Zusammenfassung

  • Das Korrigieren einer doppelten Adresszuweisung und das Freigeben des daraufhin festgehaltenen Netzzustands sind unterschiedliche Schritte der Wiederherstellung.
  • Ein MAC-Konflikt hat einen anderen Gegenstand als eine doppelte IP-Adresse mit verschiedenen MAC-Adressen. Der eingefrorene Standort bestimmt nicht automatisch, welches Endgerät entfernt werden sollte.
  • Die Spezifikationen kennen zeitgesteuerte Freigaben. Ein abgelaufener Timer bestätigt jedoch keine Korrektur der Endgerätekonfiguration.

Für den Verantwortlichen eines Dienstes kann die schwierigste Nachricht lauten: Der Fehler ist bereits behoben. Gemeint ist womöglich, dass eine unerwünschte virtuelle Maschine nicht mehr existiert. Solange die Netzseite noch einen eingefrorenen Zustand hält, beschreibt die Nachricht einen erreichten Zwischenschritt, nicht unbedingt die Rückkehr des Dienstes.

Das ist ein hypothetischer Fall, kein untersuchter Ausfall. Seine Grundlage ist eine Trennung in den EVPN-Spezifikationen: Die doppelte Adresszuweisung am Endgerät muss korrigiert werden; anschließend kann die Wiederherstellung noch vom Umgang mit gespeichertem Netzzustand abhängen. Wer den ersten Eingriff ausführen darf, verfügt nicht zwangsläufig über die Befugnis zum zweiten.

Auch ein einzelner Ingenieur mit beiden Berechtigungen muss unterschiedliche Vorgänge abschließen. Zwei Teams oder zwei manuelle Genehmigungen sind keine Anforderung des Protokolls. Die organisatorische Frage lautet vielmehr, ob die Verantwortung für das Ergebnis den Übergang zwischen den Vorgängen überlebt.

Eine Schutzreaktion hat ein Nachleben

Ethernet VPN verteilt Informationen darüber, über welche Randgeräte ein Endgerät erreichbar ist. Diese Randgeräte werden als Provider Edges, kurz PEs, bezeichnet. Wechselt ein Endgerät das Ethernet-Segment, können alte und neue Ankündigungen vorübergehend nebeneinander bestehen. Das Verfahren zur MAC-Mobilität in RFC 7432 ordnet konkurrierende Erreichbarkeit über Sequenznummern und veranlasst den Rückzug älterer Ankündigungen.

Eine wiederholt wechselnde Herkunft kann allerdings auch entstehen, wenn zwei Endgeräte dieselbe MAC-Adresse verwenden. Die Basisspezifikation beschreibt die Erkennung anhand einer konfigurierbaren Anzahl von Bewegungen innerhalb eines konfigurierbaren Zeitfensters. Zur Reaktion gehören eine Meldung an den Betreiber und das Einstellen von Versand und Verarbeitung der MAC/IP-Ankündigungen für diese MAC-Adresse bis zu einer korrigierenden Betreiberaktion.

Das ist keine Anweisung, das gesamte Netz oder jede Weiterleitung anzuhalten. Andere PEs können weiterhin Verkehr zu einem der ankündigenden Geräte schicken. Wer von einer „gesperrten Umgebung“ spricht, ohne Adresse und Zustand einzugrenzen, verliert eine für die Wiederherstellung wichtige Unterscheidung.

Ebenso wenig ist die Sichtbarkeit über mehrere PEs bereits ein Konflikt. Bei einer legitimen redundanten Anbindung können mehrere Randgeräte demselben Ethernet-Segment angehören. Dessen Kennung hilft, diesen Fall von einer Bewegung zwischen Segmenten zu unterscheiden. Die Zahl der Ankündigungsorte ersetzt nicht die Kenntnis ihrer Beziehung zueinander.

Der festgehaltene Zustand ist damit nicht bloß ein Rest, den man möglichst schnell wegputzen sollte. Er ist das Ergebnis eines Schutzmechanismus gegen instabile Erreichbarkeit. Nach einer dauerhaften Korrektur kann er die Einschränkung verlängern. Vor einer solchen Korrektur kann seine Freigabe die Auseinandersetzung wieder öffnen. Keine dieser Möglichkeiten rechtfertigt eine pauschale Regel für jede Tabelle.

Der Gegenstand des Konflikts muss feststehen

RFC 9721 erweitert die Mobilitätsverfahren für EVPN mit integriertem Routing und Bridging. Dabei geht es unter anderem um Fälle, in denen eine IP-Adresse zu einer anderen MAC-Zuordnung wechselt. Auch mehrere legitime IP-Adressen hinter einer gemeinsamen MAC-Adresse gehören zum betrachteten Umfeld. Eine gemeinsam genutzte MAC-Adresse ist für sich genommen kein Nachweis einer Fehlkonfiguration.

