Résumé

  • La suppression d’une affectation d’adresse en conflit et la libération de l’état réseau sont deux opérations distinctes ; le service peut attendre entre les deux.
  • Un doublon de MAC et un doublon d’IP associé à des MAC différentes n’engagent pas les mêmes entrées. Le lieu du gel ne désigne pas forcément l’hôte à retirer.
  • Les textes prévoient aussi une levée temporisée de certains états. Le choix porte sur son périmètre et ses conséquences, pas sur une opposition de principe entre reprise automatique et intervention humaine.

Le compte rendu dit que le problème est corrigé. Le service, lui, n’est pas encore revenu. Dans un incident EVPN, ces deux constats peuvent être simultanément exacts.

Imaginons une situation, sans prétendre relater une panne réelle. Une équipe retire une machine virtuelle qui utilisait une adresse déjà affectée. Elle vérifie la correction sur l’hôte et clôt son intervention. L’équipe réseau voit toujours une route gelée. Il reste une étape de reprise, mais elle n’appartient plus au système dans lequel la première correction a été faite.

Ce décalage est moins spectaculaire qu’une panne de commutateur. Il intéresse pourtant directement le responsable du service : du temps continue de s’écouler après la disparition de la cause identifiée. Ce temps peut être volontaire, lorsqu’une temporisation connue joue son rôle, ou subi, lorsqu’il faut retrouver le bon interlocuteur et comprendre ce qui reste bloqué. Le confondre avec le temps de diagnostic empêche de voir ce que l’organisation doit réellement améliorer.

La question n’est pas de multiplier les validations. Un même ingénieur peut disposer de toutes les permissions nécessaires. Il doit néanmoins intervenir sur deux objets différents : l’affectation de l’adresse à un terminal et l’état que le réseau a retenu en réaction au conflit. Réunir les accès ne fusionne pas ces opérations.

Ce que le gel protège

EVPN permet aux équipements de bordure, les PE, d’échanger les informations de joignabilité des terminaux. Lorsqu’une adresse MAC passe d’un segment Ethernet à un autre, les annonces de l’ancien et du nouveau lieu peuvent coexister. La procédure de mobilité décrite par RFC 7432 utilise des numéros de séquence pour départager cette évolution et provoquer le retrait d’annonces devenues anciennes.

Deux hôtes mal configurés avec la même MAC peuvent produire un effet différent sous une apparence voisine : leurs émissions font continuellement changer le lieu où l’adresse semble se trouver. Le texte prévoit un comptage d’événements dans une fenêtre de temps, avec des paramètres configurables. Lorsqu’une duplication est détectée, le PE avertit l’opérateur et cesse d’émettre et de traiter les annonces MAC/IP de cette MAC jusqu’à une action corrective.

La portée est précise. Il ne s’agit pas d’arrêter tout le réseau. D’autres PE peuvent encore envoyer le trafic vers l’un des équipements qui annoncent l’adresse concernée. Une alerte de duplication ne décrit donc pas, à elle seule, l’état de chaque chemin de transmission.

Il faut aussi distinguer un déplacement d’un raccordement à plusieurs équipements de bordure. Une même adresse peut légitimement être accessible par plusieurs PE rattachés au même segment Ethernet. L’identifiant du segment intervient justement pour éviter de prendre des apprentissages au sein de ce dispositif pour des déplacements entre segments. Le nombre d’équipements qui connaissent l’adresse n’est pas un diagnostic suffisant.

Le gel n’est ainsi pas forcément un oubli à nettoyer. Il peut être la trace active d’une protection qui a fonctionné. Le maintenir trop longtemps et le lever trop vite exposent à des coûts différents. L’apparence d’une console sans alarmes ne tranche pas ce choix.

Identifier le conflit avant de choisir l’action

RFC 9721 étend les procédures de mobilité pour EVPN avec routage et pontage intégrés. Il traite notamment du cas où une IP conserve sa valeur mais se rattache à une nouvelle MAC après un déplacement ou une recréation de charge de travail. Il couvre également des usages légitimes où plusieurs IP partagent une MAC, par exemple derrière un même système physique ou un intermédiaire.

Une MAC partagée n’est donc pas automatiquement une MAC dupliquée par erreur. La distinction importe au moment de la reprise, car elle évite de décider du sort de plusieurs services à partir d’un intitulé trop général.

Le document distingue les hôtes utilisant la même MAC, ceux qui utilisent la même IP avec des MAC différentes, et le cas d’un réseau purement routé qui n’annonce pas les MAC des hôtes. Si la MAC est marquée dupliquée, les routes MAC-IP associées héritent de cet état. Si le conflit porte sur une IP associée à différentes MAC, il concerne la route MAC-IP correspondante sans rendre dupliquées, pour ce seul motif, la route MAC et toutes les autres IP qui lui sont associées.

Cette précision doit arriver jusqu’à la personne qui corrige l’affectation. Une demande telle que « nettoyer l’hôte » ne dit pas encore quelle association conserver, à quel endroit ni pour quel usage. Le travail utile consiste à rapprocher le diagnostic réseau de l’état attendu du service.

Le PE qui affiche le gel n’est pas non plus un arbitre de la légitimité du terminal. RFC 9721 examine des reprises après retrait du doublon au lieu gelé comme au lieu non gelé. Choisir l’instance à conserver demande donc des informations de configuration et d’exploitation que le drapeau de duplication ne fournit pas.

La correction ne termine pas la séquence

La section 8.4 de RFC 9721 situe explicitement la suppression de l’une des affectations en conflit du côté de l’hôte. Après cette correction, il peut rester à attendre le vieillissement de l’état dupliqué, sauf si une action supplémentaire accélère la reprise.

