Résumé

  • L'Appointed Forwarder de TRILL reçoit un mandat limité à un VLAN, à un lien et au traitement des trames natives ; ce statut ne commande ni les trames TRILL Data ni IS-IS.
  • Une inhibition liée au DRB, à un changement de pont racine ou à un conflit de VLAN peut suspendre l'ingress et l'egress natifs sans retirer le mandat.
  • L'exploitation doit donc dater séparément l'élection, la source de la désignation, l'éligibilité du port, le déclencheur du temporisateur, la suppression effective des trames et le retour du service.

Un mandat peut rester valable alors que son exercice devient dangereux. Cette phrase paraît juridique ; RFC 8139 en fait un état de réseau très concret.

Sur un lien donné, le tableau de bord peut toujours désigner un commutateur comme Appointed Forwarder du VLAN 23. Pourtant, le même équipement laisse expirer un temporisateur avant d'accepter ou d'émettre la moindre trame native. Il continue à parler IS-IS, à recevoir des trames TRILL et à annoncer sa propre croyance. Il ne renonce pas au rôle : il s'interdit provisoirement l'acte qui pourrait fermer une boucle.

Cette distinction offre une lecture précise du travail public de Radia Perlman. L'Internet Hall of Fame, qui l'a intronisée en 2014, rappelle ses contributions à IS-IS, à l'algorithme de spanning tree, à TRILL et à la pédagogie des protocoles. Le Datatracker de l'IETF lui attribuait 22 RFC et un rôle de relectrice au Security Area Directorate lors de la consultation de septembre 2026. Ce contexte n'autorise ni un récit d'inventrice solitaire ni une affirmation sur un déploiement réel.

RFC 6439, consacrée aux Appointed Forwarders, fut écrite collectivement par Perlman, Donald Eastlake 3rd, Yizhou Li, Ayan Banerjee et Fangwei Hu. Elle n'est plus le dernier mot. RFC 8139, publiée en 2017 par une autre équipe, l'a rendue obsolète et a mis à jour les RFC 6325 et 7177. La filiation explique la contribution de Perlman ; la succession des textes indique quelle sémantique employer aujourd'hui.

Un mandat étroit, pas une présidence du campus

TRILL transporte les données encapsulées à travers un campus grâce à IS-IS et à un en-tête comportant un nombre maximal de sauts. À la périphérie, les stations parlent encore Ethernet sans cet en-tête. Si plusieurs commutateurs TRILL sont reliés au même LAN, ils ne doivent pas tous importer et restituer simultanément les trames natives d'un même VLAN.

Le mandat répond à cette question. Pour VLAN-x sur un lien précis, l'Appointed Forwarder assure l'entrée des trames natives dans le campus et leur sortie vers le LAN. Le Designated RBridge, ou DRB, assume ce rôle par défaut et peut attribuer certains VLAN à d'autres commutateurs présents sur le lien.

Les trois coordonnées comptent : fonction native, VLAN et lien. La désignation ne confère pas un rang général au commutateur et n'a aucun effet sur le transit des trames TRILL Data ou TRILL IS-IS. Un inventaire qui conserve seulement le nom du titulaire transforme une assertion bornée en pouvoir imaginaire.

La provenance du mandat constitue une quatrième coordonnée. RFC 8139 distingue notamment l'auto-désignation du DRB, les attributions diffusées dans la base de données E-L1CS, celles portées par les Hellos, les conséquences d'une nouvelle élection, les messages Port-Shutdown et la configuration locale. La base E-L1CS est semi-permanente ; la base Hello reflète la dernière annonce du DRB. Deux sources peuvent donc contribuer au même statut sans avoir la même durée ni le même mode de révocation.

La prudence s'insère entre le titre et l'acte

Deux Appointed Forwarders actifs pour le même VLAN et le même lien peuvent créer une boucle dont une partie circule en trames natives. Sur cette partie, le hop count de TRILL n'existe pas. Un mappage entre VLAN à l'intérieur du LAN peut même relier deux identifiants en une boucle durable.

Les élections et les annonces cherchent à prévenir cette situation. Elles ne rendent pas simultanée la connaissance distribuée. Le mécanisme d'inhibition couvre l'intervalle où des nœuds raisonnables peuvent encore posséder des vues incompatibles.

Lorsqu'un port se croit devenu DRB, son temporisateur d'inhibition DRB court pendant son Holding Time. Lorsqu'un commutateur reçoit un Hello où un autre émetteur se déclare Appointed Forwarder de VLAN-x, le temporisateur du VLAN prend la plus longue valeur entre son reste actuel et le Holding Time annoncé. L'activation d'un VLAN auparavant absent impose également une attente. Enfin, un changement du pont racine commun observé sur le LAN déclenche un temporisateur dont la valeur par défaut est de 30 secondes. Des valeurs plus courtes sont prévues si le temps de stabilisation est connu.

Chaque cause porte une signification différente. Une nouvelle élection n'est pas un conflit entre pairs ; un changement de root bridge n'est pas une révocation ; l'activation d'un VLAN n'est pas une preuve de service. Le journal doit garder le déclencheur, faute de quoi toutes les interruptions finissent sous l'étiquette inutile « bloqué ».

