요약

  • 2020년 8월 30일 10:00 UTC 전후로 시작된 CenturyLink/Level 3 백본의 대규모 장애는 약 5시간 동안 광범위한 도달성 실패를 초래했습니다. Cloudflare, Catchpoint, ThousandEyes, USC/ISI가 서로 다른 관측 지점에서 비정상 라우팅 동작, 트래픽 종단, 네트워크 도달 불가 현상을 관측했습니다.
  • CenturyLink는 하나의 IP 주소를 차단하려던 FlowSpec 요청이 와일드카드가 포함된 형태로 접수되어 2차 필터를 통과하고 광범위하게 전파된 것이 원인이라고 밝혔습니다. 운영사에 따르면 그 결과로 만들어진 공지가 네트워크 장비 간 BGP 수립을 방해했습니다. 독립 관측자들은 외부 라우팅 영향을 뒷받침하며, 그 비공개 인과 사슬의 모든 단계를 입증하지는 못합니다.
  • 따라서 책임성의 핵심은 규칙 검증, 전파 격리, 철회 처리, 중단 권한, 엔드투엔드 복구에 대한 실시간 증거입니다. 공개 기록은 책임 개인이나 벤더를 특정하지 않으며, 악의적 활동이나 법적 책임을 입증하지 않고, 고유 피해자 수나 손실을 산출하지 않으며, 이후 도입된 모든 예방 통제가 현재 배치되어 유효하다는 점도 입증하지 않습니다.

백본이 신뢰할 수 있는 경로가 아니게 된 5시간

장애는 2020년 8월 30일 일요일에 시작되었습니다. 네 개의 공개 기록은 서로 다른 계측 수단과 기준 시점을 사용하면서도 시작점을 10:00 UTC 전후의 좁은 범위 안에 둡니다. USC 정보과학연구소(Information Sciences Institute)는 광범위한 도달성 저하가 약 09:55에 시작되었다고 보고했고, Cloudflare는 10:03부터 오류가 발생했다고 기록했습니다. 이 두 시각은 모순되지 않습니다. 한 시스템은 분산 프로브에서의 도달성을 측정했고, 다른 시스템은 자사 네트워크와 라우팅 관계에서 영향을 확인했습니다. 함께 보면 이는 단일한 전 지구 시점이 아니라 빠르게 진행된 사건임을 보여줍니다.

이후 약 5시간 동안, 평소 CenturyLink/Level 3 백본에 의존하던 네트워크들은 불안정하거나 부재하는 경로를 경험했습니다. 장애는 CenturyLink가 호스팅하는 웹사이트에 국한되지 않았습니다. 티어원 백본은 많은 다른 서비스의 경로 선택 안에 위치하므로, 통제 플레인 장애는 운영사와 직접적인 상업 관계가 없는 목적지와 사용자에게도 영향을 줄 수 있습니다. 겉으로 드러나는 증상은 애플리케이션 타임아웃, 도달 불가한 프리픽스, 혹은 이용 가능해 보이지만 실제로는 트래픽을 성공적으로 전달하지 못하는 경로로 흘려보내는 라우트일 수 있습니다.

Cloudflare는 자사 라우팅에서 CenturyLink/Level 3를 48개 도시에서 자동으로 제거했다고 보고했습니다. 이 대응은 대체 경로가 존재하고 철회가 수용될 때 경로 다양성이 무엇을 할 수 있는지 보여줍니다. 그러나 모든 사례를 해결하지는 못했습니다. Cloudflare는 오래된 경로(stale route)가 남아 있거나 네트워크가 사실상 단일 홈(single-homed)이 되어 CenturyLink 우회 독립 경로가 없는 경우에도 실패가 계속되었다고 설명했습니다. 전 지구 트래픽 3.5% 감소라는 Cloudflare의 측정치는 Cloudflare 플랫폼에 보이는 규모를 설명할 뿐, 고유 인원, 잃어버린 거래 또는 손해액의 집계가 아닙니다.

Catchpoint는 RouteViews 데이터를 분석해 비정상 공지를 Level 3 자율 시스템인 AS3356과 연결했습니다. 런던 인터넷 익스체인지 수집기에서 BGP 트래픽이 크게 증가한 것을 기록했고, 이 사건을 우회할 수 있는 네트워크와 이용 가능한 경로가 계속 CenturyLink를 거치는 네트워크를 구분했습니다. 이 구분은 중요합니다. 서류상의 이중화는, 실패 중인 네트워크가 여전히 경로를 공지하거나 유지하는 동안 대체 경로가 독립적이고 선택 가능할 때만 유효합니다.

