Résumé

  • Graceful Restart autorise un pair à conserver provisoirement des routes, sous l’hypothèse que le transfert reste viable pour la famille d’adresses concernée.
  • Une route stale, une session rétablie ou End-of-RIB ne prouve ni next hop, ni FIB, ni labels, ni carte de ligne, ni livraison des paquets.
  • L’assurance exige un reçu temporaire reliant capacités, drapeaux, timers, routes retenues, état de transfert et trafic mesuré.

Un plan de contrôle calme, des paquets perdus

Imaginons un redémarrage du plan de contrôle. Le pair conserve les routes, les marque stale et évite une vague de retraits. La session revient avant Restart Time et End-of-RIB arrive. La table paraît saine. Pourtant, les sondes échouent parce que l’équipement n’a pas conservé l’entrée de transfert supposée par ces routes.

Ce n’est pas une preuve que GR est défectueux. C’est une erreur de périmètre : l’information retenue dit ce que le helper peut croire temporairement, sans observer la carte, l’adjacence, le label ou le chemin des paquets chez le pair qui redémarre.

Une capacité conditionnelle, par famille

RFC 4724 définit la capacité, Restart Time et des drapeaux par AFI/SAFI. Un speaker peut annoncer la préservation du transfert pour une famille, ou annoncer GR sans tuple pour signaler End-of-RIB et aider un pair. « Compatible GR » n’est donc pas une promesse universelle.

Le speaker conserve l’état si possible et le marque stale. Le drapeau Forwarding State doit correspondre à une préservation réelle. Le récepteur garde les routes éligibles, puis les supprime si la session dépasse Restart Time. Après reconnexion, l’absence du drapeau pour une famille impose leur retrait immédiat. Les timers bornent la confiance ; End-of-RIB clôt le flux initial, pas la mesure des paquets.

RFC 8538 n’étend ce comportement à certaines NOTIFICATION que si le bit N a été échangé, et rend obligatoire un stale timer configurable. La cause du reset et la négociation font partie du reçu.

Maintenance et redémarrage ne sont pas synonymes

RFC 6198 réserve GR au cas où le transfert survit au redémarrage du contrôle. Si une maintenance coupe un lien, une carte ou une ressource de transfert, le graceful shutdown est le mécanisme pertinent. Conserver une route vers une ressource volontairement arrêtée peut prolonger la perte.

Sources