Zusammenfassung

  • RFC 7311 begrenzt AIGP auf zusammenhängende AS unter einer gemeinsamen Verwaltung; es ist keine universelle Distanzmetrik für das Internet.
  • Der 64-Bit-Gesamtwert ist nur sinnvoll, wenn IGP-Domänen, Inter-AS-Verbindungen und statische Routen vergleichbare Einheiten beitragen und die rekursive Auflösung keine unbekannte Lücke enthält.
  • Ein sicherer Betrieb verlangt getrennte Kontrolle über Sessions und Ursprung, vollständige Kandidatensicht, bekanntes Route-Reflector-Verhalten und einen Nachweis bis zur FIB und zum gemessenen Paketpfad.

Ein Betreiber übernimmt drei regionale Netze, behält jedoch deren AS-Nummern. Im Norden nähert sich der IS-IS-Cost der Latenz an. In der Mitte stammen OSPF-Werte aus Bandbreitenklassen. Im Süden dienen statische Gewichte dazu, teure Leitungen zu meiden. Das Management verlangt dennoch den „kürzesten internen Pfad“ durch das Gesamtunternehmen.

Nach Aktivierung von AIGP addiert jeder Abschnitt einen Wert. Auf den Routern erscheint eine saubere 64-Bit-Summe. Doch Millisekunden, Kapazitätsklasse und kommerzielle Präferenz ergeben keine Entfernung. Das Protokoll kann rechnen; die Organisation hat die Recheneinheit nicht definiert.

RFC 7311 adressiert einen engeren, legitimen Fall. Eine Verwaltung betreibt mehrere zusammenhängende BGP-AS und möchte sie wie einen gemeinsamen internen Kostenraum behandeln. Das Accumulated IGP Metric Attribute ist optional und nicht transitiv, trägt Type Code 26 und führt im ersten TLV einen acht Oktette breiten, vorzeichenlosen Wert.

Die Breite verhindert frühes Überlaufen, schafft aber keine Semantik. Ein Punkt kann Verzögerung, inverse Kapazität, Wartungsstrafe oder Policy-Gewicht bedeuten. Ein präziser Container kann eine falsche Vergleichbarkeit nur präziser konservieren.

Das eigentliche Verfassungsobjekt ist die AIGP administrative domain. Sie ist keine bloße ASN-Liste, sondern ein Vertrauensraum mit gemeinsamer Einheit, Skala, Akkumulationsregel und Außengrenze. Gemeinsames Eigentum genügt nicht. Zwei OSPF-Domänen können andere reference bandwidths verwenden; zwei IS-IS-Domänen können durch Automatisierungen mit gegensätzlichen Zielen gespeist werden.

AIGP ist auch kein MED-Ersatz. MED berät gewöhnlich über einen Eintrittspunkt und bildet keine vollständige Pfadsumme. Ebenso wenig ist AIGP ein Vorschlag für eine globale Internetmetrik. Unabhängige Betreiber hätten unterschiedliche Einheiten und Anreize; die kleinste Zahl könnte lediglich die aggressivste Behauptung sein.

AIGP_SESSION setzt die Grenze je Nachbarschaft. Standardmäßig sollte AIGP in IBGP und zwischen Mitgliedern derselben Confederation aktiv sein, auf anderen EBGP-Sessions muss es deaktiviert sein. Trifft das Attribut dort ein, wird es wie ein unbekanntes nicht transitives Attribut ignoriert und nicht weitergegeben. Ein rate-limitiertes Log ist ein Grenzereignis mit Beweiswert.

Die Erzeugung besitzt eine eigene Berechtigung. AIGP_ORIGINATE muss standardmäßig aus sein. Ein Speaker darf das Attribut nicht an eine Route hängen, deren Pfad aus der administrativen Domäne führt, muss die zulässigen Routenklassen beachten und sich selbst zum Next Hop machen. Empfangserlaubnis darf nicht zur Erzeugungsbefugnis werden.

