要約

  • RFC 8203では、Administrative ShutdownまたはAdministrative ResetのCease通知に最大128オクテットのUTF-8文字列を付けられる。
  • 実務で役立つ文字列には、共通の理由区分、双方が引ける参照番号、復旧予定の目安が含まれる。
  • 文字列は照合の手掛かりであり、送信者の真正性、作業の承認、予定時刻どおりの復旧を単独で証明しない。

計画停止が障害に見える瞬間

深夜の作業中、EstablishedだったBGPセッションが消える。受信側NOCに見えるのはCeaseだけだ。保守連絡は送られていても、別の回線番号で登録され、別の配布先に届き、当直者が検索できないことがある。計画作業なのに、最初の対応は突発障害と同じになる。

RFC 8203は、このプロトコル上の出来事と帯域外連絡の距離を縮める。RFC 4486のAdministrative ShutdownとAdministrative Resetに対し、送信側は短いUTF-8文字列を任意で添付できる。長さは0から128オクテットで、0なら説明フィールドは続かない。

小さな領域でも、双方に通じるチケット番号、作業種別、復旧見込みを載せるには十分な場合がある。RFC 8203の例も、チケット参照、ソフトウェア更新、2時間後という目安を組み合わせている。詳細をBGPに書き込むのではなく、詳細記録へ到達する鍵を渡す発想だ。

自由記述だけでは共通語にならない

標準は理由の語彙を決めていない。導入しやすい一方で、「maintenance」、受信側には意味のない社内番号、復旧時刻のない説明が混在する。いずれもプロトコル上は許容されるが、当直者が取れる行動は大きく異なる。

二者間のコード表は小さくてよい。計画ソフトウェア作業、機器作業、ピア廃止、ポリシー再設定、緊急隔離などを分ける。参照番号は両者が検索できる名前空間に置く。対象セッション、承認者、責任者、時間帯、復旧連絡の方法は帯域外チケットに残し、128オクテットの文言は索引として使う。

データ最小化も必要だ。RFC 8203は、受信者がその裁量で文字列を利用し得るため、情報を絞るよう促している。UTF-8は多言語を扱えるが、マルチバイト文字では収容できる文字数が減る。秘密情報や個人情報、内部の機微情報を運ぶ場所ではない。

ローカル観測と結び付けて初めて記録になる

RFC 4486はAdministrative ShutdownとAdministrative Resetを別のCeaseサブコードとして定義し、一部のCeaseに対する再接続のバックオフと連続自動再試行の上限を勧める。これは受信側の挙動を整えるが、記載された理由の正しさまでは保証しない。

RFC 4271によれば、致命的エラーがない場合でもピアはCeaseで接続を閉じられる。Established状態でのManualStopでは、Cease送信、関連経路の削除、資源解放、TCP切断、Idleへの遷移が行われる。したがって、メッセージは正確な隣接先、時刻、ローカル状態遷移、承認済み変更、実際の復旧観測と照合すべきだ。

文字列には固有の認証もない。RFC 8203は、整合性を守るトランスポートがなければ偽造され、機密性がなければ盗み見られ得ると警告する。悪意ある文字列がsyslogの追加行に見える危険もある。表示時のエスケープ、原文保存、自由記述だけを根拠にした特権操作の禁止が欠かせない。

出典