Zusammenfassung

  • RFC 6198 beschreibt geplante BGP-Wartung als Make-before-Break: Bevor der Normalpfad entfernt wird, sollen betroffene Router einen Ersatzpfad kennen und installiert haben.
  • RFC 8326 setzt das mit der Community GRACEFUL_SHUTDOWN und niedrigem LOCAL_PREF beim Empfänger um. Ohne sichtbare Alternative, ausreichende Kapazität und beobachtete Konvergenz bleibt die Wirkung begrenzt.

Ein geplanter Eingriff darf kein Überraschungsfehler werden

Fällt eine EBGP-Sitzung unerwartet aus, kann BGP erst danach reagieren. Routen werden zurückgezogen, neue Best Paths gewählt und FIBs aktualisiert. Bei Wartung steht vorher fest, welcher Link oder Router aus dem Datenpfad verschwinden wird. Diese Kenntnis ist ein operativer Vorsprung.

Wird trotzdem zuerst geschlossen, entsteht eine Lücke. Ein ASBR kann eine schlechter bewertete Alternative kennen, ohne sie weiterzugeben. Ein Route Reflector kann denselben Kandidaten verbergen. Während verschiedene Router ihre FIB zu unterschiedlichen Zeiten ändern, können Pakete schleifen oder verworfen werden. Topologische Redundanz ist daher nur eine Möglichkeit. Der Ersatz muss sichtbar, ausgewählt, installiert und für die zusätzliche Last geeignet sein.

Das offizielle IETF-Datatracker-Profil von Bruno Decraene verzeichnet seine Mitwirkung an zwei aufeinander aufbauenden Dokumenten. RFC 6198 formulierte 2011 als Informational RFC die Anforderungen. RFC 8326 standardisierte 2018 eine bekannte BGP-Community und das Verfahren für eine beabsichtigte EBGP-Abschaltung.

Die Urheberschaft ist verteilt. RFC 6198 nennt neben Decraene Pierre Francois, Cristel Pelsser, Zubair Ahmad, Antonio Jose Elizondo Armengol und Tomonori Takeda. RFC 8326 nennt Pierre Francois, Decraene, Pelsser, Keyur Patel und Clarence Filsfils. IETF-Review, Implementierungen und Betriebserfahrung gehören ebenfalls zum Ergebnis. Belegt ist Decraenes Beitrag zur Kette von Anforderung und Mechanismus, nicht eine Alleinerfindung.

Erst das Ziel, dann der Mechanismus

RFC 6198 lehnt die Ausrede ab, BGP werde irgendwann schon konvergieren. Für Sprache, Online-Spiele und VPNs ist die Zwischenzeit ein Dienstfehler. Ein bekanntes Ereignis erlaubt hingegen, die Konvergenz vorzuverlegen und den Ersatz zu installieren, während der alte Pfad noch gültig ist.

Die Wartungshandlung muss den betroffenen Routern signalisiert werden. Teilweise Einführung soll bereits teilweise helfen. Die Belastung der Nachbar-AS soll gering bleiben, weil der Wartende stärker von der Funktion profitiert als sein Peer. Bereits laufende Fehler und überlappende geplante Abschaltungen müssen in die aktuelle BGP-Auswahl einfließen.

Das Ideal ist möglichst kein Paketverlust, doch die Voraussetzungen sind ausdrücklich. Ein alternativer Pfad mit genügend Restkapazität muss existieren. Der alte Pfad darf nicht verschwinden, bevor der neue bekannt ist. Der sichere Schließzeitpunkt kann durch einen Timer, eine Konvergenzmeldung oder die Messung des Verkehrs auf dem auslaufenden Interface bestimmt werden. Transiente Schleifen sind eine eigene Messgröße, nicht durch das Wort „graceful“ erledigt.

Indem das Anforderungsdokument zuerst das überprüfbare Ergebnis beschreibt, verhindert es die Gleichsetzung eines Features mit Erfolg.

Ein gemeinsames Kennzeichen, lokale Souveränität

RFC 8326 definiert GRACEFUL_SHUTDOWN. Vor der Wartung kennzeichnet der Initiator die über die betroffene Sitzung angekündigten aktiven Routen mit dieser well-known Community und kündigt sie erneut an. Der Empfänger hält eine Import-Policy bereit, die das Kennzeichen erkennt und den LOCAL_PREF senkt; empfohlen wird 0.

