要約

  • 2026 年 8 月に IETF Standards Track として公開された RFC 10038 は、SRv6 Locator の IA を表す DHCPv6 オプション 149、個々の Locator を表すオプション 150、空きがない場合のステータスコード 23 を定義した。
  • Reply が証明するのは、信頼された一つの SR ドメイン内でサーバーがポリシーに従って binding を作ったことまでである。クライアント設定、経路導入、IGP 広告、RIB/FIB、SID 動作、フィルター、パケット結果、撤回、再利用には独立した証拠が要る。

障害は、割当てに失敗したときより、割当てだけが成功したときに見えにくい。新しい拠点 CPE が Locator を受け取り、台帳には DUID、IAID、期限が残る。一方、relay のローカル経路は誤った next hop を持ち、遠隔ルーターは広告を import せず、CPE は目的の SID をまだ生成していない。どの状態も DHCPv6 Reply の内容とは矛盾しない。

RFC 10038 は、この最初の権限を標準化する。単一の信頼された SR ドメイン内で、DHCPv6 を用いて SRv6 Segment Endpoint Node に Locator を配布する仕組みである。顧客拠点に置かれていても管理対象の CPE はその範囲に入り得る。新しいコードポイントは IANA の DHCPv6 Parameters に登録された。

オプション 149 の OPTION_IA_SRV6_LOCATOR は IAID、T1、T2 と入れ子のオプションを持つ。一つのメッセージに複数入れられ、IAID は他の IA 種別とは別の番号空間で一意になる。オプション 150 の OPTION_IALOCATOR はその内側に置かれ、preferred lifetime、valid lifetime、Algorithm、LB-Len、LN-Len、Fun-Len、Arg-Len、最小長で符号化した Locator を運ぶ。

Locator の長さは LB-Len と LN-Len の和である。四つの長さの合計は 128 を超えてはならず、Locator 長はゼロにできない。不正な Locator オプションは無効になるが、他の正常な要素から経路到達性を推測してよいことにはならない。

サーバーは希望を受け取るが、命令は受け取らない

クライアントは通常、T1、T2、preferred lifetime、valid lifetime をゼロにして送る。サーバーはクライアントが書いたそれらの値を採用せず、自身の方針で期限を決める。非ゼロの LB-Len と LN-Len に :: を組み合わせれば長さの希望を示せるが、特定の prefix や layout を要求する権利ではない。

複数 Locator を認めるか、どの pool を使うかはサーバーのポリシーである。資源がなければ NoSRv6LocatorAvail、ステータスコード 23 を返せる。preferred lifetime が valid lifetime を超える Locator はクライアントが破棄する。受信順を本番系・待機系や優先順位として扱うことも禁じられる。

RFC 9915 は DHCPv6 の Solicit、Advertise、Request、Reply、Renew、Rebind、Release を定める。ここで成立するのは割当てのトランザクションであり、ルーティングプロトコルの受領確認ではない。

Locator は通常のホストアドレスでも、完成した SID でもない。RFC 8402 は Segment Routing の構成を、RFC 8986 は SRv6 endpoint behavior と SID 構造を定義する。ローカル SID の割当て、複数 Locator の使い分け、個別 SID の広告は RFC 10038 の範囲外であり、受信ノードが自ら決める。

binding の外側で経路の合意が始まる

DHCPv6 relay または server は、要求元を next hop とする Locator のローカル経路を入れることができる。さらに従来のルーティングプロトコルでその経路を広告できる。いずれも「できる」であり、Reply が自動的に実行する処理ではない。

広告後も、隣接装置は認証、import policy、トポロジー計算を適用する。それぞれの RIB は選択または拒否し、装置は結果を FIB に書き込む。RIB が正しくても FIB が遅れ、資源不足やソフトウェア障害で反映されないことがある。発信元一台の成功から、遠隔の data plane を代表させることはできない。

Algorithm がゼロなら通常の IPv6 prefix reachability を使える。非ゼロなら RFC 10038 が指定する Locator TLV を使わなければならない。RFC 9350 が扱う IGP Flexible Algorithm にはトポロジー上の意味がある。prefix の bit 列だけを残し Algorithm を失えば、到達先の表記は同じでも経路制約は別物になる。

さらに RFC 8754 の IPv6 Segment Routing Header と RFC 8986 の endpoint behavior が動く。パケットがノードまで届いても、狙った SID が存在しない、異なる関数に結び付く、または filter で拒否されることがある。割当て、転送、サービス許可は三つの判断である。

Release を pool の一行だけで終わらせない

正当な Release を受けた割当て側は binding を解放し、ローカル経路を削除し、以前に広告した経路を撤回する。これらは lease database、routing process、RIB、FIB にまたがり、同一トランザクションではない。pool が free と表示されても、古い経路や SID が残っている可能性はある。

IA 自体に独立した期限はなく、内部の Locator がすべて失効すれば終わる。T1 は元のサーバーへの更新を促し、T2 は利用可能なサーバーへ範囲を広げる。lifetime は残り秒数で、0xffffffff は無限を表す。この時計は binding を管理するもので、最後の packet や遠隔 FIB の消去時刻を測らない。

集約経路が残る場合、more-specific Locator を撤回しても delegating edge までは届き得る。その edge は、顧客向け interface で、もう委任していない prefix 宛ての packet を捨てなければならない。さもなければ、古い権限が aggregate の背後で生き続ける。

再利用の前には、binding 終了、local route 削除、広告撤回、複数地点での RIB/FIB 消去、SID 削除、許可・禁止 canary、最後の traffic、quarantine を照合する。新たな割当ては、古い実行状態が消えたことを確かめてから行う。

信頼ドメインは暗号化やフィルターの代用品ではない

RFC 10038 の前提は運用範囲を狭めるが、DHCPv6 に普遍的な end-to-end 暗号化を与えず、すべての client や packet を認証しない。保護がなければ乗っ取り、改ざん、盗聴の余地がある。境界 CPE の内外 interface には filter が必要で、インフラ用 Locator 空間は一般利用者の address と識別できる方がよい。

DHCPv6 と別の allocator が pool を分離しなければ、同じ Locator を二重に渡せる。client 単位の上限も、多数の client identity を装う主体には弱い。RFC 7227 と RFC 8168 は option と IPv6 address semantics の慎重な設計を求め、RFC 8987 は SRv6 network programming の運用面を扱う。IANA 登録は wire 上の語彙を共有するが、実装や pool の排他性を保証しない。

証拠台帳は packet までつなぐ

各 Locator について DUID、IAID、access port または relay context、認可、policy version、hint と実際の layout、transaction time、lifetime、T1/T2、binding、pool owner、local SID、起点の RIB/FIB と next hop、IGP の種類・Algorithm・version、遠隔 RIB/FIB、filter、許可・禁止 canary、Release/失効、撤回、last packet、quarantine、再利用を一つの時系列で結ぶ。

Heng Lu の稼働するコードを優先する原則に従えば、判断対象は Reply の予定ではなくこの実行経路である。データ主権の技術的形式と実際の支配の区別は、binding database の所有者が各 router のコピーまで支配できない理由を示す。最小の初期仕様と将来判断の局所化は RFC 10038 によく合う。共通仕様は狭い相互運用を定め、各運用者は採用、経路、filter、結果への責任を残す。

RFC 10038 は割当ての証明を強くする。到達性まで強くするには、別の証拠が必要である。