Résumé

  • link-flap-suppression retarde les transitions brèves ; dampening, feature indépendant, accumule une pénalité qui décroît de façon exponentielle.
  • Pendant un timer down, la porteuse sous-jacente peut être down alors que l’interface reste déclarée up : l’absence de changement d’oper-status est donc un résultat filtré.
  • Déclaration de feature, configuration appliquée, timer, pénalité, interface, adjacence, RIB, FIB, paquets, service et fenêtre de récidive forment des contrôles séparés.

Le décalage n’est pas une anomalie d’affichage

Dans draft-ietf-netmod-intf-ext-yang-19, le nœud timer-running peut prendre la valeur down alors que l’interface est toujours rapportée up et que le lien physique est déjà down. Avec up, la porteuse est revenue, mais l’annonce aux couches supérieures attend encore. Le modèle reconnaît ainsi deux horloges : celle du signal et celle de sa propagation opérationnelle.

Le nom exact du mécanisme est link-flap-suppression, non carrier-delay. Ses feuilles down et up, en millisecondes, imposent une durée continue avant de publier la transition. Le délai down peut laisser une protection optique agir ; le texte avertit qu’il peut aussi créer un trou noir et retarder la reconvergence. Le délai up exige un signal présent et sans erreur assez longtemps pour éviter qu’un retour fugitif ne remette le lien en service.

Une transition retournée avant l’échéance disparaît d’oper-status et de last-change, mais pas de carrier-transitions, compteur qui doit suivre le mouvement sous-jacent. Un tableau de bord stable peut donc cacher plusieurs oscillations physiques. Sans le sens du timer, son horodatage et le delta du compteur, « aucune panne » n’est pas une conclusion défendable.

Une mémoire exponentielle, pas un second debounce

Le feature dampening traite l’instabilité répétée. Chaque passage up→down ajoute 1 000 unités. half-life fixe le temps de division par deux ; suppress place l’interface en état supprimé ; reuse permet sa sortie lorsque la pénalité est redescendue et que le lien sous-jacent est up ; max-suppress-time borne la durée en l’absence de nouvelle pénalité.

Ces paramètres répartissent le risque. Une longue demi-vie protège le plan de contrôle, mais prolonge l’autorité d’incidents anciens. Un seuil suppress bas isole tôt, au prix d’une indisponibilité possible. Un reuse bas exige davantage de calme. Les nombres de l’exemple du projet — 60, 750, 2 000 et 240 secondes — ne sont pas une recommandation universelle. Les valeurs par défaut sont propres au fournisseur ou à l’équipement ; il faut donc relire ce qui est réellement en usage.

La fin du timer, suppressed=false ou une pénalité sous reuse ne prouve pas que la fibre, l’optique, l’alimentation ou le port distant sont devenus stables. Ce sont des sorties d’un algorithme local. Une baisse du nombre d’alarmes ne révèle pas davantage la cause ni le risque de récidive.

Ce que le serveur déclare, puis ce qu’il fait

YANG 1.1 rend des branches de schéma conditionnelles grâce aux features. Les deux containers ont des if-feature distincts : un serveur peut n’en proposer qu’un. La YANG Library énumère les features déclarés comme pris en charge. Cette information borne le schéma attendu ; elle ne prouve ni l’acceptation sur une interface précise, ni l’application par le matériel.

NMDA sépare configuration intended et état operational. L’intention peut diverger de la valeur utilisée en raison du matériel, d’un délai de propagation ou d’une contrainte locale. Il faut garder la demande, l’accusé de réception et la relecture des valeurs appliquées. Un validateur, un commit ou un état IESG reste une preuve de son propre étage.

La fiche Datatracker et son historique attestent qu’il s’agit d’un Internet-Draft NETMOD actif, soumis en vue d’un Proposed Standard. Elles n’attestent aucun déploiement. La section sécurité exige transport protégé, authentification mutuelle et contrôle d’accès NACM. Le fait que son gabarit ne signale aucun nœud individuellement « particulièrement sensible » n’efface pas les effets de trou noir décrits plus haut.

La remontée d’une interface n’est que le premier jalon

RFC 8343 décrit oper-status=up comme prêt à transporter des paquets. Le timer ajoute un contexte où l’état rapporté retarde volontairement le signal. Puis il faut vérifier chaque adjacence de protocole, son époque et son voisin ; examiner le RIB ; et contrôler séparément le FIB et la résolution du prochain saut. Dans RFC 8349, une route active est préférée dans son RIB pour un préfixe : elle ne constitue pas un reçu du matériel de transfert.

Les paquets apportent la couche suivante. RFC 7799 distingue mesures actives, passives et hybrides. Direction, classe, taille, points d’observation et durée doivent accompagner le résultat. Un ping ne couvre ni chaque membre LAG/ECMP, ni le retour, ni une transaction. BFD, lorsqu’il est déployé, ajoute une observation rapide de vivacité ; son état ne signe pas le succès applicatif.

La stabilité physique, le transfert rétabli, l’acceptation métier et la disparition de la cause sont quatre conclusions. Chacune réclame son témoin. La dernière exige des éléments causaux — optiques, énergie, maintenance ou autre — et une fenêtre sans récidive.