La interfaz existe. Falta saber para qué instancia cuenta

Resumen

• Las reglas de un modelo montado pueden depender de interfaces seleccionadas en el padre. Cambiar esa selección puede importar aunque el módulo siga intacto.
• El contexto disponible para evaluar XPath no equivale a los datos que un usuario puede leer o modificar mediante NETCONF o RESTCONF.
• La investigación útil sigue una dependencia concreta: esquema compartido no significa datos idénticos, y una frontera de rutas no demuestra aislamiento entre usuarios.

Antes de culpar al validador, conviene formular bien la pregunta. Que una interfaz aparezca en el inventario del equipo no demuestra que pertenezca al conjunto que una instancia de red debe utilizar. La diferencia parece pequeña hasta que una herramienta automática trata ambas afirmaciones como equivalentes y deja de poder explicar por qué una configuración es válida en un contexto y no en otro.

El problema no exige que el módulo esté corrupto ni que haya cambiado su revisión. Puede estar en la relación entre ese módulo y los datos que lo rodean. YANG Schema Mount hace explícita una forma de esa relación: permite colocar modelos completos bajo puntos definidos por un modelo padre, sin reescribir los módulos montados para cada estructura que los contiene.

El beneficio es evitar copias y variantes innecesarias. La obligación que queda es entender quién decide el contexto. Este análisis no describe una avería ni una implantación comercial observada. Examina una dependencia prevista por las normas y las consecuencias que puede tener para la organización de la automatización.

El ejemplo que cambia la pregunta

El punto de partida más concreto está en el anexo A.3 del RFC 8528. Su ejemplo de instancia de red utiliza una expresión para seleccionar interfaces del padre según su vinculación con la instancia actual. Así, una ruta estática puede referirse a una interfaz de salida aunque el módulo de interfaces no forme parte del esquema montado de la instancia.

No se entrega todo el inventario a cada instancia. Se obtiene un conjunto mediante una condición. Dos instancias pueden usar el mismo esquema y la misma expresión, pero partir de contextos distintos y seleccionar interfaces diferentes. Para explicar la referencia, hace falta saber qué conjunto resulta en cada caso.

El anexo es un ejemplo no normativo, no una prueba de conformidad de un fabricante. Su interés está en la distinción: el modelo montado puede depender de objetos cuya definición y administración permanecen fuera de él. Tener el archivo del modelo no equivale a poseer una descripción completa de las asignaciones que dan sentido a sus referencias.

También importa leer con cuidado las otras relaciones del documento. La errata editorial verificada 5797 corrige un ejemplo diferente, relativo a elementos de red lógicos: el campo de vinculación debe contener el nombre del elemento lógico, no el de la propia interfaz. No corrige el mecanismo de referencia al padre del anexo A.3. Es una advertencia limitada contra un error habitual al interpretar ejemplos: un identificador con aspecto correcto puede estar nombrando la clase de objeto equivocada.

La existencia no tiene una sola regla

YANG permite declarar condiciones must, que deben resultar verdaderas para los datos pertinentes. Las referencias de hoja tienen, además, una propiedad require-instance. Si es true, se exige una instancia correspondiente conforme a las reglas del lenguaje; si es false, la ausencia puede ser válida. Las condiciones relativas a valores predeterminados y datos de configuración también cuentan. Así lo define el RFC 7950.

Por eso no basta con afirmar que «la referencia se resuelve» o que «la interfaz existe». Hay que identificar la referencia concreta, la exigencia que establece y el árbol sobre el que se evalúa. El contexto no es un comentario añadido al resultado: puede formar parte de las entradas necesarias para obtenerlo.

Una comparación conceptual ayuda a separar las piezas. Se mantiene una configuración candidata y se modifica una asignación del padre que determina qué interfaces selecciona la instancia. Si una restricción depende de ese conjunto, sus condiciones de evaluación pueden cambiar sin tocar el módulo. No se deduce de ahí un comportamiento específico de un equipo, mucho menos una interrupción del tráfico. La inferencia llega hasta la dependencia de validación.

