Zusammenfassung

  • Zwei aktive SPRING-Entwürfe definieren Timestamp and Forward für SRv6 und SR-MPLS. Der Reflektor schreibt T2 im schnellen Datenpfad in ein nicht authentifiziertes STAMP-Paket und sendet es ohne vollständige Reflektorverarbeitung zurück, um mehr Sitzungen und kürzere Intervalle zu ermöglichen.
  • Innerhalb einer kontrollierten Verwaltungsdomäne kann die Messung nützlich sein. Der Zeitstempel allein belegt aber weder Schreiber, Pfad und Uhr noch seine Entscheidungsbefugnis. Ein Modus- und Vertrauensnachweis sollte Zulassung, Dienstkontext, Zeitzustand, Prüfungen und erlaubte Folgeschritte binden.

Die Messreihe hatte eine Herkunft, die Tabelle nicht

Ein Netzteam sammelt eng getaktete TSF-Werte, um eine vorübergehende Störung zu finden. Wochen später taucht dieselbe Reihe in einer Lieferantenbewertung auf. Die Spalten mit Zeit, Verlust und Verzögerung sind vollständig. Die Spalten für Messmodus, Grenzfilter und Uhrzustand wurden nie exportiert.

Damit ist nicht bewiesen, dass die Zahlen falsch sind. Verloren ging, warum sie für ihren ersten Zweck als hinreichend galten. Ein kontrolliertes Netz kann nicht authentifizierte Messungen verantwortbar einsetzen. Doch Kontrolle ist kein unsichtbares Merkmal der Zahl. Sie besteht aus zugelassenem Sender, bekanntem Reflektor, festgelegten Pfaden, Filtern, Gerätezustand und einer begrenzten Verwendung.

Je präziser ein Zeitwert erscheint, desto leichter wird Darstellung mit Autorität verwechselt. T2 sagt, welcher Wert an einer Stelle geschrieben wurde. Es sagt nicht eigenständig, wer den Schreibvorgang auslösen durfte oder ob ein Vertrag diesen Wert als Schiedsrichter anerkennt.

Warum der Datenpfad attraktiv ist

Bei normaler STAMP-Reflektorarbeit verlässt das empfangene Testpaket den schnellen Weiterleitungspfad, wird protokollseitig verarbeitet und als Antwort neu vorbereitet. TSF verkürzt diesen Weg. Der Sender setzt T1, der Reflektor trägt T2 an der festgelegten Payload-Position ein und leitet das Paket zurück; beim Empfang nimmt der Sender T4.

Aus T2 minus T1 entsteht die Vorwärtsverzögerung, aus T4 minus T1 die Loopback-Verzögerung. Die Verarbeitung im Datenpfad soll mehr Sitzungen und kürzere Messintervalle ermöglichen. Kurzlebige Überlastung wird sichtbarer, und ein Teil der durch Softwareplanung am Reflektor entstehenden Streuung kann entfallen.

Die technischen Oberflächen bleiben verschieden. SRv6 sieht End.TSF-Verhalten für PTPv2 und NTPv4 vor, die auf geeigneten Reflektoren an SIDs gebunden werden. SR-MPLS verwendet vorgeschlagene Opcodes im MPLS Network Action Sub-Stack. Ein Nachweis muss diese konkrete Ausprägung nennen; eine IPv6-Grenzkontrolle belegt keine Einschränkung einer MPLS-Aktion.

Nicht authentifiziert ist eine Grenze, kein Urteil

Beide Entwürfe beschränken TSF auf das nicht authentifizierte Reflektorformat aus RFC 8972. Das authentifizierte Format wird nicht unterstützt. RFC 8762 schützt im Authentifizierungsmodus die Nachrichtenintegrität mit auf 128 Bit gekürztem HMAC-SHA-256. Schlüsselverwaltung liegt außerhalb der Basisspezifikation, doch eine erfolgreiche Prüfung bleibt eine zusätzliche Aussage.

TSF wird dadurch nicht schutzlos. Vorgesehen ist eine einzelne Verwaltungsdomäne, in der der Betreiber Sender, Reflektor sowie Hin- und Rückpfad bereitstellt. Die Verarbeitung ist auf vertrauenswürdige Knoten und Sitzungen zu beschränken; einschlägige IPv6- oder MPLS-Pakete sind an Domänengrenzen zu filtern. Verhalten oder Aktion, Zeitformat, Offset und vorhandene Payload-Länge müssen vor dem Schreiben geprüft, fehlerhafte Pakete verworfen werden.

Vertrauen kommt hier aus der Umgebung. Zugangskontrolle, Konfiguration, physische Beherrschung, Schutz einer anderen Schicht und unabhängige Telemetrie können zusammen genügen. Der spätere Nutzer muss aber erkennen können, welche Bausteine tatsächlich vorhanden waren. Ein Zahlenexport transportiert die Verwaltungsdomäne nicht mit.

