Résumé

  • La RFC 3478 conservait les entrées de transfert MPLS et les associations label-FEC comme états périmés pendant que LDP reconstruisait leur sens.
  • Les délais de reconnexion, de présence, de récupération et de maintien, plus l’interdiction de réemployer trop tôt un label, transformaient la continuité en prêt limité plutôt qu’en preuve de reprise.

Le mot « graceful » promet facilement une reprise sans cicatrice. La RFC 3478 organisait une situation plus délicate : le composant LDP du plan de contrôle pouvait redémarrer et réapprendre son état, tandis que le plan de transfert continuait à suivre des règles installées avant la coupure. Les paquets avançaient alors plus longtemps que le récit qui expliquait leur chemin.

La condition de départ était volontairement minimale. Un LSR capable de préserver son état de transfert MPLS n’était pas obligé de conserver tout l’état LDP. Il pouvait garder une correspondance entre label entrant, label sortant et prochain saut, ou, à l’entrée, entre FEC, label sortant et prochain saut. Ce minimum évitait de perturber aussitôt un LSP établi ; il ne prouvait pas que le contrôle connaissait encore toutes les associations.

Au redémarrage, les entrées préservées étaient marquées périmées. Un nouveau Label Mapping pouvait les confirmer si le label sortant et le prochain saut appris du pair correspondaient. Les cas d’Implicit NULL, de penultimate hop et d’egress demandaient des jointures supplémentaires, parfois avec la FEC. Une entrée ne redevenait actuelle que lorsque les messages reconstruits fournissaient la preuve requise.

Une procédure alternative autorisait même deux associations locales pour la même FEC pendant la reprise : l’une retenue de l’ancienne exécution, l’autre créée après le redémarrage. Toutes deux partageaient label sortant et prochain saut ; l’ancienne disparaissait à la fin. La continuité n’impliquait donc pas l’unicité immédiate de la vérité de contrôle.

Le temps gouvernait ce compromis. Le FT Session TLV de l’Initialization LDP transportait FT Reconnect Timeout et Recovery Time. Le premier indiquait combien de temps l’émetteur souhaitait que le pair garde l’ancien transfert après la perte de communication. Le second indiquait combien de temps le LSR redémarré pouvait maintenir le transfert qu’il avait réellement préservé.

La valeur zéro avait un sens précis. Un FT Reconnect Timeout nul disait que l’émetteur ne préserverait pas son propre transfert, même s’il pouvait aider un voisin capable de le faire. Un Recovery Time nul disait que l’ancien état n’était pas disponible. Le pair devait alors supprimer ses associations périmées, et non attendre sans limite.

Les choix locaux réduisaient la promesse distante. Avant reconnexion, les associations survivaient pendant le plus court du FT Reconnect Timeout et du Neighbor Liveness Timer local. Après une reconnexion avec Recovery Time non nul, le délai était encore borné par le plus court de ce temps et du Maximum Recovery Time local. Sur le LSR redémarré, le MPLS Forwarding State Holding timer supprimait à expiration tout ce qui restait périmé.

Ces horloges ne faisaient pas double emploi. Le pair annonçait le temps désiré ; l’opérateur local limitait la confiance qu’il accordait ; la machine redémarrée bornait ses propres restes. La fenêtre réelle était l’intersection des décisions, jamais le nombre le plus généreux.

La RFC recommandait d’échanger les mappings dans la première moitié du Recovery Time. Pourtant, une session TCP et LDP rétablie ne prouvait pas que toute la LIB avait été annoncée. Le texte de 2003 ne possédait pas de marque explicite de fin. La RFC 5919 ajouta plus tard End-of-LIB Notification. Ce mécanisme ultérieur éclaire le manque de preuve initial, sans pouvoir être projeté dans le protocole d’origine.

La non-réutilisation des labels fermait la zone de danger. Si un LSR aval libérait une valeur puis lui donnait un nouveau sens alors qu’un LSR amont envoyait encore selon l’ancien, le trafic pouvait être mal acheminé. Le label libéré ne devait donc pas être réemployé vers un voisin graceful-restart avant au moins FT Reconnect Timeout plus Recovery Time. C’était le sens ancien qui entrait en quarantaine.

La sécurité montrait que cette fenêtre pouvait être attaquée. Un intrus pouvait imposer Recovery Time égal à zéro et déclencher la libération des labels. À l’inverse, une réutilisation trop rapide d’un label de portée plateforme pouvait rencontrer un pair qui continuait avec l’ancienne association. L’authentification aidait, mais l’enquête devait encore établir ce que chaque côté croyait à chaque instant.

Un trafic sans coupure reste un indice étroit. Il montre que certaines entrées ont survécu et fonctionné pour les paquets observés. Il ne prouve pas que toutes les FEC ont été rafraîchies, que la nouvelle session a reconstruit la LIB, que la propriété des labels attribués aussi par BGP ou RSVP-TE a été conservée, ni que l’état demeurera sûr au-delà du dernier délai.

La méthode des couches de réalité de Heng Lu commence par les identités des anciennes et nouvelles sessions, les événements TCP, les TLV et tous les temporisateurs locaux. Elle sépare table de transfert, LIB et information de provenance protocolaire. Pour chaque entrée, elle note la mise en état périmé, le Mapping qui la rafraîchit, l’adresse du pair, un éventuel changement de label, la suppression et la quarantaine avant réemploi.

Ensuite seulement viennent les observations de trafic. Une courbe sans perte n’est pas un journal de resynchronisation. Une session verte n’est pas End-of-LIB. Un Recovery Time non nul est une déclaration de conservation, pas une mesure. Une entrée qui transfère encore reste périmée jusqu’à ce que la preuve de contrôle la renouvelle.

La RFC 3478 appartient à l’histoire de l’Internet parce qu’elle a fondé la continuité sur un doute discipliné. Le plan de données pouvait survivre un temps à son explication, mais l’ancien état ne devenait pas une vérité durable. Les labels acheminaient alors que le temps était compté ; le protocole précisait qui pouvait accorder, raccourcir et terminer ce sursis.

Sources