Das Dokument trennt drei Situationen: dieselbe MAC-Adresse an konkurrierenden Endgeräten, dieselbe IP-Adresse mit verschiedenen MAC-Adressen sowie ein rein geroutetes Overlay, in dem die MAC-Adressen der Endgeräte nicht angekündigt werden. Für den Betrieb benennt diese Einteilung unterschiedliche Objekte, nicht bloß unterschiedliche Formulierungen derselben Warnung.

Ist die MAC-Adresse doppelt vorhanden, übernehmen die zugehörigen MAC-IP-Routen diese Eigenschaft. Betrifft der Konflikt dagegen eine IP-Adresse mit verschiedenen MAC-Adressen, gilt die Duplikatbehandlung für die entsprechende MAC-IP-Route. Die verbundene MAC-Route und weitere IP-Adressen hinter dieser MAC werden nicht allein dadurch ebenfalls zu Duplikaten.

Der Eingriff braucht deshalb eine präzise Zuordnung. „Das doppelte System entfernen“ reicht als Auftrag nicht, wenn unklar bleibt, welche Adresse in welchem Zusammenhang weiterbestehen soll. Das Netz kann die Konkurrenz sichtbar machen; die beabsichtigte Identität des Dienstes ergibt sich nicht zwangsläufig aus dem Alarm.

Insbesondere ist der eingefrorene Standort nicht automatisch derjenige, an dem das unerwünschte Endgerät steht. RFC 9721 beschreibt die Wiederherstellung sowohl nach dessen Entfernung am eingefrorenen als auch am nicht eingefrorenen Standort. Für die Entscheidung, welche Instanz bleiben soll, sind Informationen aus Bereitstellung und Dienstbetrieb erforderlich. Die leichter erreichbare Konsole darf nicht unbemerkt zur Entscheidungsgrundlage werden.

Freigeben und Löschen lösen verschiedene Aufgaben

Abschnitt 8.4 von RFC 9721 setzt bei der Korrektur auf der Host-Seite an: Eine der konkurrierenden MAC- oder IP-Zuweisungen wird entfernt. Danach kann der normale Betrieb noch auf das Altern des Duplikatzustands warten, sofern keine zusätzliche Maßnahme die Wiederherstellung beschleunigt.

Eine solche Maßnahme ist das Aufheben der Routeneinfrierung. Dabei kann eine Ankündigung mit einer höheren Sequenznummer als am anderen Standort ausgelöst werden. Die daraus entstehenden Ereignisse helfen, die verteilte Erreichbarkeit abzugleichen. Dazu können ARP- oder Neighbor-Discovery-Prüfungen sowie das Entfernen veralteten lokalen Zustands gehören. Der Ablauf hängt davon ab, wo das beabsichtigte Endgerät geblieben ist.

Das Löschen einer lokalen MAC-Route oder eines ARP-/Neighbor-Discovery-Eintrags ist davon zu unterscheiden. Gerade eine Bereinigung am nicht eingefrorenen Standort kann eine noch ausstehende Freigabe an anderer Stelle zurücklassen. Ein lokal erfolgreich ausgeführter Löschvorgang kann somit seine Aufgabe vollständig erfüllen, ohne den verteilten Wiederherstellungsvorgang abzuschließen.

Die Spezifikation liefert dafür keinen universellen Herstellerbefehl. Sie liefert die Unterscheidung, die eine brauchbare Übergabe enthalten muss: Welche Zuweisung wurde korrigiert? Wo? Welche soll erhalten bleiben? Welcher zurückgehaltene Zustand muss noch freigegeben oder abgeglichen werden?

Ein analytisches Gegenbeispiel macht die Dauerhaftigkeit der Korrektur deutlich. Angenommen, eine Orchestrierung erzeugt eine eben gelöschte unerwünschte Instanz erneut, weil der gewünschte Konfigurationszustand weiterhin ihre Existenz verlangt. Für diesen Artikel wurde kein solches System getestet. Das Beispiel zeigt lediglich, dass das Entfernen einer aktuellen Instanz und das Ändern ihres Entstehungsgrunds nicht dasselbe sind. Eine schnellere Netzfreigabe könnte unter dieser Annahme nur die Zeit bis zum erneuten Konflikt verkürzen.

Ein Timer trägt eine begrenzte Entscheidung

Aus dieser Trennung folgt kein Verbot automatischer Wiederherstellung. RFC 9161 behandelt Proxy ARP/Neighbor Discovery in EVPN. Er beschreibt die Aufhebung des Status einer doppelten IP-Adresse durch eine Betreiberkorrektur oder alternativ durch einen Hold-down-Timer. Als Standardwert nennt er 540 Sekunden; die betreffenden Parameter sind konfigurierbar.

