Résumé

  • Le S-NSSAI identifie une tranche dans le plan de contrôle 5G, mais le transport ne voit pas cette valeur. À chaque frontière, il faut la traduire en VLAN, adresse, préfixe, DSCP, label MPLS ou identifiant SRv6 exploitable localement.
  • Cette correspondance n’est qu’une demande de traitement. La séparation VPN, l’admission en bordure, les classes partagées du cœur, la capacité, le chemin installé et la performance observée nécessitent leurs propres preuves.

Un catalogue commercial peut créer une tranche en quelques secondes. Le réseau, lui, ne connaît pas le nom du produit. Il reçoit des paquets, des interfaces, des marques et des règles. La RFC 9889 décrit comment des techniques IP/MPLS courantes peuvent réaliser le transport de tranches 5G. Sa contribution la plus éclairante est de laisser visible la couture entre deux mondes : l’intention 5G d’un côté, les ressources effectivement gouvernées de l’autre.

Le plan de contrôle mobile emploie un S-NSSAI de 32 bits. Cette identité n’est pas visible dans le domaine de transport. Le point de démarcation doit donc présenter un signe observable : VLAN, couples d’adresses, préfixe, DSCP, tunnel, label MPLS ou locator SRv6. Si ce signe est bien reçu, on sait seulement que le classificateur dispose d’une entrée. On ne sait pas encore si la bonne instance de service existe, si le débit a été admis, si la file a été configurée, si la route respecte les contraintes ni si l’utilisateur a reçu le résultat annoncé.

Une correspondance locale, pas un nom universel

Le cas du VLAN montre pourquoi la traduction doit être administrée. Un identifiant peut n’avoir de sens que sur un circuit d’attachement précis. La même tranche 5G peut porter un autre VLAN sur un autre site. Chaque frontière conserve alors sa table de correspondance, et les orchestrateurs client et fournisseur doivent coordonner le VLAN, le sous-réseau, les adresses et, selon la technique, l’ASN ou le tunnel.

Le transfert par IP déplace la complexité. Une adresse dédiée, un groupe d’adresses, certains bits d’un préfixe ou un DSCP peuvent représenter la tranche. Cela évite parfois une interface logique par service, mais fait de l’adressage et de la classification une surface d’autorité. Une entrée obsolète peut envoyer un trafic valide vers la mauvaise politique. Une fonction réseau partagée peut nécessiter plusieurs tunnels. La preuve utile associe donc le paquet au numéro de version de la table, au point de démarcation et à l’autorité qui l’a publiée.

La RFC 2474 définit DSCP comme sélection d’un comportement par saut, non comme certificat de qualité de bout en bout. La RFC 3270 organise son transport dans MPLS. Observer le bon codepoint ne démontre ni la file traversée à chaque saut ni la capacité disponible après une panne. La RFC 9889 réutilise ce langage sans lui attribuer une portée qu’il n’a jamais eue.

La cardinalité brouille encore les raccourcis. Une tranche 5G peut être distribuée entre plusieurs tranches de transport pour séparer plan de contrôle et plan utilisateur. Plusieurs tranches 5G peuvent partager le même transport. À grande échelle, une relation M-vers-N est vraisemblable. Le rapport un-pour-un n’est donc ni une obligation ni une preuve supérieure : la question est de savoir quelles propriétés subsistent après le partage.

L’automatisation traverse trois périmètres

Le cadre de la RFC 9543 porte sur une connectivité entre points de démarcation assortie d’objectifs. Dans le contexte 5G, cette connectivité s’insère entre l’orchestrateur de bout en bout, les contrôleurs des sites clients et le contrôleur de tranche du fournisseur. Le RAN et le cœur relèvent du système de gestion 3GPP ; le transport conserve son propre domaine de contrôle.

Un succès dans un domaine n’emporte pas les autres. Le site client peut créer son VLAN avant que le PE ne le lie au VPN. Le fournisseur peut construire une instance L3VPN alors que le bearer manque. Les deux côtés peuvent accepter les mêmes identifiants et diverger sur le débit ou la politique de sécurité. Même un accusé de réception positif du contrôleur ne prouve pas que tous les équipements ont installé l’état demandé.

