Résumé

  • RFC 9985 protège plus intensivement les paquets BFD qui modifient l’état et peut réduire le coût de ceux qui maintiennent un état Up inchangé.
  • Ce mécanisme prouve quelque chose sur une session et son encapsulation, non sur l’autorisation d’un changement plus vaste.

Le mot important est « coût »

MCI et LCI ne doivent pas devenir, par commodité, les étiquettes « fort » et « faible ». Le RFC les distingue par l’effort demandé à l’implémentation. Cette prudence est décisive dans un protocole qui doit produire beaucoup de paquets de contrôle pour tenir ses délais de détection. Une qualification hâtive masquerait le vrai arbitrage : protéger les transitions sans faire disparaître la capacité de surveiller les sessions.

Le texte est Experimental. Il a été publié pour l’examen et l’évaluation, non comme constat qu’un réseau l’exploite. Il indiquait qu’aucune implémentation n’était connue lors de sa publication. De même, l’inscription de valeurs 7 et 8 chez IANA donne des identifiants au protocole ; elle ne documente aucune adoption.

Le changement reçoit une preuve distincte

Les états AdminDown, Down et Init exigent MCI. Les transitions d’état, les changements du bit Demand, les séquences Poll/Final et certains changements de paramètres sont également significatifs. Dans Up, un paquet sous LCI ne peut modifier que sa section d’authentification. La règle empêche qu’un flux peu coûteux réécrive silencieusement le fait auquel la session est parvenue.

Mais ce fait reste le fait d’une session BFD. RFC 5880 lie cette session à son encapsulation et à la communication avec un next hop du plan de transfert. Il ne garantit ni une application complète, ni chaque chemin sélectionné, ni une conséquence pour un client. Le modèle BFD de RFC 9314 distingue d’ailleurs la configuration, l’état opérationnel et les clients qui emploient le signal dans leur propre logique.

La réauthentification périodique a un périmètre précis

LCI n’efface pas le contrôle coûteux. RFC 9985 recommande un Poll périodique sous MCI. Sans Final authentifié par MCI dans le délai défini, la session doit tomber. L’intervalle est configurable : son choix appartient à l’opérateur qui connaît la capacité, le risque et le coût de détection.

Le dossier de preuve doit donc préciser le couple MCI/LCI, l’intervalle, les résultats Poll/Final, la frontière de gestion des clés et la session exacte concernée. RFC 9986 ajoute une limite utile : la distribution des secrets reste hors de son champ et son recours à ISAAC n’offre qu’une analyse limitée dans cet usage précis. Une réussite de paquet ne remplit pas ces lacunes par magie.

Informer un client n’est pas décider pour lui

RFC 9985 recommande de différer la notification Up à un client BFD jusqu’à ce que la transition vers LCI fonctionne. L’idée est simple et profonde : une transition interne peut être valide, mais trop précoce pour un composant dépendant.

Un protocole de routage qui consomme le signal conserve ses propres règles. Un contrôleur de trafic a besoin d’éléments sur la capacité, la politique et le retour arrière. Un responsable de service a besoin de tests applicatifs avant d’annoncer un résultat. Confondre ces plans donnerait à la mesure la plus rapide une autorité qu’elle ne possède pas.

Sources