Zusammenfassung

  • RFC 9747 prüft eine Schleife über einen benachbarten IP-Weiterleiter. Zustand und Zieladresse stammen vom lokalen Gerät; der Nachbar gibt keine eigene BFD-Erklärung ab.
  • Genau 254 als empfangener TTL beziehungsweise Hop Limit, passende Weiterleitung und lokale Parameter belegen keinen entfernten IP-Endpunkt oder Anwendungsdienst.
  • Eine Alarmmeldung kann eine vorher genehmigte Schnittstellenaktion auslösen. Wiederherstellung des Echos ersetzt weder Nutzerbelege noch die Bedingungen für sicheres Zurückschalten.

254 ist eine Bedingung, keine Identität

Eine Zahl macht die Grenze dieses Verfahrens besonders sichtbar. Pakete müssen mit TTL oder IPv6 Hop Limit 255 gesendet werden und mit genau 254 zurückkommen. Andere Werte müssen verworfen werden. Das gilt auch dann, wenn Authentifizierung eingesetzt wird. Wer die Annahmeregel lockert, um eine abweichende Topologie trotzdem als Up zu melden, verändert den Test statt seine Gültigkeit nachzuweisen.

Dennoch benennt 254 allein keinen unabhängig identifizierten Nachbarn. Die Regel prüft die vorgesehene Hop-Bedingung unter den Annahmen der IP-Weiterleitung. Tunnel und Sonderbehandlungen erfordern eine eigene Prüfung dieser Annahmen. Authentifizierung beantwortet wiederum eine andere Frage: RFC 9747 empfiehlt den BFD Authentication Section wegen möglicher gefälschter Echo-Pakete. Der authentifizierte Inhalt wird jedoch am lokalen Gerät A erzeugt, nicht am Nachbarn B. Seine gültige Rückkehr macht B nicht zu einem eigenständig authentifizierten Absender mit einer Erklärung über Identität, Wartungsabsicht oder Anwendungszustand.

Diese Zurückhaltung ist kein Mangel der Erweiterung, sondern ihr Aufbau. B muss gerade keine vollständige BFD-Implementierung ausführen. Es soll ein gewöhnlicher IP-Weiterleiter sein, der ein Paket zurückschickt. Dadurch entfallen bestimmte Anforderungen an die Gegenseite; zugleich entfällt deren Protokollaussage.

Eine Zieladresse am Ausgangspunkt

A schickt das Paket über eine bestimmte Schnittstelle zu B, obwohl die IP-Zieladresse A selbst gehört. B leitet es normal an A zurück. RFC 9747, Abschnitt 1, sagt ausdrücklich, dass damit die Verbindung zu einem Gerät über eine bestimmte Schnittstelle geprüft wird, nicht die Verfügbarkeit einer bestimmten IP-Adresse auf diesem Gerät.

Der im März 2025 veröffentlichte IETF-Standards-Track-RFC aktualisiert RFC 5880. Er umfasst IPv4 und IPv6 für einen einzigen IP-Hop. Veröffentlichung ist ein Beleg für eine Spezifikation, nicht für Verbreitung oder gemessene kürzere Ausfälle. Für mehrere Hops eignet sich dieses Verfahren nicht: Bereits der erste Hop schließt die Schleife, bevor ein längerer gewünschter Pfad durchlaufen wurde. Die Anwendung hinter B hat überhaupt nicht antworten müssen.

Ein gesundes Echo kann deshalb neben einem ausgefallenen Management-Endpunkt oder einer gestörten nachgelagerten Anwendung bestehen. Der lokale Test wäre nicht notwendigerweise falsch. Falsch wäre die umfassendere Aussage, der Dienst sei gesund. Auch die Gegenrichtung ist möglich: Filteränderungen, fehlerhafte lokale Zuordnung oder Empfangsverzögerungen lassen Echo ausfallen, während Nutzertransaktionen weiter gelingen. „Falsch positiv“ und „falsch negativ“ sind hier nur sinnvoll relativ zu einem benannten Dienst und Beobachtungszeitraum. Sie sind nicht automatisch Fehler der BFD-Zustandsmaschine.

Ohne fremden Zustand

Der Test nutzt das Format eines BFD-Control-Pakets auf dem UDP-Echo-Zielport 3785. B fängt es nicht zur BFD-Verarbeitung ab und liest keine BFD-Felder. A wendet die relevanten asynchronen Verarbeitungsschritte, Prüfung und Authentifizierung auf die Rückkehr an. Aus lokaler Sicht kann es eine Sitzung sein; eine Koordination des BFD-Zustands zwischen beiden Enden gibt es nicht.

