要約

  • RFC 7313 は refresh を境界付きの照合窓にする。BoRR で指定 AFI/SAFI の相手経路を stale とし、再広告された経路で置き換え、EoRR で残った stale 経路だけを削除する。
  • この手順は相手から Enhanced Route Refresh Capability を受信した場合に限られる。セッションは保たれるが、経路の正当性を認証せず、stale 状態の危険を消すものでもない。

終点のない再広告では欠落を証明できない

RFC 2918 の Route Refresh は、相手の Adj-RIB-Out を再広告させる。ポリシー変更の反映だけを理由にセッションをリセットする必要を減らせる一方、通常の refresh には明示的な開始点と終了点がない。受信側は UPDATE を受け取れても、完全な再広告が終わった時点や、再び現れない経路を撤回と扱える時点をプロトコルから判断できない。

問題は欠けた withdrawal に表れる。新しい広告がすべて正常でも、古い経路がローカル RIB に残り得る。終了信号がなければ、運用者はオフライン比較、沈黙からの推測、またはセッション再構築に頼る。RFC 7313 はこの推測を境界付きの手順に置き換える。

話者は能力コード 70 を広告する。拡張 refresh では、送信側が再広告の前に BoRR を送り、開始時点に存在した Adj-RIB-Out 全体を再広告した後に EoRR を送る。マーカーは経路の真偽を保証しない。照合の開始時点と、不在を処置根拠にできる終了時点を確定する。

BoRR は旧状態を暫定化し、EoRR は権限を閉じる

BoRR を受信すると、受信側は指定 AFI/SAFI でその隣接から学んだ全経路を stale とする。直ちには削除しない。再広告された経路は対応する stale 経路を置き換える。EoRR が届くと、なお stale の経路を直ちに除去する。セッションと他のアドレスファミリーは対象外である。

権限は強いが限定的だ。再出現しないことを撤回と解釈できるのは、交渉済みの範囲と宣言された窓の中だけである。能力広告はサブタイプと手順への対応を示すが、相手のポリシー変更や望ましくない経路の受容、別ファミリーへの掃除拡大を許可しない。

実装は stale 経路の保持時間にローカル上限を設けられる。EoRR が来なくても、上限到達後に残りを削除できる。暫定状態の恒久化を防ぐ一方、RFC は普遍的に安全な時間を定めない。継続性と確実性の配分は運用者の責任となる。

無停止はコストを移す

利点は、隣接を落とさずオンラインで RIB 整合性を確認できることだ。正常経路は維持され、欠落した withdrawal を見つけられ、無関係な宛先は不要な再収束を避ける。

ただし送信側は開始時の Adj-RIB-Out 全体を再広告し、受信側は stale 状態を保持して処理する。上限が長すぎれば誤った経路を残し、短すぎれば遅延した EoRR の前に有用な経路を落とす。reset の衝撃を減らしても不確実性は残る。

Graceful Restart との順序も重要である。同じ AFI/SAFI の End-of-RIB より前に BoRR を送ってはならず、受信側は相手の Graceful Restart Capability を受けている場合、早すぎる BoRR を無視しなければならない。一方の回復手順が、他方の stale 処理完了前に削除を許可できないためだ。

不正なマーカーに暗黙の権限はない

長さが不正なサブタイプ 1 または 2 は ROUTE-REFRESH Message Error のコード 7、サブコード 1 を生む。0、1、2 以外のサブタイプは無視し、エラーを記録することが推奨される。対応する BoRR のない EoRR も無視・記録できる。不明または不正な制御メッセージが黙って経路削除権を得ることはない。

証拠と限界

RFC 7313 は能力、マーカー、stale 経路の処理、上限、Graceful Restart の順序、エラー処理を裏づける。RFC 2918、4271、4724、5492 は基礎機構を示し、IANA はコード 70 を確認する。これを委任された運用権限として読む部分は分析である。資料は特定事業者の導入、安全な一律タイムアウト、経路の真正性、すべての不整合の修復を証明しない。

出典