요약

  • Enke Chen의 공개 IETF 기록에는 개정된 BGP UPDATE 오류 처리에 관한 RFC 7606과 여러 경로 광고에 관한 RFC 7911의 저자로서의 참여가 포함된다. 이 두 표준은 서로 다른 장애 영역을 다루지만, 둘 다 영향받는 라우팅 객체를 정확히 식별하고 대응 범위를 제한하는 데 의존한다.
  • RFC 7606은 treat-as-withdraw와 같은 경계 처리를 통해 오류가 있는 UPDATE 메시지로 인한 불필요한 피해를 줄이고, RFC 7911은 로컬에서 할당된 경로 식별자(Path Identifier)를 추가해 하나의 프리픽스에 대한 여러 경로가 공존할 수 있게 한다. 어느 메커니즘도 경로가 올바르거나 포워딩이 성공했음을 증명하지 않는다. 각각은 구현과 운영자가 검토할 수 있도록 더 정밀한 제어 평면 증거를 만들 뿐이다. Chen이 공저자였던 만료된 재분배 초안은 제안된 문제와 접근 방식에 대한 경계가 있는 기록으로만 사용되며, 어떤 공식 표준 지위도 없다.

라우팅 작업에 뿌리를 둔 인물 수준 기록

IETF Datatracker는 Enke Chen을 22개 RFC와 더 긴 인터넷 초안(Internet-Draft) 목록과 연관 짓는다. 그 기록은 광범위하지만, 이 분석은 의도적으로 좁은 하위 집합만 사용한다. RFC 7606은 BGP UPDATE 메시지 오류 처리의 표준 트랙 개정판 편집자로 Chen을 명시한다. RFC 7911은 표준 트랙 ADD-PATH 확장의 저자 중 한 명으로 그를 기록한다. Datatracker는 또한 Jenny Yuan과 공동 저술한, BGP로의 결정론적 경로 재분배를 다룬 만료된 인터넷 초안도 보존하고 있다.

이러한 기록은 Chen을 이름으로 특정 라우팅 메커니즘과 그 문서화된 운영 경계와 연결하기 때문에 인물 수준 기사를 뒷받침한다. 그러나 영웅적 전기를 뒷받침하지는 않는다. RFC들은 공동 저자, 작업 그룹 논의, 검토, 구현 경험, 합의 절차가 만든 협업적 IETF 산물이다. 그 초안은 RFC가 아니며, 더 이상 활성 상태가 아니고, Datatracker가 표준 절차에서 어떤 공식 지위도 없다고 명시적으로 설명한다.

경계는 귀속만큼이나 중요하다. 이러한 출처 어디에도 Chen이 특정 운영자의 정책을 선택했거나, 특정 소프트웨어 릴리스를 구현했거나, 배포를 통제했거나, 인시던트를 막았거나, 측정된 상업적 결과를 만들었다는 내용은 없다. 이 출처들은 사적 전기적 주장의 근거도 없다. 다만 기술 주제로 들어가는 강력한 길을 제공한다. 즉, 어떤 BGP 정보에 대해 작업이 수행되는지, 어떤 장애가 억제되는지, 변경 후 어떤 상태가 정당하게 유지되는지 아는 데 필요한 운영 기록이다.

BGP 경로 제어는 자동화 시스템이기 전에 기록 시스템이다

BGP는 독립 운영되는 시스템들 간에 도달 가능성과 경로 정보를 전달한다. UPDATE 메시지는 도달 가능성을 추가하거나 철회하거나, 경로가 이해되고 선택되는 방식에 영향을 주는 속성을 붙일 수 있다. 프로토콜의 글로벌 중요성 때문에 그 동작이 거의 절대적인 것처럼 보일 수 있다. BGP가 존재한다고 하면 경로가 존재하고, 제어 평면이 선택하면 트래픽이 따라간다는 식이다. 그러나 안전한 운영에는 그 설명이 너무 거칠다.

BGP 스피커는 특정 세션을 통해 특정 피어로부터 메시지를 받는다. 구체적인 네트워크 계층 도달 가능성 정보(NLRI)와 경로 속성을 파싱하고, 수용된 정보를 로컬 데이터 구조에 넣고, 로컬 정책 하에 결정 프로세스를 실행하며, 파생 결과를 다른 피어에 광고할 수 있다. 포워딩 상태를 설치할 수 있지만 포워딩 평면은 별도의 계층으로 그 동작은 관찰되어야 한다. 모든 단계는 범위, 시간, 출처를 지닌 기록을 생성하거나 소비한다.

따라서 BGP 기록의 실용적 권위는 BGP라는 라벨이 아니라 그 정확성과 실행 중인 동작과의 관계에서 나온다. 오류가 있는 속성이 무관한 유효 상태를 자동으로 파괴해서는 안 된다. 동일 프리픽스의 두 번째 경로가 첫 번째와 구분 불가능해져서는 안 된다. 재분배된 경로가 두 결정 시스템이 서로 다른 가정을 적용해 프로토콜 사이에서 진동해서는 안 된다. 이 모든 것은 트래픽 문제가 되기 전에 기록 무결성 문제다.