USC/ISI의 Trinocular 시스템은 국내외 복수 관측 지점에서 이 장애를 관측했습니다. 복구 전 수천 개의 네트워크가 도달 불가가 되었다고 보고했습니다. 이는 네트워크 블록과 도달성 상태의 측정이지 고객이나 개인의 인구조사가 아닙니다. 하나의 네트워크는 많은 사람에게 서비스할 수 있고, 한 사람은 여러 네트워크에 의존할 수 있으며, 여러 측정 시스템이 같은 실패를 관측할 수 있습니다. 책임 있는 결론은 광범위한 도달성 손실이지, 사람 피해의 조작된 총계가 아닙니다.

ThousandEyes는 독립 관측과 함께 CenturyLink 설명의 안정적인 공개 보존 지점을 제공했습니다. Level 3 네트워크에서 트래픽이 종단하는 현상, 라우트 플래핑, 오래된 공지, 피어 동작의 변화를 기술했습니다. 또한 운영사가 고객에게 제공한 예비 및 확장 설명을 재게재했습니다. 이 역할 구분이 핵심입니다. ThousandEyes는 인터넷 방향의 결과를 관측할 수 있었지만, 내부 FlowSpec 순서는 CenturyLink에 귀속된 설명으로 남았습니다.

CenturyLink가 통제 플레인에서 일어났다고 설명한 것

BGP는 자율 네트워크들이 도달성 정보를 교환하고 경로를 선택하는 체계입니다. 어떤 네트워크가 목적지에 도달할 수 있는지, 그리고 어떤 이웃 네트워크를 통하는지를 라우터에 알립니다. FlowSpec은 BGP의 배포 메커니즘을 사용해 트래픽 매칭과 필터링 규칙을 전달합니다. 서비스 거부 공격 상황에서 운영상 가치가 있습니다. 많은 장비에 필터를 각각 설정하는 대신, 운영자가 매칭 트래픽을 드롭하거나 우회시키는 규칙 하나를 네트워크 전체에 배포할 수 있습니다.

같은 강력함이 까다로운 입력 경계를 만듭니다. 규칙에는 의도된 목적과 인코딩된 범위가 함께 있습니다. 목적은 한 주소로 향하는 트래픽 차단일 수 있습니다. 인코딩된 규칙에는 무엇이 매칭되는지를 결정하는 필드, 마스크, 와일드카드가 포함될 수 있습니다. 통제 플레인은 추상적 의도를 평가하지 않습니다. 실행 중인 시스템에 실제로 들어온 객체를 평가합니다. 인코딩된 범위가 요청보다 넓다면, 광범위하고 빠른 배포가 검증 실수를 네트워크 전역의 통제 조치로 바꿉니다.

ThousandEyes가 보존한 CenturyLink의 확장 설명에 따르면, 한 IP 주소를 차단하라는 요청이 와일드카드가 포함된 형태로 접수되었고, 2차 필터를 통과했으며, 광범위하게 전파되었다고 합니다. 운영사에 따르면 결과적으로 문제가 된 FlowSpec 공지가 네트워크 장비 간 BGP가 올바르게 수립되지 못하게 했습니다. 이 문장의 모든 세부 사항은 CenturyLink의 설명에 속합니다. 공개 측정은 경로와 도달성의 실패를 보여주지만, 비공개 요청, 모든 필터 평가, 각 장비에서의 정확한 상태 전이를 드러내지 않습니다.

이 귀속 경계는 두 가지 상반된 오류를 막습니다. 첫 번째는 독립 측정을 그들이 볼 수 없는 비공개 명령 이력의 증거로 취급하는 것이고, 두 번째는 원본 운영사 호스팅 보고서가 여기서 사용된 안정적 공개 페이지가 아니라는 이유로 운영사의 설명을 배제하는 것입니다. ThousandEyes는 운영사 기원 설명을 보존하면서 자체 관측도 제공했습니다. 명확히 귀속된다면 설명은 활용 가능하지만, 조용히 독립적으로 재현된 포렌식 사슬로 승격되어서는 안 됩니다.

