Résumé

  • La question initiale portait sur un domaine IS-IS L2 plat d'environ 300 routeurs et sur des équipements d'agrégation pouvant entretenir une centaine d'adjacences descendantes.
  • Saku Ytti a évoqué une exploitation de quelques milliers de nœuds sur d'anciens plans de contrôle; Mark Tinka a indiqué avoir atteint environ 300 nœuds dès 2009.
  • Tom Beecher a jugé le volume praticable, sous réserve de la géographie, de la taille de la base d'état de liens et du réglage des délais SPF. Dan Snyder a ajouté le matériel, la taille du domaine de panne et l'objectif de convergence.
  • Matthew Petach a déplacé la décision vers le « rayon d'impact » des erreurs d'automatisation, des fautes humaines, des pannes matérielles et des coupures de fibre.
  • Les RFC de l'IETF confirment que la hiérarchie IS-IS peut circonscrire la diffusion et le calcul SPF, mais qu'elle échange une partie de l'optimalité contre de la capacité d'échelle.
  • Avant d'approuver une topologie plate, l'opérateur doit démontrer le comportement en régime dégradé, pas seulement la capacité des routeurs à mémoriser la topologie.

La première réponse est rassurante. L'auteur du message cherchait des expériences concrètes sur un réseau IS-IS plat de niveau 2, avec quelque 300 routeurs, et s'interrogeait sur une centaine d'adjacences en aval de certains routeurs d'agrégation.

Les témoignages ne font pas de ce chiffre une frontière. Saku Ytti dit avoir exploité quelques milliers de nœuds IS-IS sur des matériels dont les plans de contrôle datent d'il y a deux décennies. Mark Tinka cite un réseau d'environ 300 nœuds en 2009, composé d'équipements Cisco et Juniper de plusieurs générations. Tom Beecher estime lui aussi que 300 nœuds ne devraient généralement pas poser de difficulté.

Ce ne sont ni des essais comparatifs de constructeurs ni des garanties pour le réseau interrogé. On ignore sa topologie, son mélange de matériels, la taille attendue de sa LSDB, sa distribution géographique et son objectif de convergence. Le fil ne donne donc aucun plafond universel. Il indique en revanche que le nombre de nœuds, pris seul, est un mauvais arbitre.

La limite du protocole et la limite acceptable ne coïncident pas

Beecher rattache son accord à deux éléments. L'étendue géographique peut modifier les délais utiles avant un calcul SPF; la taille totale de la base d'état de liens peut aussi imposer des réglages. Il ajoute que si la LSDB devient une inquiétude centrale, le maintien d'une zone plate mérite déjà d'être remis en cause.

Dan Snyder formule le problème autrement: le résultat dépend du matériel, du domaine de panne que l'opérateur accepte et de la vitesse à laquelle le réseau doit converger. Un processeur plus rapide améliore le calcul. Il ne réduit pas automatiquement le nombre de services exposés à une même erreur de configuration. Une convergence correcte ne garantit pas non plus que les chemins restants disposent d'assez de capacité.

La réponse tardivement indexée de Matthew Petach apporte le fait nouveau. Il propose de dresser la liste des défaillances ordinaires — bogue d'automatisation, saisie humaine erronée, panne aux couches physiques ou réseau, fibre coupée — puis de décider où placer des « portes coupe-feu » logiques. Il rejoint les autres entités sur la capacité technique de 300 nœuds, voire davantage. Il refuse simplement d'en faire une validation architecturale.

Il ne s'agit pas d'ajouter mécaniquement une zone IS-IS à chaque frontière administrative. La métaphore désigne un objectif opérationnel: connaître à l'avance ce qu'une erreur peut toucher et disposer d'un point où le trafic peut être orienté autrement si le plus court chemin n'est plus le meilleur résultat commercial ou technique.

Le temps de réparation redéfinit la panne

Une optique défectueuse dans un centre de données accessible n'a pas le même profil qu'une liaison longue distance endommagée. Dans le premier cas, le remplacement peut être rapide. Dans le second, la capacité restante peut devoir porter la charge assez longtemps pour que les priorités de service et les réserves deviennent décisives.

