Résumé

  • Le groupe RTGWG a publié le 25 septembre la révision 16 du projet de modèle QoS. Il s'agit encore d'un Internet-Draft, non d'une norme RFC approuvée.
  • Le nom de child-policy, simple chaîne de caractères dans la version précédente, devient une référence leafref vers le nom d'une politique configurée. Une condition distincte écarte la référence à soi-même.
  • Le texte demande aussi aux implémentations de refuser les chaînes cycliques. Deux références vers des objets existants peuvent néanmoins former A→B→A : la validité locale ne tranche pas la validité de l'ensemble.

Ce que la revue de sécurité avait isolé

Dans la version 15, un administrateur pouvait écrire comme politique fille n'importe quel nom. La revue de la direction Sécurité a jugé le document « Not ready » et distingué une cible inexistante d'une boucle, y compris une boucle entre deux politiques. Cette appréciation porte sur le projet soumis à revue ; elle ne décrit ni incident observé ni conclusion finale de l'IESG.

La version 16 répond par trois mécanismes de portée différente. Le leafref conduit à la liste des noms de politiques ; selon la sémantique de YANG 1.1, l'existence de la cible est alors contrôlée. Une expression must empêche qu'une politique se désigne directement. Enfin, la description du modèle impose de rejeter une configuration créant une chaîne cyclique. Ce dernier contrôle réclame l'examen du graphe, et non une simple consultation de chaque nom.

Le point est concret pour une politique QoS hiérarchique. Une chaîne organise les règles de classification, de file d'attente, de marquage et d'abandon des paquets dans l'architecture DiffServ. Si le système de gestion accepte une structure impossible à parcourir jusqu'à un terme, la conformité apparente de chaque référence ne donne pas une configuration opérable. Il s'agit ici d'une analyse du risque de configuration, pas de l'affirmation qu'un réseau en service a connu ce défaut.

Une autre correction concerne les droits

Le projet annote désormais l'action statistique clear avec nacm:default-deny-all et étoffe son chapitre sur la sécurité. Le contrôle d'accès NACM répond à la question de l'autorisation ; il ne supprime pas, à lui seul, les cycles. La validation YANG affichée par le Datatracker compte zéro erreur et six avertissements. Il serait excessif d'en conclure que la revue est terminée ou que tout déploiement serait sûr.

Sources