Die Angabe gehört zum dort beschriebenen Proxy-Zustand. Sie bedeutet nicht, dass jede eingefrorene MAC-Route auf jedem EVPN-Produkt nach neun Minuten freigegeben wird. Der Ablauf eines Timers belegt auch nicht, dass die konkurrierende Adresse am Endgerät entfernt wurde. Er verändert die Behandlung des Netzzustands, nicht die Konfiguration unter einer anderen Verwaltungszuständigkeit.

Eine automatische Freigabe kann eine bewusst gewählte Verfügbarkeitsentscheidung sein: Ein vorübergehendes Ereignis soll keine unbefristete Einschränkung hinterlassen. Eine ausdrückliche Freigabe kann dagegen Gelegenheit zu weiterer Prüfung geben. Sie kann aber auch einen bereits korrigierten Dienst auf Berechtigungen oder Kontext warten lassen. Entscheidend sind Reichweite und Bedingungen der jeweiligen Maßnahme.

Auch Ausnahmen gehören dazu. Die Verfahren unterscheiden bestimmte IPv6-Anycast-Nachbarankündigungen mit nicht gesetztem Override-Flag von den behandelten Duplikatfällen. Eine absichtlich gemeinsam erreichbare Adresse sollte nicht allein aufgrund ihrer mehreren Orte als Fehlzuweisung gelten. Der Betrieb braucht ein Verständnis des Adressverhaltens, keine allgemeine Abneigung gegen Mehrfachsichtbarkeit.

Ein Standardname ersetzt keine Funktionsprüfung

Der Veröffentlichungsnachweis zu RFC 9721 führt das im April 2025 veröffentlichte Dokument als Proposed Standard. Daraus folgt nicht, welche beteiligten Geräte die erweiterten Verfahren tatsächlich umsetzen.

Die am 8. September 2026 geprüften Errata verdeutlichen die Grenze. Ein Vorschlag, der die Aussage zur Rückwärtskompatibilität in der Zusammenfassung beanstandete, wurde abgelehnt. In der Begründung erkannte die zuständige Prüfung an, dass ein älterer PE die neu spezifizierte Mobilität einer IP-Adresse zu einer anderen MAC-Adresse nicht ohne Weiteres leistet. Sie unterschied das Fehlen neuer Funktionalität jedoch von einer Unverträglichkeit der bestehenden Codierung und der zuvor unterstützten Verfahren.

Das ist keine angenommene Korrektur, die den RFC für inkompatibel erklärt. Es ist ein Anlass für eine engere Betriebsfrage: Beherrschen die tatsächlich beteiligten Geräte das Verhalten, auf das sich der Wiederherstellungsplan stützt? Dieser Beitrag hat weder eine aktuelle Herstellermatrix erhoben noch ein Netz mit gemischten Versionen geprüft.

Ähnliche Zurückhaltung ist bei Sicherheitsannahmen nötig. Die Spezifikationen diskutieren, wie kompromittierter Verkehr auf der Endgeräteseite einen legitimen Host als bewegt und schließlich als doppelt erscheinen lassen kann. Eine Schutzmeldung kann eine Begrenzung rechtfertigen, ohne den Verursacher nachzuweisen. Umgekehrt macht der Wunsch nach schneller Rückkehr nicht jede wiederholte Bewegung harmlos.

Der Dienst ist die richtige Bezugseinheit

Heng Lu beschreibt den Auftrag von BTW als Darstellung der Realität statt Interessenvertretung. Seine Analyse von Anreizen und Stellvertretungsverhältnissen bietet einen Blick darauf, wer handeln kann und wer die Folgen des Wartens trägt. Sie ist kein Beleg dafür, Vorwürfe aus der Registry-Governance auf EVPN-Betreiber oder Ingenieure zu übertragen.

Die Anwendung fällt hier nüchtern aus: Eine abgeschlossene lokale Aufgabe ist nicht immer ein wiederhergestellter Dienst. Sowohl die Endgerätekorrektur als auch der beibehaltene Schutz können für sich begründet sein. Ihre Verbindung muss trotzdem jemand bis zum beabsichtigten Ergebnis verfolgen.

Dieser Beitrag misst keinen Ausfall und nennt keine allgemeine Wiederherstellungsfrist. Er beschreibt eine durch die Quellen belegte Abfolge und die daraus abgeleitete Führungsfrage. Der Abschnitt zwischen korrigierter Zuweisung und abgeglichenem Netzzustand gehört zum Betrieb des Dienstes. Er sollte nicht aus der Verantwortung fallen, nur weil sein Anfang und sein Ende in verschiedenen Verwaltungssystemen liegen.