Zusammenfassung

  • An die Stelle des NSFNET trat kein einzelnes Backbone, sondern ein Verbund aus NAPs, kommerziellen Providern, Route Servern, Routing-Registrys und regionalen Netzen; jede Abhängigkeit brauchte einen eigenen Betriebsnachweis.
  • Unwiderrufliche 60-Tage-Mitteilungen und ein testweiser Peering-Schnitt machten stille Rückfälle auf das alte Netz sichtbar, während die PRDB bis zur nachgewiesenen Parität mit der RADB über die Routerabschaltung hinaus bestehen blieb.

Als die NSFNET-Knoten am 30. April 1995 jeweils um Mitternacht ihrer lokalen Zeitzone ausgeschaltet wurden, war der öffentliche Endpunkt erreicht. Der operative Endpunkt folgte erst am 8. Mai. Bis dahin blieb die Policy Routing Database, PRDB, aktiv. Ihre Nachfolgerin musste erst beweisen, dass sie dieselben Konfigurationen erzeugte. Diese acht Tage erzählen mehr über eine verantwortete Stilllegung als das sichtbare Erlöschen der Router.

Susan R. Harris und Elise Gerich hielten den Übergang ein Jahr später in einem gemeinsamen Bericht fest. Gerich bündelte Zeitpläne und verschickte formelle Kündigungsmitteilungen, doch sie war nicht die alleinige Urheberin des Erfolgs. Merit, die National Science Foundation, ANS, IBM, MCI, regionale Netze, kommerzielle Internetanbieter, Betreiber der Network Access Points, USC ISI, das Routing-Arbiter-Team und zahlreiche Netztechniker besaßen je einen Teil des Systems. Gerich machte aus diesen verteilten Zuständen einen gemeinsam prüfbaren Ablauf.

Vier Nachweise statt eines neuen Backbones

1992 verlängerte die NSF ihre Vereinbarung mit Merit um 18 Monate. Sie wollte eine Folgeausschreibung vorbereiten, kommerziellen Anbietern Entwicklungszeit geben und sich aus dem direkten Betrieb eines allgemeinen Netzes zurückziehen. Die Ausschreibung von 1993 suchte deshalb keine Eins-zu-eins-Kopie. Anfang 1994 wurden die Funktionen verteilt: Network Access Points für den Austausch, ein von Merit zusammen mit USC ISI getragenes Routing-Arbiter-Projekt, MCIs vBNS für Hochgeschwindigkeitsforschung und kommerzielle Anschlüsse für die regionalen Netze.

Vor der Stilllegung mussten vier Bedingungen zusammenkommen. Die NAPs brauchten Produktionsreife. NSFNET und die Provider der Regionen mussten dort angeschlossen sein. Route Server und eine nutzbare Routing-Registry mussten arbeiten. Und jedes regionale Netz musste seinen Dienst auf einen kommerziellen Anbieter verlagert haben. Keine einzelne Abnahme konnte die übrigen ersetzen.

Die ursprünglichen Termine rutschten, weil ein ausgeliefertes Gerät noch kein Dienst ist. Primäre und redundante Route Server wurden im November 1994 versandt. Zu ihrem Betrieb gehörten aber Leitungen, Frontends, Controller, Switches, Bridges, Adressierung, Sicherheit, Rund-um-die-Uhr-Überwachung und ein Out-of-Band-Zugang. Zweifel an Reife und Leistung von ATM führten im März 1995 bei den NAPs von Pacific Bell und Ameritech zu vorsorglichen FDDI-Konfigurationen.

Die neue Architektur verteilte nicht nur Technik, sondern auch Beweismacht. Die NSF konnte das Ziel setzen, Merit das alte Netz führen und jeder Provider seinen Abschnitt melden. Ob das Ganze ohne NSFNET funktionierte, ließ sich nur über Organisationsgrenzen hinweg beobachten.

Ein Backup konnte den Projektstatus fälschen

Gerich erhielt gemeinsam mit Priscilla Huston, der Netzwerkdirektorin der NSF, Übergangskalender und technische Übersichten der Regionen. Keine hielt das ursprüngliche Ziel vom 31. Oktober. Einige lagen drei oder vier Monate zurück. Bereits umgestellte Netze mussten wegen Einführungsproblemen zeitweise sogar wieder den vollen NSFNET-Dienst nutzen.

Solche Rücknahmen waren sinnvoll, solange der Übergang bewusst reversibel blieb. Dauerhafte Rückfallpfade hatten jedoch einen Preis. Mitte April hatten nur sieben regionale Netze ihre NSFNET-Verbindung vollständig getrennt. Andere besaßen einen kommerziellen Anschluss und behielten das Bundes-Backbone als Reserve. Fehlende Routen, knappe Kapazität oder alte Diagnosegewohnheiten konnten dadurch weiter funktionieren, ohne als Abhängigkeit erkannt zu werden.

