Résumé

  • La révision 01 propose une communauté BGP transitive bien connue : en cas de congestion, le trafic destiné au préfixe marqué doit être servi avec une priorité inférieure et abandonné avant les autres agrégats.
  • La présence de DOWNGRADE dans une route ne démontre ni l'acceptation par le voisin, ni l'installation d'un classificateur, ni l'entrée dans une file Lower-Effort, ni la conservation du DSCP, ni même l'existence d'une congestion.
  • L'alternative n'est moins destructrice que le RTBH que si les domaines coopèrent, qu'une capacité résiduelle existe et que le défenseur conserve assez d'observations pour décider quand retirer la mesure.

Un trou noir répond à une crise par une certitude brutale. Les paquets pour la victime sont détruits. La capacité commune peut être sauvée, mais la cible ne peut plus constater elle-même si l'attaque continue.

DOWNGRADE remplace cette certitude par une promesse conditionnelle. Le préfixe reste routable. Son trafic reçoit une priorité plus faible et ne doit perdre qu'au moment où une ressource devient congestionnée. Il peut donc subsister un débit utile : assez pour maintenir une fonction essentielle, mesurer l'attaque ou détecter son arrêt. Mais ce filet n'est pas attaché à la route comme une propriété physique. Il dépend des équipements qui reçoivent le signal.

La révision 01, publiée le 24 septembre 2026, est un document de travail du groupe GROW. La fiche Datatracker la classe toujours comme Internet-Draft actif et l'annonce officielle confirme uniquement sa date et son statut de travail. L'en-tête vise un texte Informational. Il ne s'agit ni d'un RFC ni d'un relevé de déploiement.

Un élément de coordination a déjà franchi une étape. À la suite de la demande des auteurs, le registre IANA attribue 0xFFFF000A à DOWNGRADE. Le numéro commun évite que chaque opérateur invente sa propre valeur. Il ne crée aucune règle d'importation ni file d'attente. D'ailleurs, le chapitre IANA de la révision 01 connaît la valeur définitive alors que les exemples de configuration conservent TBD. Cette incohérence rappelle utilement qu'un exemple de projet n'est pas une configuration prête à pousser.

Selon le RFC 1997, une communauté est un attribut BGP optionnel et transitif. Chaque système autonome peut l'accepter, la modifier, la redistribuer et l'interpréter selon sa politique. La nouvelle valeur ne commande donc pas un routeur distant. Elle qualifie une destination et laisse au récepteur le contrôle de l'effet local.

Le projet demande deux traductions successives. D'abord, la politique BGP doit reconnaître la communauté et rattacher la route à une classe de transfert. Ensuite, le plan de données doit placer les paquets vers cette destination dans un traitement inférieur. Lorsqu'une congestion apparaît, ils devraient être éliminés avant le trafic ordinaire. À la sortie d'un domaine, ils devraient porter le DSCP Lower-Effort 000001 défini par le RFC 8622.

Les serveurs de routes des points d'échange devraient transmettre la communauté sans la retirer. Cette prescription vise une action plus proche des sources de l'attaque. Elle ne constitue pourtant aucune preuve de traitement. Le RFC 7947 place le route server dans le plan de contrôle ; les paquets ne le traversent pas. Une communauté visible sur ce serveur peut n'avoir rencontré encore aucune file.

Le comportement Lower-Effort n'est pas un engagement de débit minimal. Le RFC 8622 accepte une très faible progression, voire une famine complète. Un domaine dépourvu de file LE devrait faire passer ces paquets en Best Effort tout en gardant le DSCP. Dans ce cas, le signal est conservé, mais l'effet demandé n'est pas produit localement et le trafic d'attaque peut encore concurrencer les autres flux. Un effacement du DSCP prive au contraire le domaine suivant de l'indice. Un marquage abusif de trafic légitime peut lui-même provoquer une attaque par dégradation.

La visibilité promise exige donc sa propre chaîne de preuve. Des paquets sortis d'une file amont peuvent mourir plus loin. Ils peuvent atteindre le réseau de la victime sans atteindre le capteur. Un échantillon peut être trop pauvre pour distinguer une attaque en baisse d'une famine imposée. L'absence de trafic observé ne tranche pas entre la fin de l'attaque, un blackhole intermédiaire, un effondrement de file et une panne de télémétrie.

Le projet reconnaît une contrainte fondamentale : il faut encore de la capacité inutilisée pendant l'attaque. La priorité ne fabrique pas de bande passante. Si le goulot se situe avant le point de classification, ou si les flux prioritaires consomment toute la ressource restante, le trafic rétrogradé peut disparaître entièrement. La cause de l'attaque demeure intacte.

Cette condition sépare la proposition du BLACKHOLE du RFC 7999 et du RTBH décrit dans le RFC 5635. BLACKHOLE demande une destruction et recommande d'en limiter la propagation. DOWNGRADE cherche au contraire une diffusion large pour obtenir un abandon préférentiel près des sources tout en gardant une chance non nulle de livraison. Les deux signaux sont consultatifs et nécessitent une autorisation du préfixe ; leurs résultats recherchés ne sont pas interchangeables.

Le dossier d'incident doit donc séparer les reçus. Il nomme le préfixe, le responsable, l'heure de départ, la durée maximale et le speaker autorisé. Il énumère les voisins ayant accepté la communauté, les route servers l'ayant relayée et les politiques qui l'ont convertie en classe. Il conserve ensuite l'état du classificateur et de la FIB, l'identité et l'ordonnanceur de la file, le DSCP aux frontières, les compteurs de congestion et d'abandon, les échantillons, le débit vu par la victime et les canaris applicatifs. Enfin, il prouve le retrait et le retour du service ordinaire.

La primauté du code exécuté de Heng Lu donne priorité au traitement du paquet sur le symbole du registre. Ses couches de réalité interdisent de confondre route, file et résultat applicatif. La spécification initiale minimale trace enfin la limite institutionnelle : le vocabulaire commun décrit une demande étroite ; le réseau qui agit reste responsable de l'exécution.

La communauté ouvre une option plus fine que l'alternative « tout passe » ou « plus rien ne passe ». Sa valeur dépend de la capacité à prouver ce milieu. La route marquée annonce une intention ; seule la file révèle le résultat.

Sources