ملخص

  • يختار العميل زوجاً مسموحاً من أجهزة CE ويطلب الاتصال؛ أما المزوّد فيطبّق السياسة ويحسب المقطع الداخلي ويخصص المورد.
  • تعريف CE في عقد الخدمة لا يوثّق كل رسالة، ونجاح الإشارة لا يثبت حالة الوصلة الضوئية ولا وصول الحمولة إلى الجهة المقصودة.

حمل الطلب اسم نقطتين ولم يحمل خريطة الشبكة

يبدو زر الإنشاء في بوابة العميل كأنه سلطة مباشرة على الشبكة. يحدد العميل موقعاً أول وموقعاً ثانياً، ثم يطلب الوصل. لكن RFC 5253 يضع حداً دقيقاً لما عبر تلك البوابة.

يتحكم العميل في طوبولوجيا L1VPN بمعنى أنه يطلب إنشاء الاتصال أو تعديله أو حذفه بين أطراف مؤهلة. ويتحكم المزوّد تحكماً كاملاً في المقطع بين PE وPE. يستطيع حسابه عند الطلب، أو اختيار مسار محسوب مسبقاً، أو ربط الطلب بمقطع منشأ من قبل. وإذا حاول CE أن يفرض مساراً داخل شبكة المزوّد بواسطة ERO، يرفضه PE.

إذن سلطة العميل هي سلطة النية بين الأطراف، وسلطة المزوّد هي سلطة التنفيذ في الداخل. الخدمة الذاتية لا تنقل ملكية الطريق؛ إنها تقلل زمن وصول الطلب إلى الحدود الإدارية.

لهذا لا يكفي وضع واحد اسمه «متصل». استلام الطلب، والسماح به، وحجز المورد، وبرمجة التحويل الضوئي، ومرور البيانات أحداث مختلفة تقع في أنظمة مختلفة.

غياب تبادل التوجيه لا يلغي الاعتماد

لا يتبادل CE وPE معلومات التوجيه في Basic Mode. يحصل CE على CPI البعيد من إعداد أو دليل أو آلية خاصة بالخدمة. وفي داخل شبكة المزوّد يستمر التوجيه، ويمكن أن تتبادل أجهزة PE معلومات العضوية.

يقلل هذا الفصل كشف الشبكة الداخلية ويمنع العميل من التحكم المباشر فيها. لكنه يجعل النتيجة معتمدة على حالات لا يراها العميل: جدول PIT الصحيح، والعضوية الجارية، وقاعدة الاتصال، والسعة الفيزيائية، ونسخة حساب المسار.

قد يجري الحساب في PE أو PCE أو نظام إدارة. وقد توجد عدة مقاطع بين الزوج نفسه من PE. ويمكن لمفتاح مسار أن يشير إلى مقطع سري من غير أن يكشف عقده.

هذا تجريد مفيد، لكنه لا يثبت التنفيذ. المفتاح لا يقيس الليف المستخدم الآن. ورد RSVP-TE لا يذكر نسخة السياسة. والحجز لا يقرأ حالة المصفوفة الضوئية.

يحتاج المزوّد إلى سلسلة داخلية تربط الطلب بالقرار والحساب والقبول والحجز والبرمجة والقياس. ولا يحتاج العميل إلى خريطة القلب؛ يحتاج إلى دليل قابل للاختبار على النتيجة التي اشتراها.

يمكن إخفاء الطريق من غير إخفاء نتيجة الخدمة

يمكن تطبيق السياسة على L1VPN كله أو على اتصال بعينه، وربطها بالعقد. ويمكن تقسيم الموارد بين العملاء أو تخصيص مقطع معد مسبقاً لخدمة محددة.

تمنح هذه الخيارات مرونة تجارية وهندسية. لكنها تخلق إغراءً لاستخدام الاسم بديلاً من الدليل. لا يثبت وصف «محمي» أن المورد الاحتياطي مستقل فيزيائياً. ولا تثبت حالة «نشط» في الفوترة ما برمجته الأجهزة. ولا يثبت نجاح الإشارة أن الضوء وصل إلى الطرف الصحيح.

الدليل الجيد ذو وجهين. يسجل الوجه الداخلي رقم الطلب والسياسة والحساب والقبول والحجز والبرمجة والقراءة اللاحقة. ويسجل الوجه الخارجي الطرفين المتفق عليهما وهوية النظير وهدف الخدمة وحماية الحمولة ونتيجة الاختبار من طرف إلى طرف.

لا يلزم أن يعرض الوجهان الحقول نفسها. لكن يلزم أن يشيرا إلى الاتصال نفسه وإلى اللحظة نفسها.

سرية الطوبولوجيا ليست متناظرة

يستطيع المزوّد إخفاء قلبه: لا يرسل توجيهاً إلى CE، ويمكنه ترشيح RRO، واستبدال عنوان داخلي في Notify بعنوان PE، وتمثيل مقطع محسوب مسبقاً بمفتاح.

أما المزوّد نفسه فيعرف على الأقل عناوين أجهزة CE ومواقعها. لا يمكنه من دون ذلك ربط المنافذ بالخدمة الصحيحة أو تطبيق قيود الاتصال أو منع الخلط بين شبكات L1VPN. قد تبقى بقية شبكة العميل مخفية، لكن نقاط الاتصال معروفة.

هذه ليست تهمة تلقائية، بل توزيع لقوة المعلومات. قد تكشف مواقع CE مراكز حرجة أو تركّزاً جغرافياً أو خطة احتياط. ولذلك تحتاج إلى غرض محدد، وصلاحيات دنيا، وفترة احتفاظ، وسجل استعمال.