Der LOCAL_PREF wird nicht als fremder Befehl über die AS-Grenze geschrieben. Er ist die interne Entscheidung des empfangenden Netzes. Die Community übermittelt eine begrenzte Aussage: Dieser Pfad soll in Kürze gehen. Der Peer behält die Kontrolle darüber, welche lokale Konsequenz daraus folgt.

Für beide Verkehrsrichtungen sind Handlungen nötig. Durch die Kennzeichnung der ausgehenden Routen kann der Nachbar seinen eingehenden Verkehr verlagern. Der Initiator senkt zugleich lokal die Präferenz der über diese Sitzung empfangenen Routen und verschiebt den eigenen ausgehenden Verkehr. Danach wartet er auf erneute Ankündigung und Konvergenz beider ASBRs. Erst dann wird die EBGP-Sitzung beendet. Eine administrative Nachricht kann den Grund erklären, ersetzt aber nicht die vorherige Ableitung.

Das ist nicht BGP Graceful Restart. RFC 8326 setzt voraus, dass die Wartung die Forwarding Plane betrifft. Die alte Ressource soll nicht scheinbar weiterleiten; ihre Abhängigkeiten sollen vorher verschwinden.

Die Grenzen der guten Absicht

Eine Community erzeugt weder eine Alternative noch Bandbreite. Wenn Route Reflection den Ersatz verbirgt, wenn eine Import-Policy fehlt oder wenn der Umweg überlastet ist, kann das Kontrollsystem sauber aussehen und der Dienst dennoch leiden. Auch ein erfolgreiches Re-Advertisement beweist nicht automatisch die FIB-Installation auf allen betroffenen Geräten.

RFC 8326 begrenzt seinen Anspruch. Das Verfahren behandelt den zeitweiligen Mangel an Pfaden, wenn Alternativen verborgen waren. Es löst nicht jede vorübergehende FIB-Inkonsistenz oder Schleife. IBGP-Abschaltung und EBGP-Aufbau gehören nicht zum normativen Kern. Bei der Wartung eines ganzen Routers müssen zusätzlich die von ihm selbst erzeugten oder redistribuierten Routen entwertet werden.

Das Signal ist zudem nicht authentifizierte Ehrlichkeit. Ein Nachbar könnte einzelne Präfixe als Wartung markieren, um eingehenden Verkehr auf einen anderen Link zu lenken. RFC 8326 empfiehlt deshalb Monitoring, wenn ein ISP diese Nutzung nicht duldet. Präfix, Sitzung, Zeitpunkt, Dauer und tatsächlicher Close gehören in einen gemeinsamen Nachweis.

Und ein Standardtext belegt keine aktuelle Produktion. Konfigurationsbeispiele zeigen das Prinzip. Sie beweisen weder Softwareversionen und Defaults noch aktive Policy, Kapazität oder eine gemessene Wartung bei einem bestimmten Betreiber.

Kleine Spezifikation, harter Laufzeittest

Lu Hengs späterer Gedanke der Minimum Initial Specification, Localized Future Decision, and Voluntary Adoption passt zu dieser Grenze. Unabhängige AS müssen nicht ihre gesamte Routingpolitik teilen. Sie brauchen ein verständliches Austrittssignal und die Chance, die Präferenz vor dem Withdraw zu senken. Topologie, Rangfolge, Kapazität, Wartezeit und Rollback bleiben lokal.

Würde die Community als Recht verstanden, die Nachbar-AS zu steuern, ginge sie zu weit. Löst sie beim Empfänger keine Policy aus, bleibt sie wirkungslos. Freiwillige Unterstützung, ausdrücklich konfigurierte Bedeutung und messbare Ausführung bilden den tragfähigen Vertrag.

Running-Code Primacy setzt den Prüfpunkt in das Netz. Vor der Wartung sind die Policies auf allen relevanten Kanten zu kontrollieren. Währenddessen zählen Re-Advertisements, Best Paths, FIB-Zustand, Interface-Verkehr sowie Verlust und Last auf dem Ersatzweg. Der Ablauf eines Timers ist kein Beweis. Diese späteren Texte dienen Sofia Ren als Analyserahmen; sie werden weder Decraene noch den früheren RFC-Autoren zugeschrieben.

Eine graceful Abschaltung ist somit keine höflich benannte Trennung. Sie ist die Übertragung einer Abhängigkeit in richtiger Reihenfolge. Der alte Pfad verliert zuerst seine Anziehungskraft, behält kurz seine Lieferfähigkeit, und verschwindet erst, nachdem der Ersatz seine Übernahme gezeigt hat.

Quellen