوكول أخرى. هذه الآلية ليست جزءاً من MO، وهي أيضاً نسخة 00 فردية وليست وظيفة معيارية متاحة حكماً.

صلاحية المحو تحتاج سلسلة إيصالات

ينبغي أن تحفظ السلسلة: نسخة المواصفة وسلوك التنفيذ؛ طرفي الجلسة المصادق عليهما؛ التغيير المعتمد؛ الـPeer ونوع RIB ونوعه الفرعي وAFI/SAFI؛ إذن المرسل لهذا النطاق؛ الصفوف المحذوفة والمحفوظة؛ الحراسة التاريخية؛ Enable المطابق؛ حقبة إعادة البناء وشرط اكتمالها؛ ثم فقط عودة اعتماد الأنظمة اللاحقة.

لا تثبت أي حلقة ما يليها. الشهادة الصحيحة لا تصحح النطاق. وصيغة Disable السليمة لا تثبت الموافقة. ونجاح الحذف لا يضمن بقاء الدليل. وEnable لا يعني أن الجدول اكتمل.

تفصل مبادئ Lu Heng المسؤوليات بصورة مفيدة. يمكن للمواصفة الأولية الدنيا أن تعرف الحقول الحتمية والانتقالات اللازمة للتشغيل البيني. أما الاحتفاظ والموافقة وحدود الأثر وعتبة الثقة فتظل قرارات محلية لمن يتحمل الخطر. لا يتحقق التبني بمجرد النشر، بل بالشيفرة العاملة والإيصالات وإغلاق إعادة البناء.

عندما تستطيع رسالة قياس محو ما تقيسه، تصبح جزءاً من مستوى التحكم في الدليل.

المصادر