Zusammenfassung

  • Eine kombinierte EVPN-Route kann MAC und IP mit nur einer Mobility Sequence führen. Diese Ordnung verliert ihre Eindeutigkeit, wenn eine IP zu einer anderen MAC wechselt, eine MAC eine andere IP erhält oder all-active-PEs denselben Host in verschiedenen Zustandsständen lernen.
  • RFC 9721 behält das einzelne Feld durch eine übergeordnete MAC-Sequenz, Vererbung an MAC+IP-Kinder, Peer-Synchronisierung, Maximum-Regeln, ARP/NDP-Sonden und scoped Duplicate Recovery. Der höhere Wert belegt weder Identität noch Standort, FIB-Konvergenz oder Diensterfolg.

Drei Anzeigen liegen im Incident-Ticket. Die MAC-only-Route trägt 16, zwei kombinierte MAC+IP-Routen tragen 11 und 19. Die Implementierung bildet daraus 19, entscheidet sich für einen Pfad und stellt die Ordnung wieder her. Danach wird die Frage gestellt, die vorher hätte gestellt werden müssen: Weshalb existierten drei Versionen desselben Elternobjekts?

Das Maximum beantwortet diese Frage nicht. Es schützt einen Empfänger davor, hinter einen bereits gesehenen Stand zurückzufallen. Es kann aber nicht zwischen echtem Umzug, Peer-Korrektur, alter Nachbartabelle, Race oder manipuliertem Host-Traffic unterscheiden.

RFC 9721 ist deshalb eine Studie über begrenzte Evidenz. Das Protokoll bewahrt ein kompaktes Attribut. Die Betriebsorganisation muss dessen Herkunft bewahren.

Ein gemeinsames Paket ist keine gemeinsame Identität

RFC 7432 definierte die MAC Mobility Extended Community. Zieht eine MAC auf ein anderes Ethernet Segment, kann eine höhere Sequenz die neuere MAC-Route kennzeichnen. Das versionierte Objekt ist klar.

EVPN-IRB legt MAC und IP in Route Type 2 zusammen. Nach RFC 9135 landet die MAC in der Bridge-Tabelle; die IP-Zuordnung in ARP/ND oder die Route im IP-VRF. Ein Transportobjekt speist mehrere Ausführungsebenen.

Virtualisierung löst die vermeintliche Eins-zu-eins-Beziehung. Eine VM behält ihre IP und erhält nach Reload eine neue MAC. Eine MAC bleibt bestehen, während das Provisioning eine andere IP vergibt. Hinter einer Firewall teilen viele IPs eine MAC.

Beginnt jedes neue Paar bei null, verliert die neue Wirklichkeit gegen die ältere Route mit größerem Zähler. Wird jedes Paar unabhängig hochgesetzt, können Geschwister derselben MAC verschiedene Geschichten erzählen. Zwei Felder im Wire Format würden andere Kompatibilitätskosten erzeugen.

RFC 9721 macht deshalb die lokale MAC-Route zum Elternobjekt. Verbundene MAC+IP-Routen erben ihre Sequenz. War die IP zuvor mit einer anderen entfernten MAC verknüpft, muss der neue Elternwert auch deren Sequenz übersteigen. Steigt der Elternwert durch Peer-Sync-Local, folgen alle Kinder.

Auf der Leitung ist diese Abhängigkeit unsichtbar. Der Empfänger sieht einen Wert, nicht die verglichenen Remote-Routen, den alten Elternstand, die aktualisierten Kinder oder einen verbliebenen ARP-Eintrag. Ein BGP-Mitschnitt beweist die Aussage, nicht ihre Herleitung.

Ein belastbarer Datensatz verknüpft Lernereignis, Interface, ESI, MAC/IP, Elternwert vorher und nachher, alle Vergleichswerte, betroffene Kinder sowie Advertisement und Withdrawal. Erst diese Kette macht aus Syntax eine begründete Version.

All-active braucht eine gemeinsame Epoche

Mehrere PEs können ein Ethernet Segment all-active bedienen. Frames und ARP/NDP-Antworten werden über verschiedene Links verteilt. Lokales Lernen ist asynchron.

Nach einem Host-Umzug lernt PE1 möglicherweise erst, nachdem die alte Remote-Route verschwunden ist, und vergibt null. PE2 lernt vorher und vergibt N+1. Beide Entscheidungen passen zum jeweiligen Datenbestand. Remote erscheint derselbe ESI mit zwei Epochen; ECMP kann ausbleiben. Eine spätere Route N kann bei einem PE gewinnen und beim anderen verlieren.

RFC 9721 verlangt den Abgleich lokaler und Peer-Sync-Local-Sequenzen. Der Peerwert kann das lokale Elternobjekt anheben; alle Kinder müssen nachziehen. Nachzuweisen ist nicht nur ein erreichbarer Sync-Kanal, sondern dieselbe Epoche auf allen PEs, die für den ESI werben dürfen.

Deshalb gehören Peer-Mitgliedschaft, Objekt, Quellenwert, alter Lokalwert, Gewinner, Kinderliste und Anwendung auf jedem PE in die Akte. Ein identischer ESI ist eine Zuständigkeitsgrenze, kein Konsensbeleg.

