Résumé

  • EVPN élit un DF pour le trafic multidestination vers un segment Ethernet multirattaché, mais le PE élu peut avoir un circuit d’accès défaillant.
  • Les retraits de routes ES et Ethernet A-D accélèrent la convergence sans attester la cohérence des tables, du split horizon ou des paquets.
  • La RFC 8584 décrit des pannes logiques où la liste des candidats reste stable tandis que le trafic est envoyé dans un trou noir.
  • La preuve d’un basculement relie l’élection à l’état du service, à la programmation matérielle et à des mesures bidirectionnelles.

Pendant une maintenance imaginaire, deux PE restent visibles pour le même segment. Le tableau de bord indique que le secours est devenu DF pour le VLAN touché. BGP est stable et l’incident semble clos. Pourtant, le trafic de diffusion, multidiffusion et monodiffusion inconnue disparaît : le circuit d’accès de ce service est inactif sur le PE élu. Le calcul est juste, la conclusion de service est fausse.

Ce scénario n’accuse aucun opérateur ni constructeur. Il montre seulement que l’attribution d’un rôle par le plan de contrôle ne vérifie pas toutes les chaînes de livraison.

Ce que décide l’élection

La RFC 7432 définit le service carving par défaut. Les PE annoncent une route Ethernet Segment, attendent la liste des candidats, ordonnent leurs adresses d’origine et appliquent un modulo au tag Ethernet. Le DF débloque le trafic multidestination vers le segment ; les non-DF continuent à le bloquer.

Cette fonction limite les doublons et les boucles. En mode All-Active, la monodiffusion connue peut emprunter plusieurs PE, alors que le DF gouverne la sortie BUM. En mode Single-Active, l’exclusivité est plus large. Dans aucun cas le vote ne teste chaque circuit d’accès, domaine de pont, entrée de label ou agrégat du CE.

Les retraits ont des fonctions différentes. Le retrait d’une route ES relance l’élection. Le retrait A-D par ES permet aux PE distants de modifier rapidement leurs next-hops pour de nombreuses adresses MAC. Le label ESI sert au split horizon. La RFC 7432 reconnaît même qu’en transition deux PE peuvent momentanément se croire DF.

Un segment actif peut masquer un service cassé

La RFC 8584 documente les limites du modulo : une distribution inégale et des remappages inutiles quand le nombre de PE change. Surtout, un circuit d’accès individuel ou une MAC-VRF peut être arrêté alors que d’autres services maintiennent la route ES active. La liste ne change pas ; l’élection par défaut ne redémarre pas.

Dans l’exemple présenté par la RFC, le trafic BUM peut être perdu en All-Active, et tout le trafic du CE touché en Single-Active. Le cadre extensible permet aux PE de convenir d’un algorithme et de capacités, dont la prise en compte de l’état du circuit. Cela améliore la décision sans démontrer que tous les PE ont programmé le même résultat ni que les paquets ont respecté le budget de coupure.

Mesurer la transition

Pour un ESI, un EVI et un tag précis, conserver les candidats, l’algorithme, les capacités et les rôles avant et après. Ajouter le mode de redondance, les retraits ES/A-D, l’état des circuits et du domaine de pont, les labels, le split horizon, les MAC, les next-hops et l’agrégat du CE.

Tester ensuite les deux sens avec monodiffusion connue et BUM. Mesurer perte, doublons, boucles, désordre et durée de convergence pendant la panne, l’état stable et le retour. Le précédent DF doit bloquer ce qui lui revient ; le nouveau doit transférer ce qui lui revient ; le PE rétabli ne doit pas provoquer un second incident.

Sources