Resumen

  • La versión 20 del borrador ACTN/POI aspira a un RFC informativo y permanece en la consulta final del IESG hasta el 23 de septiembre de 2026. Dos dictámenes «Not ready» no equivalen a un rechazo institucional.
  • Yaron Sheffer reclama un análisis de amenazas que identifique activos y fronteras de confianza; Nick Buraglio pregunta cómo conciliar los estados del MDSC y los PNC tras reinicios, pérdida de avisos, conmutación y cambios aplicados solo en una capa.
  • Antes de delegar cambios en vivo conviene ensayar permisos, antigüedad del estado, identidad de la operación, compensación y resultado del servicio. Es una prueba editorial para operadores, no un requisito nuevo atribuido al IETF.

El fallo que un esquema no puede resolver

Un controlador de paquetes acepta una modificación y el óptico deja de responder. El coordinador conserva un plan coherente, pero no una respuesta fiable sobre el servicio. ¿Reintenta, revierte, espera o bloquea la siguiente orden? Es una hipótesis de ensayo, no el relato de una avería real. Sirve para mostrar la distancia entre enumerar interfaces y gobernar una operación interrumpida.

El borrador draft-ietf-teas-actn-poi-applicability-20 explica cómo el Multi-Domain Service Coordinator (MDSC) coordinaría Provisioning Network Controllers (PNC) de paquetes y óptica mediante protocolos y modelos YANG existentes. El IESG abrió su Last Call el 9 de septiembre, con cierre previsto el 23. Su destino propuesto es informativo; al verificar el registro el día 21, seguía siendo un Internet-Draft, sin aprobación ni publicación como RFC. Las secciones de seguridad y operación existen. Lo que se discute es si explican los riesgos propios de delegar acciones entre capas y dominios.

El examen de seguridad de Yaron Sheffer terminó el 18 de septiembre y el examen operativo de Nick Buraglio el 19. Ambos figuran como «Not ready». Buraglio describe algunas reservas como menores en su sumario, pero trata la debilidad de las consideraciones operativas como cuestión principal. Al mismo tiempo, la revisión del área de enrutamiento de Zheng Zhang dice «Ready» y propone sobre todo ajustes de presentación. La pluralidad de dictámenes impide presentar el estado como una votación final del IESG.

La amenaza no termina en el canal cifrado

Sheffer observa que la sección 7 habla de asegurar protocolos y dedica una parte específica a LLDP. Solicita, además, una lectura de amenazas proporcionada a una arquitectura con múltiples administraciones, proveedores y controladores. Pide identificar activos y fronteras de confianza y examinar controladores comprometidos, información topológica falsa u obsoleta, operaciones entre capas sin autorización, divulgación, agotamiento de recursos y estados de paquetes y óptica incompatibles. Propone un tratamiento arquitectónico breve, no una lista infinita de ataques.

El propio revisor advierte que no puede juzgar con detalle todo el extenso análisis técnico del documento. Nada en su texto demuestra una intrusión ocurrida.

El marco ACTN de RFC 8453 separa al coordinador de los controladores de dominio y admite vistas abstractas definidas por políticas. Autenticar al emisor y cifrar la interfaz protege una parte del intercambio; no establece por sí solo que una oferta de recursos siga vigente o que un permiso general incluya esta acción concreta. La responsabilidad exige poder identificar quién emitió la vista, para qué cliente, bajo qué política y desde qué versión del estado. Ese es el terreno común entre la preocupación de seguridad y la de operación.

Dos copias del estado, una sola decisión pendiente

Para Buraglio, el MDSC forma su conocimiento de topología y servicios a partir de notificaciones de los PNC. Si una se pierde, un PNC reinicia o un componente falla a medias, la copia central puede divergir de la realidad del dominio. La revisión pregunta cómo detectar y reparar esa diferencia, qué sucede con las operaciones en curso durante el reinicio o el failover y cómo afecta la indisponibilidad del MDSC a los servicios ya establecidos. Una ruta calculable en condiciones normales no responde a ninguna de estas preguntas.

El texto describe intercambios secuenciales entre MDSC, PNC de paquetes y PNC óptico, pero el revisor encuentra escasas indicaciones sobre duración, tiempos de espera y reintentos. También pide tratar expresamente la situación en la que una capa cambia y la otra no. Un ensayo responsable debería distinguir un reintento de una orden nueva y reconocer qué lado confirmó antes de compensar. Esa recomendación es una inferencia operativa de este artículo: Buraglio no informa de una avería concreta ni el borrador prescribe una transacción atómica universal.

Sus objeciones incluyen la migración desde sistemas de gestión existentes, las capacidades humanas necesarias para trabajar con dos capas, los límites de escala, la persistencia del binding SID tras un reinicio, la recuperación de suscripciones y los registros de auditoría. Es posible que una especificación informativa deje decisiones a los implementadores. Aun así, el comprador debe saber qué comportamiento se garantiza entre proveedores y qué parte depende de procedimientos locales antes de conectar el coordinador a servicios reales.

Una prueba de delegación en cinco preguntas

Antes de conceder autoridad a la orquestación, un operador puede vincular para cada cambio: quién estuvo autorizado, qué versión de recursos utilizó cada controlador, cómo se identifica de modo estable la operación en curso, qué aceptó cada PNC y qué observó después el servicio. La prueba debe interrumpirse deliberadamente: omitir una notificación, reiniciar un PNC a mitad de camino, cambiar el MDSC entre confirmaciones y permitir que solo un dominio termine. Un sistema fiable puede responder «desconocido; suspenda nuevas órdenes y reconcilie», en vez de inventar éxito.

Esa lista es una propuesta editorial, no un esquema exigido por el IETF. Tampoco repite la tesis de una cobertura anterior sobre la topología abstracta como vista de política y no como inventario físico. Aquí importa quién decide después de que la coordinación cruza una frontera de confianza y los dominios discrepan. El Last Call aún puede dar lugar a respuestas, revisión o aprobación. No hay base pública para anunciar una norma rechazada, un ataque consumado o un corte de servicio.

Fuentes

Borrador ACTN/POI y estado; revisión de seguridad; revisión operativa; revisión de enrutamiento; marco ACTN, RFC 8453.