La granularité révèle également un choix économique. Des temporisateurs par VLAN limitent la perte à la zone incertaine. Une implémentation contrainte peut en regrouper certains, mais RFC 8139 exige au moins deux classes et interdit de mélanger un VLAN dont le commutateur est titulaire avec un VLAN dont il ne l'est pas. Un regroupement plus grossier peut rester sûr tout en supprimant davantage de trafic. La sécurité ne rend pas ce coût invisible.

Continuer à annoncer le mandat pendant l'inhibition

Tant que l'un des temporisateurs applicables n'a pas expiré, le titulaire inhibé ne place pas sur le lien la trame native qu'il vient de décapsuler et ne la met pas en attente pour ce lien. Une trame native reçue depuis le LAN et normalement destinée à l'ingress est ignorée, sauf éventuellement pour l'apprentissage d'adresse.

Il continue néanmoins d'indiquer dans ses Hellos s'il se considère Appointed Forwarder. Cette information permet aux voisins d'apercevoir la contradiction et de converger. Les trames TRILL Data et IS-IS ne sont pas arrêtées par l'inhibition. Une fonction de bord est suspendue ; le réseau interne n'est pas mis hors tension.

Voilà pourquoi « désigné mais inhibé » est un état valide. La révocation changerait le titulaire. L'inhibition conserve le titulaire et retire temporairement l'autorisation d'exécuter une action. Assimiler les deux pousse soit à réattribuer trop tôt, soit à relancer le trafic uniquement parce que le mandat est encore visible.

Un dossier d'incident utile doit donc juxtaposer, sans les fusionner, l'identité du DRB et la génération d'élection ; la base qui porte l'attribution ; le lien et les VLAN concernés ; le mode du port et les VLAN activés ; le Hello, la reconfiguration ou le BPDU qui a déclenché l'attente ; la valeur et l'échéance du temporisateur ; les compteurs natifs ; la continuité de TRILL Data et d'IS-IS ; puis la réattribution et le résultat vu par les stations.

Le registre de désignation prouve le mandat. Il ne prouve ni son exercice, ni l'absence de boucle, ni la disponibilité d'une application.

Tester d'abord ce qui ne doit plus passer

Une vérification de code en fonctionnement commence par le négatif. Dans un environnement contrôlé, provoquer une annonce concurrente ou un changement de topologie reconnu par la norme. Conserver le paquet déclencheur et la valeur du Holding Time. Observer ensuite le temporisateur, puis envoyer des trames natives dans les deux sens.

La capture et les compteurs doivent montrer que l'équipement n'a ni introduit ces trames depuis le lien ni émis les trames décapsulées vers le VLAN inhibé. En parallèle, ils doivent montrer que les paquets IS-IS et les trames TRILL Data continuent. Si tout disparaît, le test démontre une panne générale, pas une inhibition correctement bornée.

Il faut aussi tester l'indépendance des VLAN. Une alerte sur VLAN 23 ne devrait pas retirer du service VLAN 24 si leurs états sont séparés et si aucun événement ne le justifie. Cette propriété est souvent plus informative qu'un simple retour au vert : elle mesure le rayon d'impact de l'incertitude.

À l'expiration, enregistrer une nouvelle transition : mandat encore valable, temporisateur à zéro, première trame native autorisée, absence de duplication et service perçu par la station. Une valeur nulle n'est pas une preuve de récupération. De même, si l'adjacence avec le titulaire disparaît, la décision du DRB de reprendre ou de réattribuer les VLAN exige son propre reçu.

Le prix assumé de la sécurité

L'inhibition sacrifie temporairement des trames pour éviter une boucle potentiellement persistante. Ce compromis doit être visible. Trente secondes peuvent être prudentes pour un LAN dont la convergence est inconnue et excessives pour un domaine mesuré. Réduire sans preuve accroît l'exposition à la boucle ; conserver une portée trop large prolonge une indisponibilité évitable.

Les changements superflus d'Appointed Forwarder ont le même défaut. RFC 8139 les déconseille car ils peuvent interrompre le service des stations. Une politique obsédée par la répartition parfaite des VLAN peut produire plus de transitions et plus de périodes sans relais utilisable que la charge qu'elle prétend équilibrer.

Le bon objectif n'est donc ni le minimum absolu de secondes ni le maximum de mouvements. C'est une incertitude contenue : durée suffisante pour révéler une vue conflictuelle, granularité suffisante pour épargner les VLAN non concernés et chemin de retour observable.

Une œuvre collective qui reste révisable

Perlman a contribué à rendre les réseaux distribués compréhensibles sans les réduire à un contrôleur omniscient. Pourtant, la précision historique oblige à nommer les collectifs. RFC 6325 avait cinq auteurs ; RFC 6439 en avait cinq, dont Perlman ; RFC 8139 a remplacé ce texte avec une autre équipe et davantage de mécanismes opérationnels.

Cette continuité illustre une coordination durable : personne ne possède éternellement la règle, mais chacun peut conserver les distinctions dont dépend la sécurité. Le successeur peut ajouter deux bases d'attribution, un message d'arrêt et des optimisations sans effacer l'idée essentielle. Le mandat et l'exercice du mandat ne sont pas une seule case.

Sources