Down, Init und Up werden folglich aus lokal erzeugtem und zurückgeschleiftem Zustand gespeist. AdminDown wird nicht genutzt. B meldet keine administrative Freigabe nach einer Wartung. My Discriminator wird auf A provisioniert, Your Discriminator beginnt bei null und übernimmt danach den zurückgekommenen My Discriminator. Anfangs ordnet A anhand Quell-IP oder UDP-Quellport zu, später ausschließlich anhand Your Discriminator. Diese Kennung wählt eine Sitzung, ohne die entfernte Identität zu bescheinigen. Abschnitt 2 legt die Abläufe fest.

Vorbereiten bleibt eine gemeinsame Aufgabe

B muss tatsächlich IP weiterleiten; auf Hosts ist das möglicherweise nicht voreingestellt. Wie B für das Zurückleiten konfiguriert wird, liegt außerhalb des RFC. Auf A darf das an A adressierte Paket nicht in lokaler Zustellung enden. Es muss über die ausgewählte Schnittstelle zum vorgesehenen B gelangen. Auf Mehrfachzugriffsverbindungen muss auch das Datenlink-Ziel passen. Ein Mitschnitt an der Schnittstelle belegt den Versand besser als ein Konfigurationsname.

Die geerbten Echo-Kapselungsregeln von RFC 5881 vermeiden Redirects. Eine Quelle im Subnetz der ausgehenden Schnittstelle oder eine IPv6-Link-Local-Quelle ist ungeeignet, sofern nicht feststeht, dass keine Umleitung erfolgt. Strenge Unicast-Reverse-Path-Prüfung kann die Schleife ebenfalls verhindern; RFC 9747 weist darauf hin, RFC 3704 erläutert die Prüfung. Der begrenzte Echo-Pfad muss mit Eingangsschutz vereinbar sein. Eine netzweite Abschaltung des Schutzes gegen Quelladressfälschung folgt daraus nicht.

Ändert B seinen Filter oder die Weiterleitung, erhält A darüber keine BFD-Verwaltungsmeldung. Es sieht womöglich nur einen nicht mehr funktionierenden Test. Geringere Protokollabhängigkeit ist daher nicht mit geringerer Verantwortung für die Betriebsbedingungen gleichzusetzen.

Der Zeitvertrag liegt auf A

Desired Min TX Interval und Required Min RX Interval müssen definierte Werte enthalten, damit kein uninitialisierter Speicher offengelegt wird. Empfohlen ist eine Sekunde, also 1.000.000 Mikrosekunden; für Required Min Echo RX Interval wird null empfohlen. Alle drei Werte werden beim Empfang ignoriert, die ersten beiden dürfen nicht in Detection Time eingehen. Sie sind keine ausgehandelte Bereitschaft von B.

A provisioniert den Sendeabstand im Zustand Up und Detect Mult. Beginn und Neustart nach Down nutzen die im RFC beschriebene langsame Rate von höchstens einem Paket je Sekunde, Up den konfigurierten Abstand. Fehlt in Up die festgelegte Zahl erwarteter Echo-Pakete, muss A Down melden und LocalDiag auf 2, Echo Function Failed, setzen. Abstand mal Fehlzahl erklärt ein nominales Budget, aber keine gemessene Ende-zu-Ende-Wiederherstellung. Empfangsplanung, Client-Aktion, Weiterleitungsänderung und erfolgreiche Nutzertransaktionen liegen auf weiteren Zeitachsen.

Die belastbare Aussage bleibt klein: Eine benachbarte Weiterleitungsschleife erfüllte lokale Annahmeregeln im lokalen Budget. Diese Aussage ist operativ wertvoll, solange sie nicht als Verfügbarkeitserklärung für einen ganzen Dienst ausgegeben wird.

Quellen

Spezifikation, übernommene Regeln und Status: RFC Editor, RFC 9747, IETF Datatracker, RFC 5880, RFC 5881, RFC 5882, RFC 5082, RFC 3704, RFC 9747 — errata.

Zugeschriebener analytischer Rahmen: Lu Heng — Note 65, Lu Heng — Note 64, Lu Heng — Note 36.