Résumé

  • RFC 6198 transforme une maintenance connue en opération « make-before-break » : les routeurs touchés doivent connaître et installer une solution de rechange avant le retrait du chemin nominal.
  • RFC 8326 donne à cette intention un signal minimal, GRACEFUL_SHUTDOWN, auquel le voisin peut associer un LOCAL_PREF faible. La procédure réduit le risque sans garantir ni route de secours, ni capacité, ni absence de boucle.

La panne volontaire ne devrait pas imiter la panne soudaine

Lorsqu'une session EBGP tombe sans avertissement, le protocole n'a d'autre choix que de retirer les routes et de converger après la perte. Une maintenance est différente. L'opérateur connaît le moment où le lien ou le routeur cessera de transmettre. Il peut donc déplacer la dépendance avant d'enlever la ressource.

Sans cette préparation, un intervalle dangereux apparaît. Un routeur de bord ou un réflecteur peut avoir caché une route de secours parce qu'elle n'était pas la meilleure. Certains équipements perdent alors momentanément toute route. D'autres mettent à jour leur FIB à des instants différents et peuvent faire boucler les paquets. La redondance dessinée sur un schéma n'est utile que si le chemin alternatif est visible, sélectionné, installé et suffisamment dimensionné au moment voulu.

Le profil IETF officiel de Bruno Decraene relie son nom à deux étapes de cette réflexion. RFC 6198, publié en 2011 comme document informatif, énonce les exigences d'une sortie maîtrisée. RFC 8326, publié en 2018 sur le Standards Track, normalise une communauté BGP bien connue et décrit une procédure pour l'arrêt volontaire d'une session EBGP.

L'attribution doit rester collective. RFC 6198 est signé par Decraene, Pierre Francois, Cristel Pelsser, Zubair Ahmad, Antonio Jose Elizondo Armengol et Tomonori Takeda. RFC 8326 est signé par Pierre Francois, Decraene, Pelsser, Keyur Patel et Clarence Filsfils. Ces textes ont aussi été examinés par la communauté IETF. Le parcours documentaire de Decraene compte ; il ne fait pas de lui l'inventeur unique de BGP ni le détenteur du mécanisme.

Définir le résultat avant la commande

RFC 6198 part d'une exigence de service. Il n'est plus satisfaisant de dire que BGP finira par converger si la période intermédiaire coupe la voix, un jeu en ligne ou un VPN. Puisque l'événement est prévu, le réseau peut commencer la convergence plus tôt, trouver les chemins de rechange et les installer avant de retirer la route normale.

Le document demande qu'une action de maintenance soit portée à la connaissance des routeurs concernés. Il veut qu'un déploiement partiel apporte déjà un progrès et que la charge imposée au voisin reste faible. Cette asymétrie est réaliste : l'AS qui réalise la maintenance bénéficie directement du mécanisme, alors que son pair doit aussi préparer une politique d'import. Les pannes déjà en cours et les autres arrêts planifiés doivent entrer dans le même calcul de routes.

Les limites font partie des exigences. Une alternative doit exister et disposer de capacité résiduelle. L'ancien chemin doit rester présent jusqu'à la connaissance du nouveau. La durée avant fermeture peut dépendre d'un minuteur, d'un signal de fin de convergence ou du trafic réellement observé sur l'interface. La réduction des boucles transitoires est souhaitée, pas garantie.

Cette étape évite de confondre une fonction commerciale baptisée « graceful » avec une preuve de drainage. Elle décrit d'abord ce que le réseau doit démontrer.

Une phrase commune, une décision locale

RFC 8326 normalise la communauté GRACEFUL_SHUTDOWN. À l'approche de la maintenance, l'initiateur réannonce les routes de la session en leur ajoutant cette valeur. Le récepteur qui prend en charge la procédure dispose d'une politique d'import : elle reconnaît la communauté et attribue aux routes un LOCAL_PREF inférieur à celui des alternatives, 0 étant la valeur recommandée.