"2차 필터"라는 표현에도 절제가 필요합니다. 이는 하나 이상의 검증 단계가 언급되었음을 확인하지만, 완전한 규칙 언어, 구현, 장비 모델, 설정 계층 구조, 승인 절차를 드러내지 않습니다. 필터는 존재하면서도 잘못된 속성을 검사할 수 있습니다. 문법은 검증하되 비즈니스 의도는 검증하지 않거나, 기술적으로는 합법이지만 운영상 과도한 와일드카드를 수용하거나, 이후 변환이 실질 규칙을 바꾸기 전에 실행될 수 있습니다. 보존된 기록은 이 중 어느 경우가 해당했는지 입증하지 않습니다.

기록은 장비나 소프트웨어 벤더를 지목할 근거도 없습니다. FlowSpec은 여러 제품에 구현된 표준화된 통제 기법이지만, 소스들은 제품 결함을 특정하지도, 운영 책임이 공급자로 이전되었음을 보여주지도 않습니다. 요청을 입력하고, 승인하고, 변환하고, 배포한 사람도 특정되지 않습니다. "요청이 접수되었다"는 것은 특정 개인의 의도, 과실, 권한에 대한 증거가 아닙니다. 공개 기록에서 책임을 지는 단위는 규칙을 수용하고 전파한 통제 체계입니다.

CenturyLink는 문제의 공지를 차단하고 BGP 안정성을 회복했다고 보고했습니다. 이것이 한정된 장애 완화 사실입니다. 운영자들이 활성 상태를 멈추고 라우팅을 회복하는 방법을 찾았음을 보여줍니다. 그것만으로는 이후의 입력 검증, 단계적 배포, 롤백, 격리, 전 네트워크 테스트가 완료되었음을 보여주지 않습니다. 네트워크 복구는 인시던트 대응의 증거이고, 지속적인 예방 주장은 관련 조건에서의 후속 관측을 요구합니다.

독립 관측은 영향을 보여주지, 전체 비공개 원인을 보여주지 않는다

네 개의 소스는 강한 외부 설명을 뒷받침할 만큼 충분히 겹칩니다. 대략 같은 시점에 대규모 Level 3 사건을 확인했습니다. 경로가 비정상적으로 바뀌고, 트래픽이 어떤 경로로 사라지고, 네트워크가 도달 불가가 되거나 피어가 관계를 조정하는 모습을 관측했습니다. 약 5시간 후 복구가 이어졌습니다. 사건이 실재한다고 하기 위해 하나의 소스가 모든 데이터 유형을 제공할 필요는 없습니다.

차이 역시 똑같이 유용합니다. Cloudflare는 글로벌 엣지와 많은 도시에서 트랜짓 네트워크를 제거할 수 있는 능력을 통해 사건을 바라봤습니다. Catchpoint는 RouteViews 데이터로 비정상 BGP 활동과 경로 선택을 분석했습니다. USC/ISI는 지리적으로 분산된 관측 지점의 능동 도달성 측정을 사용했습니다. ThousandEyes는 경로 수준 관측과 고객 공유 운영사 성명을 결합했습니다. 서로 다른 방법 간의 합의는 특정 하나의 대시보드에 대한 의존을 줄입니다.

그러나 외부 합의로 내부 순서 전체를 해결할 수는 없습니다. 경로 수집기는 선택된 지점에서 보이는 광고를 기록하지, 통신사 내부의 모든 정책 평가를 기록하지 않습니다. 능동 프로브는 특정 관측 지점에서 주소가 응답하는지를 보여주지, 어떤 명령이나 규칙 필드가 라우터가 세션을 거부하게 만들었는지를 보여주지 않습니다. 피어는 오래된 경로를 관측할 수 있지만, 내부 철회가 생성되지 않았거나 수용되지 않았거나 전파되지 않은 이유를 볼 수 없습니다. 이 한계는 숨길 약점이 아니라 어떤 주장이 재현 가능한지를 정의합니다.

Cloudflare의 당시 논의에는 운영사의 확장 설명이 나오기 전 가능한 원인 시나리오들이 포함되어 있었습니다. 그 시나리오들은 그 시점의 가설로 남아야 하며, CenturyLink의 후속 설명과 합쳐져서는 안 됩니다. 타임라인에는 초기 엔지니어링 추측과 이후의 운영사 설명이 공존할 수 있으며, 둘을 같은 증거로 취급해서는 안 됩니다. 후속 설명은 메커니즘을 좁히고, 당시 측정은 인터넷이 실제로 경험한 것을 보존합니다.