Das Maximum ist eine Monotonie-Regel

Bei gemischten Implementierungen können MAC-only und MAC+IP unterschiedliche Sequenzen tragen. Der Empfänger soll den Remote-Elternwert als Maximum interpretieren und ihn nach einem Withdrawal neu berechnen. Fehlt MAC-only vollständig, wird er aus den kombinierten Routen abgeleitet.

Diese Regel verhindert Rückschritt. Sie misst keine Zeit. Der größte Wert kann aus legitimer Mobilität, Synchronisierung, einem hin- und herspringenden Binding, Stale State oder Spoofing stammen. Er sagt nicht, welcher Workload beabsichtigt war oder ob die ausgewählte Route den FIB erreichte.

Im aktuellen Errata-Verzeichnis zu RFC 9721 steht Technical Erratum 9001 auf Rejected. Das Beispiel zeigt, dass ein reiner RFC-7432-PE beim Wechsel derselben IP zu einer neuen MAC deren Sequenz nicht zwingend über die alte MAC hebt. Der Area Director bestätigte die Grenze des neuen Verhaltens auf einem Legacy-PE, lehnte aber die Behauptung fehlender Rückwärtskompatibilität ab: RFC 7432 definierte den erweiterten Fall nicht; Encoding und vorherige Funktion bleiben interoperabel.

Das Erratum ändert die Norm nicht. Für den Betrieb folgt dennoch: Wer die erweiterte Semantik braucht, muss deren Implementierung auf den beteiligten PEs nachweisen.

Eine Sonde prüft Präsenz, nicht Berechtigung

Eine gewinnende Remote-Route löst Probe-and-Delete für lokalen Zustand aus. RFC 826 beschreibt ARP; RFC 4861 Neighbor Discovery.

Eine Antwort beweist, dass etwas lokal für die Adresse antwortet. Sie authentifiziert keinen Workload, bestätigt keine Orchestrator-Zuweisung und beweist den Remote-Pfad nicht. Schweigen kann Umzug, Inaktivität, Filterung, Verlust oder falschen Probe-Kontext bedeuten.

Beim Shared-MAC-Race wechseln zwei IPs ihre Bindungen, während alte MAC-, ARP- oder NDP-Einträge fortbestehen. Neue Routen springen zwischen PEs und erhöhen Sequenzen. Erst die Prüfung und Entfernung der alten Beobachtung beendet das Rennen.

Darum müssen Ziel, Interface, Zeitpunkt, Antwort, gelöschter Eintrag, Withdrawal, neuer FIB und nachfolgende Pakete zusammenstehen. Die höhere Route genehmigt die Untersuchung; sie schließt sie nicht ab.

Duplicate Freeze braucht einen begrenzten Gegenstand

RFC 9161 definiert Duplicate-IP-Erkennung für Proxy ARP/ND. RFC 9721 trennt doppelte MAC, gleiche IP an verschiedenen MACs und IP-only im Routed Overlay. RFC 9136 liefert den Route-Type-5-Kontext.

Eine Zahl von Moves innerhalb eines Fensters kann den Zustand einfrieren. Das ist eine Schutzentscheidung unter Unsicherheit, kein Angriffsbeweis. Migration Loop, Sync-Fehler, Doppelprovisionierung und Spoofing sehen ähnlich aus.

Recovery beginnt am Host: die falsche Zuweisung entfernen. Aging, Unfreeze oder Clear folgen. Unfreeze erzeugt eine höhere Sequenz. Bleibt der Konflikt, kehrt er mit größerer Zahl zurück; wird nur ein all-active-PE bereinigt, kann der Peer die umstrittene Epoche zurückbringen.

Zum Abschluss gehören Host-Korrektur, eng begrenzte Tabellenaktion, Konvergenz aller Peers und bidirektionales Anwendungsergebnis. Der Zähler besitzt keine dieser Aussagen.

Ein nachvollziehbares Mobilitätsbuch

Aufzubewahren sind Plattformabsicht, lokales Lernen, Eltern und Kinder, Peer-Sync-Local, Remote-Anzeigen und Withdrawals, tatsächliche Versionsunterstützung, Maximum-Berechnung, RIB-, Bridge-, ARP/NDP-, IP-VRF- und FIB-Änderungen, Sonden, Duplicate-Schwellen, Freeze/Unfreeze-Autorität und Serviceergebnis.

Die Eigentümer unterscheiden sich. Plattform verantwortet Soll-Identität; Access-PE lokale Beobachtung; Multihoming-Gruppe die Epoche; BGP die Verteilung; FIB die Ausführung; Service Owner das Ergebnis. Ein einziges „Fabric converged“ darf diese Belege nicht verschlucken.

Lu Hengs Minimum-Initial-Specification-Doktrin erlaubt ein gemeinsames Feld, ohne ihm Gesamtgewalt zu geben. Reality Layers trennen Anzeige, Auswahl, Forwarding und Wirkung. Running-Code Primacy bewertet synchronisierte Tabellen, aktive Sonden und Pakete höher als einen eleganten Zähler.

RFC 9721 macht den Zähler nicht allwissend. Sie setzt ihn in ein System von Abhängigkeiten. Wer nur den höchsten Wert speichert, behält die Ordnung und verliert die Erklärung — genau dann wird Kompatibilität zur Quelle von Scheinsicherheit.

Quellen