RFC 7606과 RFC 7911은 서로 다른 방식으로 그 무결성을 더 명시적으로 만든다. 첫 번째는 사용 불가능한 UPDATE 콘텐츠에 대한 더 경계된 대응을 정의한다. 두 번째는 경로 식별성을 확장해 여러 경로가 서로를 무음 교체하지 않고 공존할 수 있게 한다. 만료된 재분배 초안은 프로토콜 경계에서의 결정 모호성을 탐구한다. 함께 보면, 라우팅 자동화가 각 행동을 정당화하는 객체, 출처, 범위, 상태 전이를 보존해야 하는 이유를 보여준다.

RFC 7606은 무분별한 리셋의 비용에서 출발한다

RFC 7606이 다루는 기본 BGP 동작에서는 오류가 있는 경로 속성을 받은 스피커가 세션을 리셋해야 할 수 있다. 리셋은 모호하지 않지만 파괴 반경이 크다. 잘못된 속성을 지닌 경로뿐 아니라 같은 세션에서 교환된 유효 경로도 영향을 받는다. 선택적 전이적(optional transitive) 속성이 이를 인식하거나 검증하지 않는 스피커들을 거쳐 전파된 경우, 마지막에 리셋되는 세션이 오류 정보의 발원지에 가장 가까운 세션이 아닐 수도 있다.

RFC 7606의 명시된 목표는 프로토콜 정확성을 가능한 한 유지하면서 오류가 있는 UPDATE 메시지로부터의 라우팅 영향을 최소화하는 것이다. 가용성과 정확성은 독립적 구호로 다뤄질 수 없기 때문에 그 목표는 운영적으로 중요하다. 어떤 비용을 치르더라도 모든 경로를 보존하는 것은 안전하지 않은 정보를 유지할 수 있다. 첫 파싱 오류에서 모든 것을 리셋하는 것은 건전한 정보를 제거하고 오류를 증폭시킨다. 프로토콜은 여전히 식별하고 신뢰할 수 있는 것에 비례하는 대응이 필요하다.

이 문서는 서로 다른 범위를 지닌 여러 접근 방식을 중심으로 오류 처리를 조직한다. 세션 리셋은 전체 관계를 종료한다. AFI/SAFI 비활성화는 효과를 주소 패밀리 컨텍스트로 한정한다. Treat-as-withdraw는 오류가 있는 UPDATE와 연관된 경로를 철회된 것처럼 제거한다. 속성 폐기는 나머지 경로 정보가 명시된 규칙 하에 여전히 처리될 수 있을 때 사용 불가능한 속성만 제거한다. 적절한 조치는 오류의 클래스와 영향받는 도달 가능성을 안전하게 식별할 수 있는지에 달려 있다.

이것은 단순히 세션을 유지하는 것을 선호하는 것이 아니다. 오류가 있는 상태에 의미를 발명하지 않으면서 유효 상태를 보존하려는 규율 있는 시도다. 그 구분은 treat-as-withdraw 개념에서 드러난다. 수신자는 잘못된 속성의 의도된 값을 추측해서 메시지가 건전한 것처럼 계속 진행하지 않는다. 영향받은 경로 정보를 고려 대상에서 제거하되, 같은 세션에 실려 온 무관한 유효 경로들이 부수적으로 철회되는 것은 피한다.

오류 억제는 영향받는 객체를 아는 데 달려 있다

경계된 대응은 구현이 오류 정보를 찾아 그 범위를 결정할 수 있을 때만 가능하다. 오류 콘텐츠가 수신자가 관련 NLRI를 식별하지 못하게 한다면 안전한 처리 옵션은 프리픽스는 명확하지만 한 속성만 사용 불가능한 경우와 다르다. 파서가 객체를 식별하는 능력은 운영 계약의 일부다.

이는 오류 처리를 증거의 문제로 만든다. 어느 피어가 UPDATE를 보냈는가? 어느 주소 패밀리였는가? 어느 프리픽스 또는 프리픽스 집합이 영향받았는가? 어느 속성이 검증에 실패했는가? 경로가 철회된 것으로 처리되었는가, 속성이 폐기되었는가, 더 넓은 상태가 제거되었는가? 이벤트는 언제 발생했는가? 이전 버전에 어떤 다운스트림 광고나 포워딩 항목이 의존했는가? 단순히 "오류가 있는 UPDATE"라고만 말하는 카운터는 이 질문들에 답하지 못한다.

구현은 안전하지 않은 데이터를 노출하거나 모든 바이트를 신뢰할 수 있다고 가장하지 않으면서 연쇄를 보존하는 진단이 필요하다. 운영자는 결과에 대한 정책이 필요하다. 영향받은 경로가 철회되면 의존 서비스가 도달 가능성을 잃거나 다른 경로로 이동할 수 있다. 속성이 폐기되면 경로는 남아 있지만 다르게 평가될 수 있다. 세션이 리셋되면 많은 경로가 재수렴할 수 있다. 표준은 프로토콜 절차를 정의할 뿐, 운영자의 위험 성향을 선택하거나 구현의 관찰 가능성을 인증하지 않는다.