외부 기록은 법적 결론도 확립할 수 없습니다. 대규모 장애와 심각한 통제 실패가 자동으로 위반, 과실, 벌금, 판결된 책임을 입증하지는 않습니다. 네 소스 중 어느 것도 이 사건에 대한 판결이나 규제기관 결정이 아닙니다. 기술적 책임성은 여전히 엄격할 수 있습니다. 운영사는 광범위한 규칙이 어떻게 통과했는지, 전파가 어떻게 제한되었는지, 어떤 복구 증거가 있는지를 설명하도록 요구받을 수 있으며, 기록에 없는 법적 입장을 만들어낼 필요는 없습니다.

영향 평가에도 같은 절제가 필요합니다. 전 지구 트래픽 비율, 도달 불가 네트워크 수, BGP 업데이트 수, 영향 인터페이스 목록은 서로 다른 것을 측정합니다. 서로 겹치고 분모가 다릅니다. 이를 더한다고 고유 모집단이 나오지 않습니다. 기록은 광범위한 연속성 피해와 백본에 대한 상당한 의존을 뒷받침하지만, 피해자 수, 매출 손실 총액, 또는 도달 불가한 모든 네트워크가 장애 전 기간 동안 실패했다는 주장을 뒷받침하지 않습니다.

입력 검증은 체크박스가 아니라 운영상의 약속이다

강력한 통제 입력에는 세 수준의 검증이 필요합니다. 첫째는 구조적 수준으로, 공지가 문법적으로 유효하고 구현이 수용 가능한지입니다. 둘째는 정책 수준으로, 매칭, 조치, 범위가 조직이 허용하는 클래스 안에 있는지입니다. 셋째는 의도 수준으로, 곧 전파될 객체가 실제로 승인된 요청을 표현하는지입니다. 한 수준을 통과하는 것은 다음 수준을 입증하지 않습니다.

CenturyLink의 설명은 이 간극을 구체화합니다. 한 주소를 목표로 한 요청이 와일드카드를 담고 도착했다고 합니다. 검증 단계가 와일드카드가 합법적인지만 확인했다면, 규칙은 요청된 범위를 넘어서는 채로 통과할 수 있었습니다. 2차 필터가 잘못된 표현을 비교했거나 실질 매칭 집합을 계산하지 않았다면, 형식적으로 수용된 객체가 운영상 안전하지 않은 채로 남을 수 있습니다. 공개 기록은 정확한 실패 지점을 밝히지 않으므로, 이것들은 CenturyLink 구현에 대한 단정이 아니라 통제 질문입니다.

가장 강력한 증거는 광범위 배포 전에 의도와 효과를 비교하는 것입니다. 시스템은 실질 매칭을 평이한 언어로 표현하고, 영향받는 프리픽스와 흐름을 집계하거나 샘플링하고, 규칙이 설치될 위치를 보여주고, 티켓이나 승인 범위를 초과하는 범위를 거부할 수 있습니다. 한 주소를 지명한 요청에 대해 예상 밖의 와일드카드나 실질적으로 더 많은 트래픽을 매칭하는 범위는 강제 예외를 만들어야 합니다. 사람의 승인은 검토자가 같은 모호한 입력이 아니라 실질 규칙을 볼 때만 유용합니다.

검증에는 독립성도 필요합니다. 같은 파서, 변환된 표현, 숨겨진 기본값, 정책 가정을 공유하는 2차 검사는 첫 검사의 오류를 반복할 수 있습니다. 독립성이 반드시 다른 벤더를 요구하는 것은 아닙니다. 별도 구현된 계산, 안전한 시뮬레이션, 제한된 카나리아 범위, 제안된 규칙이 의도된 트래픽만 영향 주는지 검사하는 외부 관측을 의미할 수 있습니다. 목표는 공통 해석 오류가 모든 단계를 변하지 않은 채 통과할 수 없다는 증거입니다.

단계적 배포는 검증이 불완전할 때 결과를 제한합니다. FlowSpec 규칙은 먼저 좁은 장비 집합이나 통제된 지역에 적용될 수 있으며, BGP 세션 건강, 경로 안정성, 매칭 트래픽, 고객 도달성에 대한 명시적 측정이 함께 이뤄져야 합니다. 통제 플레인이 플래핑을 시작하거나 세션이 실패하면, 규칙이 전 백본에 도달하기 전에 전파가 멈춰야 합니다. 카나리아는 이름만으로 증명이 아니며, 관련 동작을 대표하고 측정 가능한 중단 조건을 가져야 합니다.

