Résumé

  • La RFC 7606 remplace de nombreuses réinitialisations provoquées par des attributs BGP malformés par treat-as-withdraw : les routes de l'UPDATE fautif quittent Adj-RIB-In, tandis que l'adjacence et les routes valides restent en place.
  • Cette réponse n'est permise que si le destinataire identifie sûrement les NLRI concernées ; sinon, la réinitialisation ou la désactivation de l'AFI/SAFI demeure nécessaire.

Un message défectueux retirait aussi des routes saines

BGP construit la joignabilité par mises à jour successives. Une session peut porter une vaste table de chemins valides, mais le traitement général de la RFC 4271 associait un attribut malformé à une NOTIFICATION et à la fermeture de la connexion. Le défaut disparaissait avec toutes les routes dépendantes de la session, puis la reconnexion et la reconvergence étendaient l'incident.

Les attributs transitifs optionnels accentuaient le problème. Un routeur qui ne les reconnaissait pas pouvait les transmettre sans vérifier leur valeur. Le défaut se répliquait avant d'atteindre un équipement capable de le détecter ; cet équipement fermait alors une adjacence qui n'était pas forcément proche de l'origine.

Treat-as-withdraw change l'unité de défaillance. Les routes contenues dans l'UPDATE sont retirées comme si un retrait explicite avait été reçu. La session reste établie et les chemins valides antérieurs survivent. Le destinataire obtient un pouvoir plus étroit : isoler l'ensemble de routes identifiable plutôt que détruire toute la relation.

La certitude d'analyse borne le pouvoir

La RFC 7606 impose ce traitement pour certaines erreurs touchant ORIGIN, AS_PATH, NEXT_HOP, MULTI_EXIT_DISC et LOCAL_PREF, ainsi que pour l'absence d'attributs obligatoires, sauf règle plus précise. D'autres défauts justifient l'abandon d'un attribut, la désactivation d'une famille ou la réinitialisation.

La limite décisive est l'analyse des NLRI. Si le destinataire ne peut décoder sûrement NLRI, MP_REACH_NLRI ou MP_UNREACH_NLRI, il ne sait pas quelles routes retirer. La réponse plus forte reste obligatoire. La résilience ne donne pas le droit de deviner.

La RFC 7607 fournit un cas concret : les routes portant l'AS 0 dans certains attributs sont malformées et relèvent des procédures révisées applicables. Une norme définit l'invalidité ; l'autre limite les conséquences quand la portée est identifiable.

Préserver la session déplace le coût

Les destinations concernées peuvent devenir injoignables ou emprunter un chemin inférieur. Sur une session IBGP, des réactions divergentes peuvent produire des boucles durables ou des trous noirs. La RFC estime généralement ce risque moins grave que la fermeture de session, sans prétendre le supprimer.

Treat-as-withdraw ne signifie pas ignorer l'UPDATE. Ignorer une mise à jour incrémentale pourrait conserver une ancienne route invalide ; le retrait modifie explicitement l'état. La RFC recommande des moyens de diagnostic dont le socle journalise les NLRI et conserve le message malformé complet ; il s'agit d'une préconisation opérationnelle, pas d'un MUST normatif en majuscules. Une session verte accompagnée de routes disparues n'est un succès que si la perte reste attribuable et réversible.

Preuves et limites

Les RFC 7606, 4271 et 7607 étayent les mécanismes et leurs risques ; l'IANA confirme le code 3 d'erreur UPDATE. L'analyse de pouvoir est une inférence. Aucune source ne prouve un déploiement, un défaut ou un résultat chez un opérateur nommé.

Sources