Le circuit d’attachement est donc un contrat bilatéral. Ses deux extrémités doivent partager des valeurs compatibles et un ordre de changement. La RFC 9889 autorise aussi une politique automatique de réutilisation d’une tranche de transport existante. Ce gain de vitesse délègue une décision : il faut conserver la règle appliquée, l’état de capacité consulté, les conflits détectés et le moyen de retour arrière.

La finesse est en bordure, l’agrégation dans le cœur

Les instances L2VPN et L3VPN servent d’abord à séparer logiquement les services. La RFC 4664 décrit le cadre L2 ; la RFC 4364 les VPN IP BGP/MPLS. Une instance distincte et une encapsulation extérieure fournissent une bonne frontière de classement. Elles ne réservent pas automatiquement le débit et ne chiffrent pas nécessairement les données.

Au PE, le modèle devient précis. Les policiers d’entrée appliquent un débit contractuel par tranche, parfois par classe 5QI. Les ordonnanceurs de sortie peuvent garantir des taux et hiérarchiser les files. Pour que cette promesse soit réelle, le classificateur, le CIR, le PIR, le burst, la file et la capacité physique doivent correspondre au même contrat.

Dans le transit, le modèle assume au contraire la compression. Il utilise un seul Network Resource Partition ; les routeurs centraux ne conservent pas d’état par tranche. Beaucoup de services convergent vers un petit nombre de classes de transport, généralement huit au plus. Dans le modèle ignorant le 5QI, toute la tranche reçoit une classe. Dans le modèle conscient du 5QI, la bordure distingue davantage de flux, mais le cœur les regroupe encore dans ses classes limitées.

La distinction est décisive pour la gouvernance. Mille identités de service peuvent dépendre des mêmes huit traitements, des mêmes liens et des mêmes contrôleurs. Compter les tranches provisionnées masque cette concentration. Il faut visualiser les points de convergence et le comportement en topologie dégradée.

Une garantie peut reposer sur un calcul, pas sur une réservation

Le premier modèle de capacité de la RFC 9889 utilise le plus court chemin sans réservation explicite de bout en bout. Le fournisseur peut néanmoins promettre un débit, soutenu par la prévision de demande, la marge et l’absence prévue de surabonnement. Une variation inattendue ou une panne peut rompre cette hypothèse. Ce modèle n’est pas illégitime ; il exige seulement de nommer honnêtement la nature de la garantie.

D’autres options ajoutent des chemins TE et des contraintes fixes ou dynamiques. La RFC 9522 situe ces mécanismes d’Enhanced VPN et d’ingénierie. Avec SR-TE, le contrôleur peut tenir un compte de bande passante même si la couche réseau ne réserve pas elle-même la ressource. Le registre du contrôleur, le calcul de chemin, l’état installé et la charge mesurée restent quatre observations distinctes.

À la sortie, l’arithmétique s’impose : la somme des débits engagés doit tenir dans le circuit d’attachement, sauf préemption explicite d’un service moins prioritaire. Un S-NSSAI correct n’augmente pas la capacité physique. Une admission n’est crédible qu’avec un état de capacité daté.

Fermer la preuve par la mesure

La RFC 9889 demande de détecter les écarts entre la vue de gestion et la configuration réelle, de mesurer les objectifs et d’exposer l’état opérationnel. L’intention décrit ce qui devait exister ; la configuration montre ce qui a été installé ; la télémétrie dit ce qui s’est produit ; l’observation du client évalue le service reçu.

La sécurité suit le même ordre. Les contrôleurs utilisent un transport sûr, une authentification mutuelle et une autorisation limitée. Les tables de classification doivent être protégées, puisqu’une modification non autorisée peut détourner le trafic ou consommer les ressources d’une autre tranche. Une contrainte géographique exige la preuve du chemin sous-jacent ; le nom du VPN ne suffit pas.

Enfin, la portée évite la survente : RFC 9889 est informationnelle, ne traite qu’un NRP, n’impose aucun mécanisme et ne documente aucun résultat chez un opérateur nommé. Elle fournit une méthode de réalisation, jamais une attestation de réalisation.

Sources