Das Non-Transitive-Bit ist keine vollständige Mauer. Aktivieren beide Seiten einer externen Session die Funktion falsch, kann AIGP zwischen Providern austreten und unsinnige Selektion verursachen. Wirksamer Schutz besteht aus Session-Matrix, Policy, Alarmierung und einem isolierten Test dieser beidseitigen Fehlkonfiguration.

Die Akkumulation folgt dem Next-Hop-Wechsel. Bleibt er unverändert, bleibt auch der Wert unverändert. Setzt ein Router sich selbst als Next Hop ein, addiert er eine lokale, von null verschiedene Distanz zum bisherigen Next Hop. Eine direkte EBGP-Verbindung ohne IGP benötigt trotzdem einen vergleichbaren Zuschlag. „Nicht gemessen“ bedeutet nicht „kostenlos“. Für statische Routen gilt dasselbe.

Bei rekursiver Auflösung kann ein BGP Next Hop über weitere BGP-Routen erreicht werden. Vorhandene AIGP-Werte werden zusammen mit der abschließenden IGP- oder statischen Distanz akkumuliert. Fehlt in einer BGP-Zwischenroute AIGP, muss das ausgehende Attribut entfallen. Eine unbekannte Strecke darf nicht als Null in einer vollständigen Summe verschwinden.

Syntaktische Vollständigkeit erkennt jedoch keinen Bedeutungswechsel. Jeder Hop kann das TLV tragen, obwohl eine Domäne ihre Skala geändert hat. Ein Metrikregister muss daher Quelle, Einheit oder Policy-Bedeutung, Maßstab, Referenz, Eigentümer, Kalibrierung, Transformation, Inter-AS-Zuschlag und Topologiealgorithmus dokumentieren.

Bei Flex-Algo können zwei gleiche Ganzzahlen verschiedene eingeschränkte Graphen beschreiben. Der Cost einer Low-Latency-Topologie ist nicht automatisch mit dem der Standardtopologie addierbar. Die Algorithmusidentität gehört zur Einheit.

Beim Zahlenmaximum wird gesättigt; ein Wraparound ist unzulässig. Sonst würde der teuerste Pfad als winzige Zahl erscheinen. Die Telemetrie sollte zudem „nicht vorhanden“, „durch Session-Policy ignoriert“, „als fehlerhaft verworfen“ und „vorhanden, aber nicht gewählt“ getrennt ausweisen.

Im Entscheidungsprozess ist AIGP mehr als ein später Zahlenvergleich. Erreicht die Auswahl diese Stufe und mindestens ein Kandidat trägt das TLV, werden Kandidaten ohne AIGP zunächst entfernt. Für die übrigen addiert der Router den empfangenen Wert zur eigenen IGP-Distanz zum Next Hop und behält den kleinsten Gesamtwert.

Anwesenheit bildet also eine Kandidatenklasse. Eine Route mit sehr hohem AIGP kann eine Route ohne Attribut schlagen. Während einer Teilmigration verändert schon die Aktivierung einer Session die Auswahlmenge, ohne dass sich die physische Topologie ändert. Der erwartete Diff muss Anwesenheit, Fehlen und Ausscheidungsstufe erklären, nicht nur Zahlen vergleichen.

„Der kleinste AIGP gewinnt immer“ bleibt dennoch falsch. Eine Route mit eindeutig höchstem Preference-Grad kann bereits vorher gewinnen; ungültige, schleifenbehaftete oder nicht auflösbare Wege können schon entfernt sein. Nur die vollständige Entscheidungsreihenfolge erklärt das Resultat.

Sichtbarkeit begrenzt die Qualität. Ein Router kann keinen Pfad wählen, den er nie erhalten hat. RFC 7311 empfiehlt unter anderem best-external und ADD-PATH. Ein Route Reflector, der nur seinen eigenen besten Pfad übermittelt, kann den aus Client-Sicht niedrigsten Gesamtpfad verbergen. Gemischte Unterstützung verschärft diese Perspektivdifferenz.

