Resumen

  • La revisión 16 del borrador OPSAWG sobre descartes estructura la observación por componente, dirección, capa y causa, y separa errores, política y congestión en interfaces, dispositivos, flujos y plano de control. El propio texto advierte que esos contadores no establecen por sí solos la intención del operador.
  • La aritmética puede ser correcta y la acción equivocada. Un cambio de configuración, una discontinuidad, funciones parcialmente pobladas, otro orden de causas, una referencia de servicio nueva o un flujo sin anclaje rompen la comparabilidad y el mandato.
  • Una época de intención debería limitar la autorización: una misma vida del contador unida a la versión de política, el objetivo de servicio, el ámbito, la acción permitida, el máximo impacto y el dueño de la reversión. Es una propuesta de Daniel Kade, no un campo YANG ni una obligación del IETF.

Ver mejor no equivale a decidir mejor

Los contadores clásicos de interfaz son útiles porque existen en casi todas partes. También son insuficientes. ifInDiscards agrupa paquetes que no continuaron sin explicar la causa. ifInErrors no siempre significa lo mismo entre implementaciones. Las plataformas suelen ofrecer estadísticas más finas, pero sus nombres y criterios no forman un idioma común.

draft-ietf-opsawg-discardmodel-16 construye ese idioma para tramas de capa 2 y paquetes de capa 3. Es un Internet-Draft activo de OPSAWG, situado en la RFC Editor Queue, aún no un RFC. Su modelo de información y su modelo YANG clasifican el lugar —plano de control, interfaz, flujo o dispositivo—, la dirección y la razón. La rama de política incluye ACL, policer, uRPF, protección DoS y ruta nula. Los errores abarcan desde tramas corruptas y MTU hasta TTL agotado, ausencia de ruta o fallo interno. La rama sin búfer permite localizar pérdida por congestión y clase QoS.

El borrador exige que un paquete no se contabilice dos veces dentro del mismo contexto. Si concurren varias razones, el orden debe ser inequívoco y conviene publicarlo. De ese modo el contador deja de ser un ruido agregado y se acerca a una declaración técnica: este elemento, en este sentido y etapa, decidió finalmente no reenviar o entregar el paquete.

La declaración sigue sin contener el cambio que instaló la regla, el contrato que define la pérdida tolerada ni la capacidad del camino de reserva. La taxonomía observa el mecanismo; no confiere autoridad operativa.

Una coincidencia con la regla no autentica la regla

Cuando sube un contador ACL, sabemos que el tráfico coincidió con la configuración aplicada. No sabemos si esa configuración expresa lo que su propietario aprobó. El descarte de una fuente prohibida puede ser intencional; el de una aplicación válida por un prefijo equivocado puede ser un incidente. Ambos pasan por la misma rama.

La revisión 16 dice que los contadores del dispositivo no bastan para establecer intención. La clase debe leerse junto a política local, intención configurada, comportamiento de referencia, duración, alcance, servicio y demás evidencia. “Política” es el nombre de una causa de procesamiento, no un sello de legitimidad.

También los errores cambian de sentido con el contexto. TTL agotado a baja tasa puede ser traceroute; durante segundos, convergencia; sostenido, un bucle. La pérdida sin búfer puede estar bajo el objetivo del tráfico de mejor esfuerzo o violar el de una clase prioritaria. Las tablas del apéndice B son ejemplos, y su juicio sobre descartes no intencionales no es normativo.

Convertir esas filas en órdenes fijas sería peligroso. Considerar normales todos los descartes de política ocultaría configuraciones defectuosas. Sacar de servicio cualquier equipo con errores podría redistribuir la carga hacia enlaces aún más congestionados. Una clase precisa ayuda a elegir preguntas y no sustituye la decisión.

El punto ciego entre dos lecturas

Los motores de respuesta no suelen reaccionar al total histórico, sino al delta, la velocidad o la desviación respecto de una línea base. Antes de restar, deben probar que ambas lecturas viven en el mismo periodo semántico.

Reinicios de equipo o tarjeta, restablecimientos de procesos y huecos del colector interrumpen contadores. El borrador pide tratar las discontinuidades de los contadores subyacentes. La capacidad también puede variar: YANG Library anuncia funciones compatibles, aunque una plataforma puede soportar una función sin rellenar cada contador. La misma ruta de datos no garantiza idéntica cobertura.

