Zusammenfassung

  • RFC 3478 bewahrte MPLS-Forwarding-Einträge und Label-FEC-Bindungen als veralteten Zustand, während LDP ihre Bedeutung neu aufbaute.
  • Reconnect-, Liveness-, Recovery- und Holding-Timer sowie ein frühes Wiederverwendungsverbot machten Kontinuität zu einer befristeten Leihe, nicht zum Wiederherstellungsbeweis.

„Graceful Restart“ klingt nach unversehrter Rückkehr. RFC 3478 regelte einen vorsichtigeren Handel: Die LDP-Komponente der Control Plane durfte neu starten und ihr Wissen neu lernen, während die Forwarding Plane Regeln von vor dem Ausfall weiter ausführte. Pakete konnten länger leben als die Erklärung ihres Weges.

Die Erhaltungsannahme war minimal. Ein LSR musste nicht den gesamten LDP-Zustand sichern, sondern nur tatsächliches MPLS-Forwarding: eingehendes Label zu ausgehendem Label und Next Hop oder am Ingress FEC zu ausgehendem Label und Next Hop. Das hielt einen LSP zunächst am Leben, bewies aber keine vollständige Kontrollbedeutung.

Nach dem Neustart wurden die erhaltenen Einträge stale markiert. Ein neues Label Mapping konnte sie durch Übereinstimmung von Ausgangslabel und vom Peer gelernter Next-Hop-Adresse bestätigen. Implicit NULL, Penultimate Hop und Egress verlangten weitere Bedingungen zu Pop und FEC. Erst die rekonstruierte Nachricht nahm einem Eintrag den stale-Status.

Eine Alternative erlaubte zeitweise zwei lokale Bindungen für dieselbe FEC: eine alte erhaltene und eine neu erzeugte. Beide teilten Ausgangslabel und Next Hop; die alte wurde später gelöscht. Laufende Weiterleitung bedeutete damit nicht, dass zu jedem Zeitpunkt genau eine Control-Plane-Wahrheit bestand.

Die Abmachung wurde von Zeit bestimmt. Das FT Session TLV trug FT Reconnect Timeout und Recovery Time. Der erste Wert sagte, wie lange ein Peer alten Zustand nach Kommunikationsverlust halten sollte. Der zweite sagte, wie lange der neu startende LSR tatsächlich erhaltenes Forwarding bewahren wollte.

Null war eindeutig. Null FT Reconnect Timeout bedeutete, dass der Sender sein eigenes Forwarding nicht erhielt, auch wenn er einem Nachbarn helfen konnte. Null Recovery Time bedeutete, dass alter Zustand nicht verfügbar war. Dann sollten stale Bindungen sofort verschwinden.

Lokale Grenzen verkürzten entfernte Wünsche. Vor Wiederverbindung galt das Minimum aus FT Reconnect Timeout und Neighbor Liveness Timer. Danach galt bei positiver Recovery Time das Minimum aus dieser Zeit und Maximum Recovery Time. Auf dem neu startenden LSR löschte der MPLS Forwarding State Holding Timer alle weiterhin stale Einträge bei Ablauf.

Die Timer hatten verschiedene Eigentümer. Der Peer verlangte Zeit, der lokale Betreiber begrenzte Vertrauen, die neu startende Maschine begrenzte ihre Reste. Das reale Fenster war die Schnittmenge, nicht der größte beworbene Wert.

Die RFC empfahl, Mappings in der ersten Hälfte der Recovery Time auszutauschen. Eine wiederhergestellte TCP/LDP-Session belegte aber nicht die vollständige LIB. 2003 gab es hier kein eindeutiges Endsignal. RFC 5919 führte später End-of-LIB Notification ein. Das erklärt die frühere Beweislücke, war aber kein Feld des ursprünglichen Vertrags.

Die Label-Sperrfrist schützte vor Bedeutungswechsel. Wenn Downstream eine Zahl freigab und neu belegte, während Upstream noch nach alter Zuordnung sendete, drohte Fehlleitung. Gegenüber einem Graceful-Restart-Peer sollte das freigegebene Label mindestens FT Reconnect Timeout plus Recovery Time nicht wiederverwendet werden.

Auch Angriffe zielten auf Zeit. Ein Angreifer konnte Recovery Time auf null setzen und Freigaben erzwingen. Umgekehrt konnte frühe Wiederverwendung eines plattformweiten Labels auf einen Peer treffen, der die alte Zuordnung noch nutzte. Authentifizierung half, ersetzte aber nicht die zeitliche Rekonstruktion beider Sichtweisen.

Unterbrechungsfreier Verkehr ist ein enger Beleg. Er zeigt, dass bestimmte Einträge überlebten und für beobachtete Pakete funktionierten. Er zeigt nicht, dass jede FEC erneuert, die LIB vollständig oder das Eigentum von auch durch BGP oder RSVP-TE vergebenen Labels erhalten war. Ebenso wenig garantiert er Sicherheit nach dem letzten Timer.

Heng Lus Realitätsebenen beginnen mit alter und neuer Session, TCP-Ereignissen, TLV und allen Timern. Forwarding, LIB und Protokollherkunft werden getrennt inventarisiert. Für jeden Eintrag werden stale-Zeitpunkt, bestätigendes Mapping, Peer-Adresse, Labeländerung, Löschung und Wiederverwendungsquarantäne festgehalten.

Erst danach folgt Verkehr. Eine verlustfreie Kurve ist kein Wiederaufbauprotokoll. Session-up ist nicht End-of-LIB. Positive Recovery Time ist eine Behauptung, keine Messung. Ein noch funktionierender Eintrag bleibt stale, bis Kontrollbelege ihn erneuern.

RFC 3478 gehört zur Internetgeschichte, weil es Kontinuität auf disziplinierten Zweifel gründete. Die Data Plane durfte ihre Kontrollgeschichte vorübergehend überleben, doch alter Zustand wurde nicht dauerhaft wahr. Die Labels leiteten auf geliehener Zeit weiter; das Protokoll regelte Vergabe, Verkürzung und Ende der Leihfrist.

Quellen