要約

  • ACTNをパケット・光連携に適用する第20版草案は、2026年9月23日までのIESG最終意見募集にある。二つの「Not ready」は専門家のレビュー結果であり、IESGの不承認ではない。
  • セキュリティ側は信頼境界と制御器侵害の脅威分析を求め、運用側はMDSCとPNCの状態が再起動や通知喪失で食い違う場合、どう検出し復旧するかを問う。
  • 委任の前に必要なのは、認可、状態の鮮度、進行中操作、片側だけの成功、利用者が受けたサービスを結ぶ検証である。これは本稿の運用上の提案で、規格の新しい義務ではない。

最も難しいのは正常な手順の途中

光側PNCの応答を待つ間に、パケット側の変更が先に確定したとする。そこでMDSCが切り替わったら、新しい主系は同じ要求を再送すべきか、止めるべきか。これは実際に報告された障害ではなく、設計を試すための仮定である。構成図は制御器間の関係を示せるが、この瞬間の責任者やサービスの状態までは決めない。

ACTN/POI適用草案の第20版は、Multi-Domain Service Coordinator（MDSC）がパケットと光のProvisioning Network Controller（PNC）を、既存プロトコルとYANGモデルで協調させる場面を詳述する。IESGのLast Callは9月9日に始まり、23日まで。目指す文書の種別はInformationalであり、21日の確認時点ではまだInternet-Draftである。セキュリティと運用に触れる節も既にある。批判は「何も書かれていない」という単純なものではなく、複数の信頼領域にまたがる実運用に対して説明が足りるかという点にある。

Yaron Shefferによるセキュリティレビューは9月18日、Nick Buraglioによる運用レビューは19日に完了し、ともに「Not ready」と表示される。一方、Zheng Zhangのルーティングレビューは「Ready」で、主として図や文言の小さな修正を求めた。Buraglioは要約で一部の懸念を軽微と呼びながら、運用節の不足を本文で主要な問題に掲げている。レビューの評価を標準化の最終判断に読み替えることはできない。

信頼される相手でも、状態は誤り得る

Shefferは草案第7節の通信保護やLLDPに関する記述を認めつつ、多数の管理領域、ベンダー、制御器を結ぶ設計に見合う脅威分析を求めた。守る資産と信頼境界を示したうえで、侵害された制御器、誤ったまたは古い資源情報、権限外の層間操作、情報漏えい、資源枯渇、パケットと光の状態不一致を考えるべきだという。網羅的な脅威辞典ではなく、設計の水準に合った短い分析を提案している。自身は草案全体の細部を評価する専門性に限界があるとも明記した。これを既知の攻撃の発見と報じるのは行き過ぎだ。

RFC 8453のACTNでは、PNCからMDSCへ渡す情報は方針に従い抽象化できる。通信路の暗号化と相手の認証は必要でも、その情報が今なお有効か、今回の層間操作まで許可されているかは別の検証を要する。再起動した制御器が以前の確認応答をどの状態から再構築するのかも、TLSの接続成功だけでは分からない。ここがレビューのいう信頼境界の実体である。

通知が一つ欠けるだけで二つの現在が生まれる

BuraglioはMDSCのトポロジーとサービスの記録がPNCからの通知に依存する点を突く。PNCの再起動、通知の喪失、部分的な失敗で両者の認識がずれたら、どの方法で検知し、修復するのか。処理中の設定はどう扱うのか。MDSCの冗長化や切替えは既存サービスにどう影響するのか。平常時に経路を算出できることと、これらを説明できることは異なる。

彼はさらに、MDSC、パケットPNC、光PNCの順次操作に対し、所要時間、タイムアウト、再試行の指針が薄いと指摘する。片側だけが設定を受け付けた場合を、草案の回復記述は十分に扱っていないという。運用試験では、再試行が以前の操作と区別できるか、確定した側を把握してから補償に進めるかを確かめる必要がある。これはレビューから導く本稿の検証観点であり、草案が共通のロールバック手順を規定したという意味ではない。

運用レビューは既存の管理系から段階的に移行する方法、分野をまたぐ技能、規模の限界、binding SIDの再起動後の永続性、通知購読の再確立、制御操作の監査も挙げる。これらはすべて一つの仕様で完全に解く必要がある、という主張ではない。実装ごとに解くべき問題なら、その境界を事前に見せなければ、導入側は何を調達し何を試験するか決められない。

委任の前に残すべき一連の記録

運用者は一つの変更に、要求者の権限、各制御器が使った状態の版、処理中操作の識別子、各PNCが実際に確定または失敗した結果、最後に測ったサービス状態を結び付けられるか試せる。通知を故意に途切れさせ、PNCを再起動し、二つの応答の間でMDSCを切り替え、一方の層だけ成功させる。状態を再構築するまで新規変更を止めるのか、誰が補償を承認するのか、未知の状態を未知と表示できるのかが見える。

これはIETFの義務的な項目表ではない。今回の報道の焦点は抽象トポロジーが物理在庫かどうかという既報の論点でも、別のRFCにおけるGMPLS局所復旧の証明でもない。権限を委ねた後、二つの層が異なる答えを返した時の判断可能性である。現時点で草案の否決、実際の攻撃、運用中の停止を示す資料はない。

出典

ACTN/POI草案と状態、セキュリティレビュー、運用レビュー、ルーティングレビュー、ACTNの枠組みを定めたRFC 8453。