중단 권한도 입력 검증의 일부입니다. 일부 오류는 실행 후에만 보이기 때문입니다. 실패한 BGP 세션을 관측하는 사람이나 자동화 시스템은 완전한 원인 서사를 기다리지 않고 배포를 중단하고 규칙을 철회하고 영향받지 않은 지역을 보호할 권한이 필요합니다. 그 권한은 사전 정의된 증거에 따라 행사되어야 합니다. 예상 밖의 매칭 범위, 상관된 세션 리셋, 경로 업데이트 급증, 트래픽 종단, 외부 도달성 손실 등입니다.

마지막으로, 통제는 그 자체의 실패가 관측 가능할 때까지 완성되지 않습니다. 검증 서비스가 이용 불가하거나, 모호한 결과를 반환하거나, 다른 검사와 불일치한다면, 백본 전역 필터의 안전 상태는 조용한 수용이 아니어야 합니다. 불확실성은 전파 권한을 줄여야 합니다. 부담은 실질 범위가 이해되고 한정되어 있음을 보이려는 배포 시도자에게 옮겨져야 합니다.

철회 동작이 다양성의 실재 여부를 결정한다

이 장애가 피해가 컸던 이유는 경로가 실패했기 때문만이 아니라, 일부 네트워크가 실패 주변으로 신뢰할 수 있게 라우팅하지 못했기 때문입니다. 인터넷 라우팅은 경로가 철회되거나 우선순위가 낮아지면 다른 경로가 대체할 수 있다고 가정합니다. 이 가정은 시의적절하고 진실한 통제 플레인 정보에 의존합니다. 오래된 공지는 더 이상 트래픽을 올바르게 전달하지 않는 네트워크로 트래픽을 계속 끌어들일 수 있습니다.

Cloudflare의 경험은 양면을 보여줍니다. 많은 도시에서 CenturyLink/Level 3를 제거하고 대체 경로를 사용할 수 있었습니다. 다른 곳에서는 오래된 경로나 단일 홈 관계가 실질적인 탈출로를 남기지 않았습니다. Catchpoint 역시 실질적인 경로 다양성을 가진 네트워크와 경로가 여전히 AS3356을 거치는 네트워크를 구분했습니다. 구성된 두 개의 공급자는, 한 네트워크의 오래된 상태가 다른 쪽 선택을 막거나 다운스트림 네트워크에 이용 가능한 상위 경로가 하나뿐이라면 두 개의 연속성 경로가 아닙니다.

이것이 책임성 면이 원래 규칙을 넘어 확장되는 이유입니다. 운영자는 통제 플레인 실패가 네트워크가 자신의 이용 불가를 전달하는 것을 막을 수 없다는 증거가 필요합니다. 경로 철회, 세션 종료, 로컬 프리퍼런스 변경, 피어 반응이 복구 통제가 됩니다. 트래픽을 방어하기 위한 규칙이 영향받은 경로 사용을 멈추는 데 필요한 신호를 비활성화해서는 안 됩니다.

복구는 내부뿐 아니라 외부에서도 입증되어야 합니다. 내부 BGP 세션이 established 상태로 돌아오는 것은 필요하지만, 사용자는 프리픽스가 안정된 경로를 통해 다시 도달 가능해지는 것도 필요로 합니다. 라우트 플래핑은 가라앉아야 합니다. 오래된 공지는 관련 피어에서 사라져야 합니다. 트래픽은 손상된 경로 안에서 종단하는 것을 멈춰야 합니다. 독립 프로브와 경로 수집기는 인터넷이 운영자가 내부에서 보는 것과 같은 복구를 보고 있음을 확인할 수 있습니다.

시간 순서가 중요합니다. 문제의 공지를 차단하면 활성 트리거는 끝나지만, 오래된 상태는 피어나 캐시에 남을 수 있습니다. 세션 복구는 완전한 도달성 복구에 앞설 수 있습니다. 서로 다른 소스가 서로 다른 복구 시점을 기록하더라도 하나가 틀린 것은 아닙니다. 책임 있는 종결은 규칙 제거, 통제 플레인 안정화, 피어 수렴, 엔드투엔드 서비스 복구를 구분하고, 이를 하나의 "해결" 시점으로 압축하지 않습니다.

공개 기록이 결정할 수 없는 것

증거는 원래 요청을 만든 사람, 와일드카드를 추가하거나 유지한 사람, 2차 필터를 소유한 사람, 전파를 승인한 사람, 첫 대응을 결정한 사람을 특정하지 않습니다. 그 역할이 CenturyLink 직원, 고객 절차, 자동화 시스템, 혹은 그 조합에 속했는지도 확립하지 않습니다. 개인 서사를 배정하는 것은 문서화된 사건을 설명하는 것이 아니라 빈틈을 채우는 것입니다.