Le LOCAL_PREF ne traverse pas Internet comme une instruction universelle. Il classe les routes à l'intérieur de l'AS récepteur. La communauté transmet une intention bornée — ce chemin va partir — et le voisin reste maître de l'effet qu'il lui accorde. C'est précisément ce qui rend le mécanisme petit : vocabulaire partagé, politique locale.

Le drainage doit traiter les deux sens. L'initiateur marque les routes qu'il annonce afin que le voisin déplace le trafic entrant. Il déprécie aussi localement les routes reçues sur la session afin de déplacer son trafic sortant. Pendant cette phase, la session subsiste et l'ancien chemin reste utilisable. L'opérateur attend les réannonces et la convergence des deux ASBR, puis ferme. Un message d'arrêt administratif peut préciser la raison, mais il ne remplace pas ce déplacement préalable.

La procédure ne doit pas être confondue avec BGP Graceful Restart. RFC 8326 vise une maintenance qui touche le plan de transfert. Il ne suppose pas que l'ancien équipement continue de transmettre ; il retire d'abord le trafic qui en dépend.

Ce que la communauté ne peut pas fabriquer

Une politique de moindre préférence ne crée pas une route absente. Elle ne donne pas non plus de capacité à un transit saturé. Une route de secours peut rester cachée par la réflexion de routes, être filtrée à une frontière ou ne pas être installée dans la FIB. Le signal peut donc réussir dans une partie du réseau tout en échouant dans une autre que l'initiateur ne voit pas.

RFC 8326 reconnaît aussi une limite technique. Sa procédure traite la perte causée par l'absence temporaire de chemin lorsque les alternatives étaient cachées. Elle ne corrige pas toutes les incohérences de FIB ni toutes les boucles transitoires. L'arrêt d'une session IBGP et l'établissement d'une session EBGP restent hors du cœur normatif. Pour éteindre un routeur entier, il faut également déprécier les routes qu'il origine lui-même.

La communauté n'authentifie pas une intention honnête. Un voisin pourrait marquer certains préfixes pour influencer le trafic entrant vers un autre lien. RFC 8326 conseille donc au fournisseur qui refuse ce comportement de surveiller l'usage de la communauté. Il faut conserver le préfixe, la session, l'heure, la durée et la fermeture effectivement observée.

Enfin, un RFC ne prouve pas une configuration de production. Les exemples d'annexe montrent que le principe pouvait être exprimé dans plusieurs logiciels ; ils n'établissent ni les valeurs par défaut actuelles, ni la couverture de toutes les plates-formes, ni le résultat chez un opérateur précis.

Le minimum partagé, la preuve exécutée

L'essai ultérieur de Lu Heng sur la spécification initiale minimale, la décision future localisée et l'adoption volontaire fournit une grille pertinente. Deux réseaux autonomes n'ont pas besoin de partager toute leur politique. Ils ont besoin d'un signal reconnaissable et d'un intervalle pendant lequel le chemin sortant peut perdre sa préférence avant d'être retiré. La topologie, la capacité, l'attente et le retour arrière restent locaux.

Si la marque devient un droit du pair à commander la sélection interne, le mécanisme dépasse son mandat. Si elle n'entraîne aucune politique chez le récepteur, elle est décorative. L'équilibre repose sur l'adoption volontaire, une règle explicite et un effet observable.

Running-Code Primacy impose ensuite l'épreuve réelle : vérifier les politiques sur toutes les bordures, observer les réannonces, la meilleure route, la FIB et les compteurs d'interface, puis charger le chemin alternatif comme il le sera pendant la maintenance. Le minuteur n'est qu'un substitut lorsque l'observation manque. Ces essais plus récents servent ici d'outil d'analyse à Sofia Ren ; ils ne sont pas attribués rétroactivement aux auteurs des RFC.

Un arrêt gracieux n'est donc pas une coupure polie. C'est un transfert ordonné de dépendance. L'ancien chemin cesse d'attirer le nouveau trafic tout en restant capable de livrer ce qui arrive encore ; l'alternative prouve qu'elle a pris le relais ; la session peut alors disparaître.

Sources