Petach prend l'exemple des liaisons transocéaniques. Les chemins de secours sont coûteux, deux tracés apparemment distincts peuvent partager un même destin physique et une perturbation régionale peut laisser des liens valides mais insuffisants. IS-IS peut alors converger exactement comme prévu tout en envoyant plus de trafic que les chemins survivants ne peuvent en absorber.

Le fil ne décrit aucune coupure réelle et ne fournit aucune mesure de câble. Il ne faut donc pas transformer l'exemple en incident. Son apport est méthodologique: pour chaque panne crédible, le modèle doit dire quelle demande se reporte sur quels liens, combien de temps cette situation peut durer et à quel endroit l'opérateur peut modifier la décision automatique.

La hiérarchie réduit la portée, avec un coût d'information

Le cadre de l'IETF éclaire cette distinction. La RFC 5302 décrit un domaine IS-IS composé de plusieurs zones de niveau 1 reliées par une topologie de niveau 2. Le confinement des LSP à l'intérieur d'une zone réduit la taille de la LSDB et la complexité du calcul du plus court chemin.

La même RFC souligne la contrepartie. La synthèse et l'abstraction retirent de l'information et peuvent produire des chemins moins optimaux. À l'inverse, diffuser davantage de préfixes améliore la précision mais augmente la mémoire, les transmissions et les calculs. La hiérarchie est donc un choix entre propriétés, pas un bouton gratuit de résilience.

La RFC 9377 rappelle que le traitement et la diffusion finissent par borner un domaine d'inondation unique et présente plusieurs domaines L1 avec un cœur L2 comme l'approche normale d'extension. La RFC 8405 exige, pour les délais de recul SPF, une cohérence entre routeurs d'une même zone ou d'un même niveau et note que les paramètres pertinents évoluent avec le réseau.

Ces textes ne fixent pas un seuil à 300. Ils donnent la liste des grandeurs à mesurer: nombre de liens, croissance de la LSDB, fréquence des changements, durée de diffusion, comportement SPF et capacité réellement disponible après une panne.

Quatre preuves valent mieux qu'un chiffre maximal

La première preuve porte sur la marge technique. Les essais doivent utiliser le matériel le plus lent encore en production et mesurer processeur, mémoire, établissement des adjacences, diffusion des LSP ainsi que calculs SPF complets et incrémentaux lors de changements réalistes.

La deuxième concerne le confinement. L'équipe doit simuler une erreur d'automatisation, une politique de routage erronée, la perte d'un équipement, d'un site et de plusieurs chemins longue distance. Chaque scénario doit préciser le périmètre qui recalcule, les services touchés et l'équipe responsable.

La troisième vérifie la capacité dégradée. Il faut appliquer la matrice de demande aux chemins survivants. Si une convergence réussie sature un lien, le dessin doit préciser où interviennent l'ingénierie de trafic, la priorité des services ou le contrôle d'admission.

La quatrième regarde l'exploitation future. Petach demande de penser à trois, cinq et dix ans. Cela signifie davantage de routeurs, mais aussi de nouvelles régions, des générations de matériels différentes, des domaines de maintenance plus larges et une topologie qu'un nombre suffisant d'ingénieurs doit pouvoir comprendre sous pression.

Le document manquant est un budget de panne

Un réseau compact, riche en chemins réellement divers et peu contraint par la capacité peut raisonnablement rester plat. Un réseau étendu, dépendant de quelques liaisons longues ou soumis à des obligations strictes peut avoir besoin de frontières bien avant que le plan de contrôle ne ralentisse.

Le fil NANOG sépare ainsi deux autorisations. La première confirme que le protocole et les routeurs peuvent porter l'état. La seconde confirme que l'organisation accepte le rayon d'une défaillance et sait contrôler les flux lorsque le réseau fonctionne en mode dégradé.

La prochaine pièce utile pour le projet de 300 routeurs n'est donc pas un témoignage à 3 000 nœuds. C'est un budget de panne: événements couverts, étendue et durée maximales, capacité restante et point de commande disponible quand le calcul du plus court chemin ne suffit plus.

Sources