Le dégel d’une route et son effacement sont ensuite traités séparément. Un dégel peut conduire à annoncer un numéro de séquence supérieur à celui de l’autre emplacement. Les annonces et les sondes ARP ou de découverte des voisins contribuent alors à réconcilier la joignabilité et à supprimer des entrées locales périmées. Le déroulement dépend notamment du lieu où le doublon a été retiré.

Effacer une route MAC locale ou une entrée ARP n’accomplit pas nécessairement ce dégel. En particulier, une suppression d’état au lieu non gelé peut laisser une action requise ailleurs. Une commande peut donc réussir exactement l’opération demandée sans assurer, à elle seule, la remise en service.

L’organisation n’a pas besoin de transformer ces détails en procédure interminable. Elle doit conserver la continuité du raisonnement : quelle affectation a été corrigée, quel terminal doit rester, où se trouve l’état encore retenu, et quelle étape mettra fin à l’attente ? Une transmission courte mais précise vaut davantage que deux tâches déclarées closes sans point de rencontre.

Il reste une autre question : la correction est-elle durable ? Dans un scénario hypothétique, un outil d’orchestration pourrait recréer une instance supprimée si sa configuration souhaitée continue de l’exiger. Aucune observation d’un produit particulier n’est affirmée ici. Le scénario montre simplement pourquoi le pouvoir de supprimer l’instance présente ne suffit pas toujours à maîtriser son retour. Le responsable de la reprise doit pouvoir joindre l’autorité qui contrôle cette configuration, et pas seulement celle qui dispose du bouton de suppression.

L’automatisme a sa place, mais pas une portée universelle

Il serait erroné d’en tirer une interdiction générale de la reprise automatique. RFC 9161, consacré aux fonctions Proxy ARP et Proxy ND dans EVPN, prévoit que l’état de duplication d’IP puisse être levé après une correction de l’opérateur ou, autrement, à l’expiration d’un délai de maintien. Il indique une valeur par défaut de 540 secondes et laisse les paramètres administrativement configurables.

Cette règle concerne la fonction et les entrées décrites par ce texte. Elle ne promet pas que toutes les routes MAC gelées, sur tous les équipements EVPN, seront libérées après neuf minutes. L’expiration ne certifie pas davantage que l’affectation concurrente a été retirée sur l’hôte. Elle modifie le traitement de l’état conservé par le réseau.

Une levée temporisée peut limiter le coût d’un événement passager et éviter qu’une restriction subsiste faute d’intervention. Elle suppose toutefois d’accepter et de suivre le risque de réapparition du conflit. Une levée explicite présente le compromis inverse : elle permet une décision contextualisée, mais peut laisser un service corrigé attendre une personne disponible et habilitée. La bonne comparaison porte sur ces conséquences, non sur une préférence abstraite pour le travail humain ou l’automatisation.

Les exceptions comptent également. Les spécifications distinguent certains usages IPv6 anycast, notamment des annonces de voisin dont le drapeau Override n’est pas positionné, des procédures de duplication d’IP en question. Une présence intentionnelle à plusieurs endroits ne doit pas être requalifiée mécaniquement en mauvaise affectation.

Une capacité nouvelle doit exister là où l’on en a besoin

Le dossier de publication de RFC 9721 le situe comme Proposed Standard d’avril 2025. Cela précise le statut du texte, pas l’inventaire des fonctions effectivement présentes dans un réseau.

Le registre d’errata, consulté le 8 septembre 2026, éclaire cette limite. Une proposition contestant la formulation de compatibilité avec les versions antérieures dans le résumé du RFC a été rejetée. Dans son examen, le responsable de domaine a néanmoins reconnu une limite d’un déploiement mixte lorsqu’un PE ancien doit réaliser la nouvelle mobilité d’une IP vers une MAC différente. Le rejet distingue l’absence d’une nouvelle fonction dans l’ancien équipement de l’incompatibilité des encodages et des comportements antérieurement pris en charge.

La proposition rejetée n’est pas devenue une correction normative déclarant l’ensemble incompatible. Mais le mot « compatible » ne dispense pas de vérifier les fonctions des PE concernés. Cette vérification doit correspondre au mouvement et à la reprise attendus, et non au simple fait qu’un produit porte l’étiquette EVPN. Aucun essai de réseau mixte ni tableau de conformité des fournisseurs n’a été établi pour cet article.

La prudence vaut aussi pour l’interprétation d’un conflit. RFC 9721 décrit la possibilité qu’un trafic falsifié côté hôte fasse apparaître un terminal légitime comme mobile, puis dupliqué. Une protection peut être justifiée sans que son déclenchement identifie un auteur malveillant. À l’inverse, l’urgence commerciale ne suffit pas à classer tout mouvement répété comme bénin. La qualification dépend du contexte réel.

Ce qui doit rester continu

Dans son texte sur la réalité comme produit de BTW, plutôt que l’engagement pour une cause, Heng Lu insiste sur les structures et leurs conséquences. Son analyse des problèmes d’agence invite à demander qui peut agir et qui supporte les effets. C’est une grille de lecture, pas un motif pour attribuer aux ingénieurs EVPN ses critiques particulières des institutions de registre.

Appliquée ici, elle conduit à une question d’exploitation très concrète : qui suit le service lorsque la correction quitte le périmètre d’une console et que la reprise dépend encore d’un autre état ? Deux intervenants peuvent avoir rempli correctement leur mission locale sans que ce suivi existe.

Il n’y a dans cette analyse ni durée de panne mesurée ni seuil valable pour tous. Les textes fournissent une séquence et des conditions. La responsabilité du service consiste à les relier, y compris lorsque l’on choisit délibérément d’attendre. Une restriction ne devrait pas survivre par oubli de cette liaison ; sa levée ne devrait pas tenir lieu de correction simplement parce qu’elle est plus facile à exécuter.