要約

  • GROWのルーティング運用用語ドラフト第03版は、正しい定義を命令する標準ではなく、現在使われている語を記録する記述的なスナップショットである。同じ語が文脈ごとに異なる意味を持つことも明示している。
  • depeering をBGPセッションの削除と記録しても、組織間関係、代替経路、データプレーンの転送まで消えたとは限らない。自動化は、語・意味・版・対象・観測点・証拠を結合し、設定と結果を別々に検証する必要がある。

変更管理画面は午前二時に緑へ変わった。対象ASとの二つのBGPセッションが削除され、ジョブは depeering complete を返した。ところが、測定用プレフィックスへのトラフィックは止まらなかった。別拠点のセッション、上流トランジット、あるいは残存した転送状態のどれかを通り、同じ組織へ向かい続けていたからだ。

設定ジョブは失敗していない。失敗したのは、限定された操作名を広い結果の証明として読んだ運用契約である。

Tobias FiebigとWolfgang Tremmelが2026年10月2日に提出した Currently Used Terminology in Global Routing Operations 第03版は、この種の境界を考えるための有用な材料だ。本文は、グローバルなルーティング運用で現在使われる語を集める一方、自らを「正しい用語」の権威ある出典とは位置付けない。ある時点の観測された用法を記述し、用法が変化し得ること、同じ語が複数の節で異なる説明を持ち得ることを認めている。

Datatracker上では、IETFストリームのGROWワーキンググループに属するアクティブなInternet-Draftである。想定ステータスはInformational、失効予定日は2027年4月5日。担当Area Director、document shepherd、RFC番号、telechat、完了した標準化結果はまだない。IANAへの要求もない。Security Considerationsは、用語を記述し推奨を行わない文書なので、文書自体にはセキュリティ上の考慮事項がないとする。

これはドラフトの権限範囲についての記述であり、その語を取り込む全てのシステムへの安全証明ではない。用語集はルータを変更しない。しかし、チケット、インベントリ、ポリシーエンジン、エージェントが記述的なラベルを命令へ変換すれば、可用性や到達性に直接影響する。

削除されたのは何か

ドラフトは depeering を、隣接ASとのセッションを取り除くこととして扱う。この説明は具体的で役に立つ。しかし、セッションという実行可能な対象を削除した事実から、より広い関係や転送結果を自動的に導くことはできない。

一つの組織間関係に複数の物理接続やルータ対が存在することがある。プライベート相互接続を止めても、IX経由のセッションが残る場合がある。直接セッションを全て止めても、第三者トランジット経由で相手のプレフィックスへ到達できる。デフォルトルートや既存のFIB状態が短時間残る可能性もある。

商業・制度上の関係も別物だ。メンテナンスで全セッションがDownになっても契約は継続し得る。逆に契約終了が決まっても、技術的撤去は段階的かもしれない。セッション状態を関係の真実として使うと、BGPリセットのたびに組織の事実が書き換わる。

従って、完了条件を分解する必要がある。対象セッションが管理プレーンから削除されたか。ルータ設定から消えたか。BGP OPENやUPDATEが止まったか。対象プレフィックスの経路が別の隣接から残っていないか。FIBが期待通り変化したか。複数の観測点でトラフィックが止まったか。関係記録の更新は誰が承認したか。各問いには別の証拠が要る。

peer は関係にもセッションにもなる

この分離は peer の二つの用法を見るとさらに明確になる。ドラフトの隣接関係の節では、peerは直接接続されたAS同士が自分とdownstreamの経路だけを交換する関係として説明される。ルーティングの節では、NLRIを交換するBGP隣接を単にpeerと呼ぶことがある。

前者はエクスポートポリシーや関係分類に近い。後者はプロトコル上の相手である。顧客とプロバイダもBGP隣接になれるので、Established状態から対等関係は証明できない。対等関係が存在しても、一時的にセッションが落ちることはある。

RFC 9234のBGP Rolesは、OPENメッセージで役割を交換し、ルートリーク防止を助ける。名前から推測するより強い証拠だが、設定とネゴシエーションの証拠にとどまる。契約、運用者の宣言、交換されたRole、実際のフィルタ、観測された広告は、それぞれ異なる命題を支える。

RFC 4271の意思決定はローカルである。一つのspeakerが経路を選んでも、相手が同じ関係ポリシーを実装したことや、パケットが期待経路を通ったことは分からない。関係、設定、セッション、広告、転送を一つの peer フィールドに畳むと、差異という重要な証拠が消える。

第03版は証拠境界を少し正確にした

第02版から03版への変更は日付だけではない。略語、定義、参照が増え、複数の説明が整えられた。特にBFDは、隣接が「alive」であることを判断する表現から、設定された隣接がreachableかを確認し、その喪失をBGPなどへ通知する表現へ修正された。

この変更は小さく見えて重要だ。生存は主体全体についての広い推論だが、到達可能性は特定のセッションと観測条件に関する狭い事実である。BFD Upでもアプリケーションは失敗し得る。BFD Downでも根本原因は一意には決まらない。

オプショナルなBGP属性のtransitive／non-transitiveな扱いも明確にされ、BGP、EGP、IGP、EIGRP、IS-IS、OSPF、RIRなどの項目が追加・整理された。現在の技術文書を読む共通地図として、ドラフトは前進している。

ただし、最新版が過去の記録を自動的に再解釈する権利はない。旧チケットの peer や edge がどの意味だったかを第03版だけで確定すれば、当時存在しなかった精度を作ってしまう。取り込む側は、語彙名、版、文脈、意味ID、移行根拠を保持しなければならない。

edge は一つの境界ではない

Network edge は、運用者の管理下で他ネットワークへつながる最後のルータを指す文脈を持つ。一方、Provider Edge は通常、MPLSを使うプロバイダネットワークの機能的な役割を伴う。管理境界にいるルータが全てPEであるわけではない。