Der Nachweis muss Kandidaten an Reflector und Client, ADD-PATH-Richtung, Attributerhalt, lokale Distanz, berechneten Gesamtwert und Best-Path-Grund erfassen. Dasselbe TLV an zwei Geräten beweist keine identische vollständige Rechnung.

AIGP koppelt IGP-Änderungen außerdem an BGP-Churn. Häufige Distanzschwankungen können ebenso häufige UPDATEs auslösen. Ein Suppression Threshold schafft eine Totzone: weniger Kontrollverkehr gegen vorübergehend veraltete Werte. Seine Freigabe bestimmt zulässigen Fehler und zulässige Staleness und ist keine harmlose Leistungsoptimierung.

Bei Wartung kann ein stark erhöhter Link-Cost über mehrere AS propagieren und Traffic vor der Abschaltung verdrängen. Das Runbook muss betroffene Präfixe, erwartete Summen, ausgeschlossene Fluchtwege ohne Attribut, Ausbreitungszeit und tatsächlichen FIB-Ausgang vorhersagen. Ein Cost-out-Befehl allein beweist keine Entleerung.

Fehlerhafte Automation oder ein Angreifer kann die Rangfolge ändern, ohne Reachability zu fälschen. Alarme sollten externe Grenzempfänge, neue Originatoren, unzulässige Präfixklassen, unerwartete Next-Hop-Änderungen, nicht registrierte Zuschläge, rekursive Lücken und Werte nahe dem Maximum erfassen. Gerätepuffer sind kein dauerhaftes Sicherheitsarchiv.

Vier Betriebsartefakte tragen die Einführung. Eine Domain Charter listet AS, Address Families, Sessions, Topologien, Tunnel und Außengrenzen. Das Semantikregister definiert jede Einheit. Ein Prefix Trace rekonstruiert Ursprung, Zuschläge, Rekursion, Kandidaten und FIB. Eine Boundary Matrix belegt Aktivierungsrichtung und Erkennung beidseitiger Fehlkonfiguration.

Der Rollout beginnt mit einer kleinen, reversiblen und beobachtbaren Kohorte. Er prüft Mixed Support, fehlendes Attribut, rekursive Lücke, Reflector-Unterdrückung, Thresholds, Sättigung, Cost-out, Leak und Rollback. Auch das Abschalten ändert die Kandidatenklasse und verlangt einen neuen Nachweis für Hin- und Rückpfad.

Autorität bleibt verteilt. Architektur definiert die Domäne, IGP-Verantwortliche lokale Metriken, Interconnect-Teams die AS-Zuschläge, Routing Policy Ursprung und Sessions, Security die Leakerkennung und Service Owner den Paketpfad. Kein Team sollte Einheit, Veröffentlichung und Wirkungszertifikat allein kontrollieren.

Heng Lus Minimum Initial Specification unterstützt genau diese enge freiwillige Vereinbarung. Die gemeinsame Spezifikation reicht für koordinierte AS einer Verwaltung, ohne unabhängigen Netzen eine Einheit aufzuzwingen. Running-Code Primacy ordnet die Beweiskette: Konfiguration, transportiertes TLV, Entscheidungsgrund, FIB und gemessener Pfad.

Praktische Datensouveränität bedeutet, nachvollziehen und widerrufen zu können, welche Automation einen Cost änderte, welcher Speaker welchen Term addierte und warum eine Route verlor. Router zu besitzen, ohne die Herkunft der Summe zu kennen, heißt die Entscheidung nur zu beherbergen.

AIGP kann ein fragmentiertes internes Netz wie einen kohärenten Kostenraum wirken lassen. Es gelingt mit enger Grenze, gleicher Bedeutung jedes Terms, sichtbaren Lücken und Paketwegen, die die Rechnung bestätigen. Entscheidend ist nicht, ob Router addieren können, sondern ob die Organisation das Recht erworben hat, die Summe eine Distanz zu nennen.

Quellen