Tampoco toda modificación del padre cambia todas las restricciones. Puede afectar a un dato ajeno a la selección o dejar el conjunto resultante igual. Una regla puede no consultar ninguno de los nodos incorporados. Una investigación rigurosa localiza esa relación específica; no sustituye el análisis por la sospecha general contra cualquier cambio exterior.

Referenciar no es administrar

Las rutas dentro de un modelo montado se interpretan normalmente desde la raíz de su punto de montaje. No reciben por defecto toda la raíz del dispositivo. En el modo de esquema compartido, parent-reference permite incorporar explícitamente determinados nodos del padre al contexto de XPath.

Las expresiones se evalúan en el contexto padre y producen conjuntos de nodos. Su unión, junto con sus antecesores, se añade al árbol accesible para las evaluaciones del modelo montado. Esa operación hace posible la dependencia; no convierte los datos seleccionados en recursos legibles o modificables mediante las operaciones NETCONF o RESTCONF del árbol montado.

La distinción permite que una instancia compruebe algo sobre una asignación sin convertirse en su administradora. Confundir ambos planos llevaría a una revisión de seguridad defectuosa: o se atribuye al usuario un poder que no se le ha concedido, o se ignora que sus datos dependen de decisiones tomadas en otro ámbito.

El término mount jail describe una delimitación de rutas, no una promesa de aislamiento de procesos o de clientes. Del mismo modo, que los nodos montados se vuelvan de solo lectura por las condiciones del montaje no indica qué usuarios pueden leerlos. Alcance de referencia, posibilidad de configurar y autorización individual deben seguir siendo preguntas distintas.

Qué debe descubrir una herramienta

El modo compartido exige que las instancias del mismo punto de montaje utilicen el mismo esquema. El modo inline permite esquemas diferentes. Cada instancia operativa proporciona información de YANG Library, pero el RFC advierte que la coincidencia de identificadores de contenido entre dos instancias inline no garantiza que sus bibliotecas sean iguales.

Incluso en un esquema compartido queda otra diferencia. La biblioteca describe información del esquema, no cada valor ordinario del padre que pueda intervenir en una restricción. Una asignación de interfaz puede cambiar el contexto relevante sin convertirse por ello en una modificación del listado de módulos. Vigilar solo ese listado deja sin observar parte de la dependencia.

Esto no obliga a abandonar la reutilización ni las cachés. Obliga a precisar qué permite afirmar cada dato conservado. Una herramienta puede reutilizar información del esquema y, al mismo tiempo, necesitar pruebas específicas de la selección aplicable a una instancia. El ahorro no debería obtenerse borrando las diferencias que explican el resultado.

Hay además una frontera de implementación. Los datos operativos schema-mounts describen el montaje ofrecido por el servidor; no son una interfaz universal que el operador pueda escribir para modificar cualquier composición. El RFC no fija por completo de dónde procede la instrumentación ni cómo se crean todas las instancias. Descubrir la estructura no demuestra haber descubierto todos los mecanismos para cambiarla.

El permiso necesita su propia evidencia

Si se implementa NACM, el control de acceso alcanza los nodos montados según su ubicación en el árbol compuesto. Un punto de montaje no crea por sí solo un mundo de permisos independiente del padre. Las modalidades de gestión compartida o separada organizan sesiones; no certifican automáticamente la separación de recursos o usuarios.

El RFC 8341 sobre NACM añade cautelas sobre dependencias de los modelos, referencias y efectos implícitos. Prohibir una lectura directa no basta para describir todo lo que un usuario podría inferir mediante datos relacionados u operaciones permitidas. Esa observación general no demuestra un ataque contra una implementación de Schema Mount.

La evaluación debe evitar conclusiones simétricas y apresuradas. Una referencia al padre no prueba una ruptura de aislamiento. La falta de lectura directa tampoco prueba un aislamiento completo. Para responder hacen falta el modelo efectivo, la sesión, los derechos y el comportamiento observado.

La conclusión para operaciones es más útil que una nueva etiqueta de conformidad: aceptar el módulo y aceptar su integración son trabajos diferentes. Un archivo puede permanecer correcto mientras la relación que permite utilizarlo deja de estar bien explicada.