資産台帳の edge タグを見てPE用テンプレートを配布すれば、構文上は正しい設定が誤った役割へ届く。必要なのは、より長い一語ではなく、管理境界、eBGP境界、MPLS PE、サービス入口、テレメトリ観測点を別々の述語として表現することだ。

同じ装置がサービスやVRFごとに複数の役割を持つ可能性もある。装置単位の固定ラベルは方向、インターフェース、サービス、期間を失う。自動化に必要なのは「どこにあるか」だけでなく、「誰が何のために何を制御できるか」である。

coneは集合の型を変える

ドラフトの cone は、直接または再帰的なdownstream ASの集合を指し、文脈によっては、それらがoriginするプレフィックスの結合集合も含み得る。ASN集合とプレフィックス集合は別の型である。

APIが型なしの cone を受け取ると、所属判定は正しい文法で誤った宇宙を調べる。ASからプレフィックスへの写像は観測点と時刻で変化し、制度上の権利とも一致するとは限らない。変換には、計算方法、観測元、時刻、不明値の扱いが必要だ。

これはdepeeringの検証にも関わる。対象ASのセッションを消した後、どのプレフィックスへのどの経路が残るかを知るには、AS集合とプレフィックス集合の明示的な結合が要る。cone removed という一行では、何を測ったのか復元できない。

完全性と収束は観測点に束縛される

Full Tableは、Global Routing Tableの全プレフィックスへの経路を持ち、デフォルトルートを持たない表として説明される。しかし「全て」は、アドレスファミリ、speakerまたはcollector、import policy、時刻、参照集合を指定しなければ評価できない。

一つのルータでIPv4の表が期待集合を満たしても、IPv6は欠けているかもしれない。受信した経路とポリシー後の経路も違う。RIBの完全性はFIBへのインストールを証明せず、FIBの存在はエンドツーエンドの配信を証明しない。

converged もローカルな範囲を持つ。一つのBGP speakerが学習と優先経路選択を終えても、別のspeakerは更新中かもしれない。ハードウェアのプログラミングが遅れ、データプレーンが揺れている場合もある。真偽値には、対象と停止条件と安定時間を添える必要がある。

デピアリング後の評価で「ローカルRIBから消えた」を「ネットワーク全体で転送停止」と読めば、まさにこの境界を越える。複数地点のコントロールプレーンとデータプレーンを観測し、未知の部分を未知のまま残すべきだ。

インシデント名は意図を証明しない

ドラフトはroute hijackを、ASが権限のない経路を広告することとして説明し、偶発的な誤設定でも悪意ある行為でも起こり得ると述べる。技術分類だけでは意図は決まらない。

RFC 7908のroute leakも、期待された範囲とポリシーを超える伝播に焦点を当てる。期待を知るには関係と設定の証拠が必要だ。観測AS_PATHは伝播を示せても、承認や動機までは再構築しない。

RPKIも狭い命題を扱う。RFC 6480はリソース証明書のアーキテクチャを、RFC 9582は保有者がASにプレフィックスoriginを許可するROAを定める。ROA Validは経路全体、関係ポリシー、到達性、配信を保証しない。InvalidやNotFoundも、ローカルポリシーを飛び越えた万能命令ではない。

同様に blackholing は、静かなパケット損失という症状と、コミュニティを使って意図的に破棄を依頼する操作の双方に使われる。損失アラートを破棄命令へ直結させれば、診断前に障害を拡大できてしまう。

実行前に必要な最小エンベロープ

記述的な語を高影響の操作へつなぐなら、最低限、原語、語彙と版、安定した意味ID、文脈、対象と方向、観測点と時刻、出典または証拠、要求された操作と権限主体、不確実性と競合解釈を保存する。

これは世界共通オントロジーの完成を待つ提案ではない。Minimum Initial Specificationとして、危険な型エラーだけを止める。画面には親しみやすい depeering を表示できるが、APIは削除対象セッション、期待する経路変化、検証地点、期限、ロールバック条件を要求する。

Running-Code Primacyは不一致を実際に試す。セッションを削除して代替経路が残るケース、BFD Upでサービスが失敗するケース、一台だけが収束するケース、ASN coneをプレフィックス関数へ渡すケース、観測上のblackholeを命令として渡すケースを継続的に走らせる。

旧データに裸の語しかなければ、推測で埋めない。候補意味と根拠を提示し、人間の解決へ送るか、未知として扱う。後から作った確実性は、監査時に最も危険な欠損になる。

用語集の限界を守ることが利用価値を高める

第03版の価値は、世界中の話し方を一つに強制しない点にある。実際の語を集め、説明を改善し、複数文脈を見えるままにする。経験者が頭の中で補っていた前提を、システム設計者が発見できる。

残りの責任は消費側にある。インベントリは型を持ち、ポリシーエンジンは明示的な述語を要求し、自治エージェントは能力境界を持ち、インシデント管理は観測、原因、意図、操作、結果を分ける。用語集に意思決定を委任してはならない。

Heng Luの現実層で見れば、語は象徴的な協調データ、関係と承認は制度的事実、設定とセッションは実行状態、経路伝播とパケット配信は観測現実である。同じラベルが複数層に現れても、証拠なしに層を越えることはできない。

冒頭のジョブが証明したのは、指定された二つのセッションを削除できたことだけだった。その事実は有用だが、トラフィック停止の証明ではない。安全な完了とは、便利な一語を大きく読むことではなく、どの対象が変わり、何がまだ残り、どの観測が期待する結果を確認したかを最後まで保持することだ。

Sources