Vier Fragen hinter einem Verzögerungswert

Nachrichtenintegrität fragt nach Veränderung und Fälschung. Authentifiziertes STAMP bietet dafür HMAC. TSF verwendet dieses Format nicht. Ein möglicher SRH-HMAC bei SRv6 ist separat auszuweisen, statt dem Zeitstempel zugerechnet zu werden.

Zeitgüte fragt nach Synchronisation. Für T2 minus T1 müssen Sender und Reflektor über NTPv4 oder PTPv2 synchronisiert sein. Das gewählte Datenformat bestätigt weder aktuellen Gleichlauf noch ausreichende Genauigkeit. Zeitquelle, letzte Synchronisierung, Fehlerschätzung und Holdover gehören zur Reihe. T4 minus T1 wird an derselben Senderuhr gebildet; Loopback-Verlust hat wiederum andere Voraussetzungen.

Pfadtreue fragt, ob der Probeverkehr den beanspruchten Datenverkehr vertritt. Gleiche SR-Kapselung ist hilfreich, beweist aber nicht denselben ECMP-Zweig, dieselbe Warteschlange oder jeden Kundenfluss. Kontexttreue fragt, ob das Ergebnis im Dienst bleibt, in dem das Paket eintraf. Die Entwürfe verlangen diese Trennung, erteilen aber keine Erlaubnis für dienstübergreifende Schlussfolgerungen.

HMAC richtet keine Uhr. Eine gute Uhr authentifiziert keinen Sender. Ein zugelassener Sender beweist keine Repräsentativität. Deshalb ist „vertrauenswürdig“ als einziges Feld zu grob.

Ein Nachweis für die Messreihe

Der Modus- und Vertrauensnachweis benennt Sitzung, Sender, Reflektor und Verantwortlichen. Er hält SRv6 oder SR-MPLS, Messmodus und authentifiziertes oder nicht authentifiziertes Paketformat fest. Fingerprints binden Hin- und Rückpfad, Kapselung, Segmentliste und Dienst- oder Mandantenkontext.

Für TSF kommen End.TSF-Verhalten oder MPLS-Opcode, Zeitformat, Offset, Fähigkeitsprüfung, Zulassungsregel, Grenzfilter und Sitzungskennungsrichtlinie hinzu. Externer Schutz bleibt als eigener Kontrollpunkt sichtbar. T1, T2 und T4 werden mit Zeitquelle, Synchronisationszustand, Fehler und letzter Prüfung verknüpft.

Der Betriebsteil enthält Rate, Intervall, Stichprobenzahl, Verlust, Ablehnungen, fehlerhafte Pakete, Schreibfehler und Plausibilitätsprüfungen. Der Entscheidungsteil nennt Aggregationsfenster, Ausreißerbehandlung, Schwelle, Unsicherheit, Genehmiger und zulässige Aktion. Fingerprints der Rohdaten reichen; Schlüssel, vollständige Topologie und Nutzverkehr bleiben geschützt.

Eine Änderung an Pfad, Software, Filter, Uhr, Dienst oder Zweck lässt den Nachweis ablaufen. Eine interne Diagnosemessung wird nicht durch Kopieren zum Vertragsbeleg.

Die Institution entscheidet über Folgen

Ein Alarm darf vorläufig sein. Eine automatische Umleitung braucht Bestätigung, Wirkungsgrenze und Rückweg. Eine SLA-Abrechnung verlangt reproduzierbare Methode, genaue Grundgesamtheit und Einspruchspfad. Dass alle drei dieselbe Reihe lesen können, vereinheitlicht ihre Befugnis nicht.

Heng Lus Gedanke einer minimalen Anfangsspezifikation mit lokalisierten Zukunftsentscheidungen passt hier besonders gut. Gemeinsames Paketverhalten schafft Vergleichbarkeit. Der Betreiber entscheidet lokal, wofür die Messung genügt, und hält genau diese Entscheidung fest. Globale technische Koordination muss keinen einzelnen Vertrag auslegen.

Entwurfsstand ist kein Betriebsnachweis

Die Dokumente vom 12. September 2026 sind aktive Internet-Drafts mit angestrebtem Informational-Status. Verhalten und Opcodes warten auf Zuweisung. Implementierungshinweise belegen konkrete Arbeit, jedoch weder allgemeine Unterstützung noch Produktionsmaßstab oder eine bestimmte Betreiberpraxis.

Die Texte verwischen das nicht. Sie kombinieren vertrauenswürdige Sitzungen, Grenzfilter, Prüfungen, Zähler und begrenzte Benachrichtigungen mit dem ausdrücklichen Ausschluss des authentifizierten Formats. Erst ein nachgelagertes System würde daraus eine falsche Gewissheit machen, wenn es die Kurve speichert und die Voraussetzungen wegwirft.

Quellen