기록은 라우터, 운영체제, FlowSpec 컨트롤러, 기타 벤더 제품도 지명하지 않습니다. 벤더가 더 넓은 기술 환경에 참여했을 가능성은 있지만, 그 가능성은 증거가 아닙니다. 문서화된 제품 결함과 명확한 책임 경계 없이 공급자를 지명하면 잘못된 정밀성을 만들고 운영사가 인정한 통제 경로에서 관심을 돌립니다.

악의적 의도는 확립되지 않았습니다. 한 주소를 차단하려던 규칙은 평범한 방어 목적과 부합합니다. 과도하게 넓어졌다는 사실이 그 요청을 공격으로 만들지 않습니다. 책임 있는 분석은 정당한 통제 입력이 어떻게 안전하지 않은 범위를 얻었는지, 그리고 실행 중인 네트워크가 왜 그것을 격리하지 못했는지를 검토합니다.

소스들이 확립하는 것은 즉각적 완화이지 현재의 보증이 아닙니다. CenturyLink는 문제의 공지가 차단되었고 BGP 안정성이 돌아왔다고 밝혔습니다. 그러나 현재 플릿 인벤토리, 오늘날의 검증 단계 설계, 단계적 전파 훈련 결과, 중단 동작의 독립 테스트, 같은 종류의 사건이 재발할 수 없다는 증거는 제공하지 않습니다. 현재 통제가 유효하다고 주장하는 것도, 유효하지 않다고 주장하는 것도 똑같이 근거 없습니다.

이 경계들은 유용한 결론을 남깁니다. 백본 운영사는 민감한 설정을 공개하지 않고도 책임성을 입증할 수 있습니다. 실패한 통제의 종류, 입력의 의도된 범위와 실질 범위, 격리 경계, 복구 시점, 도달성 검증에 사용된 증거를 공개할 수 있습니다. 무엇이 여전히 알려지지 않았는지에 대한 정밀성은 그 공개를 더 강하게 만듭니다. 독자는 관측된 운영과 기관의 주장을 구분할 수 있기 때문입니다.

연속성은 실행 중인 통제 플레인에 속한다

FlowSpec은 효과적인 방어 메커니즘이 될 수 있습니다. BGP는 전 지구 규모로 도달성을 배포할 수 있습니다. 어느 프로토콜 이름도 안전한 운영을 보장하지 않습니다. 관련 증거는, 인코딩된 범위가 요청된 목적과 다를 때 실행 중인 시스템이 그 입력을 어떻게 취급하는지, 그리고 네트워크가 그 차이를 관측하고 멈추고 복구할 경로를 유지하는지입니다.

2020년의 이 장애는 수용된 객체가 트래픽 필터링을 넘어 작동했기 때문에, 입력 검증을 백본 통제 책임성 시험으로 만듭니다. CenturyLink에 따르면, 그것은 네트워크 장비 간 BGP 수립을 방해했습니다. 독립 관측자들은 그 결과를 경로와 도달성에서 보았습니다. 사슬은 인정된 규칙에서 시작해, 전파와 통제 플레인 불안정을 거쳐, 공지된 경로에 더 이상 의존할 수 없는 피어와 사용자에게 이릅니다.

아키텍처 다이어그램은 검증 단계와 이중 경로를 보여줄 수 있습니다. 정책은 2차 검토를 요구할 수 있습니다. 티켓은 한 IP를 차단해야 한다고 쓸 수 있습니다. 이들은 필요한 기록이지만, 네트워크는 실질 규칙에 따라 행동합니다. 결정적인 증거는 실행 중인 시스템이 의도된 범위를 올바르게 계산하고, 초기 노출을 제한하고, 철회 동작을 보존하고, 안정된 엔드투엔드 도달성을 회복했다는 것입니다.

이 기준은 사람을 비난하거나 프로토콜을 비난할 것을 요구하지 않습니다. 관측 가능한 결과에 대한 소유권을 요구합니다. 규칙이 자신의 승인 범위와 일치한다는 증거에 책임이 있는 누군가가 있어야 하고, 전파를 멈출 권한이 있어야 하며, 복구는 다른 네트워크가 다시 백본을 우회하거나 통과할 수 있는 경계에서 측정되어야 합니다. 그 증명이 없다면, 2차 필터는 실증된 안전장치가 아니라 설계상 주장입니다.

출처