Gerich warnte die Gemeinschaft im März, dass der Verkehr nicht schnell genug zurückging. Merit veröffentlichte ein Histogramm der zehn größten verbliebenen Ursprünge. Es stellte die Verwaltungsbehauptung „migriert“ gegen die technische Beobachtung „nutzt noch“. Auch das Entfernen des T1-Sicherheitsnetzes verringerte den Raum für unbenannte Rückfälle.

Die Kündigung machte Zuversicht verbindlich

Die 60 Tage im Voraus verschickten Kündigungsmitteilungen waren unwiderruflich. Nach einer Mitteilung sollte der Dienst über den betreffenden Knoten nicht wiederhergestellt werden. Atlanta erhielt die erste, nachdem SURAnet bereit war. Am 28. Februar verschickte Gerich die formelle Mitteilung für die 19 übrigen Standorte mit dem Enddatum 30. April.

Damit wurde aus technischer Zuversicht eine institutionelle Bindung. Vor dem Schreiben konnten Betreiber Kapazitäts-, Erreichbarkeits- oder Diagnoseprobleme benennen und eine Korrektur verlangen. Danach durften Provider und Kunden nicht mehr auf eine stillschweigende Verlängerung hoffen. Die Unwiderruflichkeit wirkte nur deshalb vernünftig, weil sie auf Belege folgte.

Merit plante zunächst, das Peering am 21. April zu entfernen und wiederherzustellen, es am 28. endgültig zu trennen und den Betrieb am 30. zu beenden. Netze meldeten konkrete Abhängigkeiten bei Kapazität, Konnektivität und Fehlersuche. Das Team berücksichtigte die Einzelfälle, ohne den endgültigen Termin zu verschieben. Ein fester Endpunkt und die Aufnahme neuer Erkenntnisse erfüllten verschiedene Funktionen.

Dann scheiterte der erste Anlauf an den beschädigten Konfigurationsdateien. Zusätzlicher Speicherplatz und verkleinerte Netzlisten waren nötig. Die alte PRDB konnte die Menge gleichzeitiger Änderungen, die ihre eigene Abschaltung auslöste, nicht zuverlässig verarbeiten. Dass dieser Befund vor dem Endtermin entstand, machte das Verschieben wertvoll.

Am 25. April wurde das Peering tatsächlich entfernt. Der Eingriff verlief überwiegend still, auch wenn Anrufe eingingen. Fünf Tage später gingen die Knoten aus. Die Quellen belegen weder eine vollkommen störungsfreie noch eine makellose Migration. Sie belegen eine Reihenfolge, in der Verzögerungen, Rücknahmen und ein misslungener Versuch Informationen lieferten, solange Reaktion noch möglich war.

Der Kontrollzustand endete später

Die neue Routing Arbiter Database startete leer, während bestehende Werkzeuge PRDB-Attribute erwarteten. Rund 40.000 Präfixrichtlinien und etwa 100 Konfigurationsdateien mit insgesamt ungefähr 250.000 Zeilen je zweiwöchigem Produktionszyklus mussten übertragen und verglichen werden. Die Beteiligten einigten sich auf ein vorübergehendes advisory-Attribut, konvertierten Daten, führten Maintainer- und Autonomous-System-Objekte ein und betrieben beide Datenbanken parallel.

Entscheidend war nicht die Zahl importierter Datensätze, sondern der wiederholte zeilenweise Vergleich der erzeugten Konfigurationen. RFC 1786, den Gerich 1995 mit weiteren Registry-Fachleuten verfasste, dokumentierte die zwischen Routing-Registrys geteilte RIPE-81++-Darstellung. Erst als die RADB Konfigurationsparität erreicht hatte und die Übergabe an ANS bereit war, wurde die PRDB am 8. Mai außer Betrieb genommen.

Die Internet Hall of Fame beschreibt Gerich als Verantwortliche für die Stilllegung von 1995 und den Übergang zu kommerziellen ISPs. Zuvor hatte sie bei Merit T1- und T3-NSFNET koordiniert, war Co-Principal-Investigatorin des T3- und Routing-Arbiter-Projekts und gründete mit Mark Knopper NANOG. Die verbindende Leistung liegt im Aufbau von Verfahren, in denen unabhängige Betreiber Beobachtungen austauschen und belastbare gemeinsame Entscheidungen treffen können.

Das NSFNET endete deshalb nicht in einem Augenblick. Die Mitteilung schloss den Rückweg institutionell, der Peering-Test legte Abhängigkeiten technisch frei, das Ausschalten beendete den Transport, und die Datenbankparität beendete erst später den alten Kontrollpfad. Gute Stilllegung bedeutet nicht, dass alles zugleich verschwindet. Sie bedeutet, dass jeder Bestandteil seinen eigenen Nachweis erbringt, bevor die Rückkehr unmöglich wird.

Quellen