Una activación de configuración puede romper el sentido sin romper la serie. Bajo la versión A, policy/l3/acl contaba un conjunto de coincidencias. Bajo la B, cambian rango y excepciones. La resta sigue siendo válida; la intención no. A la inversa, volver a cero después de un reinicio no demuestra que desapareciera la avería o cambiara el compromiso con el cliente.

El texto reconoce que las métricas del equipo no distinguen solas un error de configuración. Propone validar antes del despliegue o detectar un cambio importante en los descartes tras la modificación. Para que esa comparación tenga valor, cada muestra debe conservar configuración, referencia y vida del contador.

La época como frontera de permiso

Una época de intención dura mientras coinciden una intención de servicio declarada, una versión relevante de política o configuración y una vida interpretable del contador. Sirve como unidad de permiso, no como aprobación central para cada paquete.

Su apertura fija dispositivo o elemento lógico, interfaz o plano de control, dirección, capa y ruta exacta de descarte. Registra revisión del modelo, funciones disponibles, hojas realmente pobladas y orden de causas. Añade base del contador, intervalo, evidencia de discontinuidad y tiempos de observación. Si la respuesta depende de un flujo, indica cómo se ancla: el modelo armoniza la clasificación de flujos, pero deja su identidad al modelo subyacente.

La parte institucional vincula versión y ticket de cambio, hora de activación, propietario del servicio, SLA o línea base y umbrales de tasa, duración y alcance. Después limita la acción. Un evento sin búfer puede mover solo una proporción máxima hacia una ruta cuya capacidad esté comprobada. Un error de recepción puede aislar un miembro después de otra señal independiente. Un descarte de política puede alertar sin retirar el filtro. Se definen enfriamiento, radio de impacto, reversión y escalado.

La época termina por discontinuidad, activación de política, modificación del SLA o la referencia, cambio de capacidad o población, vacío de observación, reasignación del ámbito, cambio del orden de causas o transferencia del responsable. La siguiente muestra puede ser verdadera y, aun así, no heredar el permiso anterior.

Así se frenan el permiso obsoleto que sobrevive a una política nueva y la continuidad falsa que atraviesa un reinicio. Además, aparece un estado operativo útil: evidencia aceptada, acción suspendida hasta renovar mandato.

Más correlación, el mismo límite de poder

Relacionar contadores de interfaz o dispositivo con registros de flujo acerca la señal al tráfico afectado. El modelo no define la identidad del flujo y exige que futuros modelos lo anclen sin ambigüedad. Sin ese vínculo, una alarma amplia no justifica una intervención específica sobre un cliente.

Contador, flujo, diferencia de configuración y topología pueden reforzarse mutuamente. Ninguno decide por sí solo si hay que desviar tráfico, retirar un enlace o volver a una versión anterior. La evidencia puede aumentar; la autoridad permanece dentro de la envolvente aprobada.

Las acciones citadas por el borrador tienen consecuencias. Sacar un dispositivo congestionado puede saturar los demás. Revertir puede recuperar conectividad y también una vulnerabilidad antigua. Reincorporar un elemento puede devolver la causa. La clasificación elige una hipótesis mejor, no compra un resultado seguro.

Los datos de lectura también requieren gobierno

Los contadores son estado de solo lectura y los contenedores usan default-deny-all de NACM. El detalle puede revelar ataques y configuraciones erróneas. Un atacante capaz de inyectar tráfico y observar el crecimiento de un contador de política puede ajustar su estrategia.

Por eso la época identifica el colector y la identidad que entregó la muestra. Transporte seguro, autenticación mutua y control de acceso protegen el canal, pero no prueban frescura, integridad temporal ni correspondencia con la política vigente. La identidad autentica al portador; la época define el uso autorizado.

El objetivo no es eliminar todo descarte

Seguridad, QoS y protección de recursos requieren pérdidas deliberadas. Tampoco es deseable automatizar cada anomalía. Si faltan prueba o mandato, escalar a una persona es una acción correcta.

El criterio es poder reconstruir cada cambio: una observación dentro de una sola época, clase y alcance realmente soportados, política y referencia actuales, acción dentro del límite, corroboraciones necesarias y cierre que explique por qué se mantuvo, revirtió o entregó.

La revisión 16 ofrece vocabulario para la mitad observacional. La mitad de autoridad sigue en manos del operador. El contador cuenta dónde murió el paquete; la época determina si la red conserva permiso para moverse.

Fuentes