وفي الاتجاه الآخر لا يجوز أن تتحول سرية القلب إلى وعد غير قابل للتحقق. يمكن للمزوّد أن يخفي أسماء العقد وأن يثبت فئة التنوع وزمن الاستعادة والقياس النهائي. السرية لا تعني غياب المساءلة.

العقد عرّف CE، لكنه لم يوقّع كل رسالة لاحقة

عند إضافة CE جديد تُعرّف الجهة ضمن عقد الخدمة، ويُنشأ مسار التحكم. ثم يوضح RFC 5253 أن جهة التحكم لا تصبح موثّقة لمجرد ذلك؛ يجب استخدام إجراءات التوثيق في RSVP-TE.

يجيب العقد عن سؤال من ينبغي أن يملك الصلاحية. ويحدد الإعداد العنوان أو القناة التي تمثله. ويثبت التوثيق صاحب الاعتماد في رسالة بعينها. وتحمي السلامة نص الرسالة. أما التفويض فيقرر هل يحق حتى للمرسل الصحيح طلب هذا الاتصال.

لا يستطيع مؤشر واحد اسمه «عميل موثوق» حمل هذه المعاني. قد يبقى مفتاح قديم بعد انتهاء العقد. وقد يطلب عميل صحيح زوجاً ممنوعاً. وقد تنتهي رسالة سليمة بتحويل ضوئي خاطئ.

ولا يحسم الفصل الفيزيائي المسألة. يمكن اعتبار قناة خاصة بكل عميل آمنة، لكن يجب أن تبقى وسائل أقوى مثل IPsec متاحة. وعند مشاركة القناة يجب توفير الحماية وفرضها. الكابل المنفصل وصف للتركيب، لا إيصال تشفيري لكل تبادل.

الرفض المتأخر يجعل القلب يدفع تكلفة الطلب

يمكن تطبيق قيد الاتصال عند PE الداخل أو PE الخارج. يمنع الموضعان النتيجة الممنوعة، لكنهما لا يستهلكان القدر نفسه من الشبكة.

يوقف فحص الدخول الطلب قبل عبور القلب عندما تكون القاعدة معروفة. أما فحص الخروج فيسمح للإشارة بالمرور وربما بإنشاء حالة مؤقتة. ويذكر RFC صراحة أن ذلك يهدر جهد الإشارة.

لذلك لا يكفي عدّ الطلبات المحجوبة. يجب قياس موضع الرفض وعدد الأنظمة التي لمسها الطلب ومدة الحالة المؤقتة ومنافسته للطلبات المشروعة. يبقى فحص الخروج دفاعاً إضافياً، لا بديلاً من قاعدة دخول مستقرة.

كلمة «محمي» تحتاج إلى اسم العطل

يتيح Basic Mode حماية مقطع PE-PE والروابط وقناة التحكم بوسائل GMPLS، لكن التركيبات محدودة. لا يمكن بطلب حماية رابط واحد حماية جزء CE-PE وحده أو PE-PE وحده. ولا يمكن جمع استعادة الرابط عند الحافة مع استعادة المقطع في القلب بحرية. والاستعادة الكاملة عبر اتصال CE بمزودين حدّيين مختلفين خارج النطاق.

يجب أن يحدد العقد نوع الفشل: رابط الوصول، أو مقطع القلب، أو جهاز، أو موقع، أو مجموعة مخاطر مشتركة. قبول خاصية حماية لا يثبت استقلال المسار الاحتياطي. عودة الإشارة لا تثبت تحول المصفوفة. وعودة الضوء لا تثبت عودة التطبيق.

لكل مرحلة ساعة مستقلة. ومن دونها يخفي رقم التوافر العام الجهة التي لم تنفذ وعدها.

قد تنتهي الدائرة المخصصة عند مستلم خاطئ

يصعب اعتراض الاتصال الضوئي المخصص، ويمنح قصره على L1VPN واحد عزلاً مهماً. ومع ذلك يبقي RFC سوء التوصيل خطراً أمنياً. يمكن لـ cross-connect خاطئ أن يرسل البيانات إلى مستهلك غير مقصود بينما تبدو الدائرة «مخصصة».

يقلل فحص العضوية الخطر بمنع الاتصال بين شبكتين مختلفتين، لكنه لا يراقب المصير الفيزيائي النهائي. وينبغي للعميل ذي الحمولة الحساسة حماية طبقته، مثل استخدام IPsec لحركة IP.

يبنى أقوى دليل من جهتين. يقرأ المزوّد حالة التحويل والموارد. ويوثّق العميل الطرف البعيد ويختبر التسليم. ولا يحوّل أي منهما ACK الخاص به إلى شهادة عن المجال الذي لا يراه.

سلطتان تحتاجان إلى سلسلتين من الإيصالات

ينبغي حفظ نسخة العقد ومجموعة CE المسموح بها، واعتماد قناة التحكم، والطرفين المطلوبين، وقرار الدخول، والمقطع ونسخة الحساب، والقبول، وقراءة الحدين، ونطاق الحماية، وحقول الطوبولوجيا المحجوبة، واختبار التسليم كلٌّ في موضع مستقل.

يستطيع العميل الاعتراض من غير طلب خريطة القلب. ويستطيع المزوّد إثبات أنه لم يسلم سلطة مساره إلى العميل من غير نشر الخريطة. ويجب الاتفاق قبل الحادث على الرابط الذي يصل الدليلين.

لا يدمج RFC 5253 التحكم في سلطة مبهمة. إنه يرسم وصلة بين النية والتنفيذ. وحين تبقى هذه الوصلة قابلة للتدقيق، يظل الطريق السري خدمة قابلة للتفسير.

Sources