실용적 제어는 전이의 기록이다. 이벤트 전에 경로는 알려진 출처와 속성으로 존재했다. UPDATE가 도착했고 명시된 검증 경계가 실패했다. 구현은 이름이 지정된 조치를 적용했다. 로컬 경로 상태가 바뀌고 광고가 바뀌거나 유지되었으며, 그 후 포워딩이 관찰되었다. 이 연쇄는 운영자가 의도된 억제와 설명되지 않는 소멸을 구분하게 해준다.

Treat-as-withdraw는 경계된 실패 상태이지 무음 성공이 아니다

Treat-as-withdraw는 때로 BGP 세션 리셋을 피하는 방법으로 요약된다. 그 요약은 이 메커니즘의 가장 강한 성질을 놓친다. 오류가 있는 경로 정보에 경계되고 관찰 가능한 결과를 부여한다는 것이다. 영향받은 경로는 올바른 것처럼 수용되지 않고, 무관한 유효 경로들이 같은 전송 세션을 공유한다는 이유만으로 파괴될 필요도 없다.

"withdraw"라는 단어는 위험한 모호성도 막는다. 자동화가 세션이 여전히 수립되어 있다고 보면, 그렇지 않다면 라우팅 관계가 건강하다고 추론할 수 있다. 그러나 세션 건강과 경로 건강은 서로 다른 객체다. 피어는 하나의 경로가 UPDATE 오류로 제거된 상태에서도 연결을 유지할 수 있다. 모니터링은 두 사실을 모두 노출해야 한다. 초록색 세션 표시기는 수용, 철회, 거부된 경로의 목록을 대체할 수 없다.

같은 구분이 복구에도 적용된다. 나중에 유효한 UPDATE가 경로를 복원할 수 있다. 시스템은 객체가 돌아온 이유가 새로운 수용 가능한 기록이 도착했기 때문이고, 운영자가 오류 카운터를 지웠거나 시간이 지났기 때문이 아니라는 것을 보여줄 수 있어야 한다. 오류가 있는 업데이트가 계속 전파되면 반복되는 treat-as-withdraw 이벤트도 귀속 가능하게 유지되어야 한다. 대응은 영향을 억제하지만, 발원지를 찾아 수정할 필요를 제거하지 않는다.

다운스트림 신뢰의 문제도 있다. 한 스피커에서 제거된 경로는 다른 경로나 오래된 관찰을 통해 다른 곳에서 여전히 존재할 수 있다. 여러 수집기의 데이터를 병합하는 애플리케이션은 한 수용된 뷰가 다른 스피커의 거부를 무효화한다고 추론해서는 안 된다. 관찰 지점, 세션, 타임스탬프, 정책 컨텍스트를 보존해야 한다. BGP의 분산적 성질 때문에 "그 경로"는 종종 하나의 보편적 사실이 아니라 여러 범위가 지정된 기록의 축약어다.

속성 폐기는 더 엄격한 경계를 필요로 한다

속성 폐기는 나머지 UPDATE가 사용 가능할 때 도달 가능성을 보존할 수 있지만, 결정 프로세스에 제시되는 정보를 바꾼다. 그 변경은 이해되어야 한다. 속성은 선택, 정책, 전파, 운영 해석에 영향을 줄 수 있다. 이를 제거하는 것은 의도된 형태의 경로를 받는 것과 같지 않다.

표준의 속성별 절차가 중요한 이유는 일반화된 "싫은 것은 무시하라"는 규칙이 상호운용성을 훼손할 수 있기 때문이다. 구현이 모든 오류 속성을 선택적 잡음으로 안전하게 판단할 수는 없다. 처리는 정의된 의미와 오류 클래스를 따라야 한다. 보이는 이벤트는 폐기된 속성과 영향받은 경로를 명명해야 하고, 운영자가 로컬 정책이 여전히 결과 정보의 사용을 허용하는지 판단할 수 있어야 한다.

이는 자동화에 더 넓은 교훈을 준다. 정규화는 중립적이지 않다. 시스템이 데이터를 복구, 폐기, 대체할 때 변환이 발생했다는 사실을 보존해야 한다. 그렇지 않으면 다운스트림 소비자는 깨끗한 객체를 보고 입력이 뒷받침하는 것보다 더 많은 신뢰를 부여할 수 있다. 경계된 호환성은 연속성을 유지할 수 있지만, 숨겨진 호환성은 불확실성을 거짓 확실성으로 바꾼다.

제어 평면은 정규화된 작업 상태와 그 상태의 출처를 모두 필요로 한다. 운영자는 속성이 폐기된 경로가 포워딩에 허용되는지, 백업으로만 허용되는지, 특정 자동화 결정에서 제외되는지 판단할 수 있다. RFC는 하나의 보편적 사업 정책을 부과하지 않는다. 로컬 선택을 명시적으로 만들 수 있는 프로토콜 경계를 제공할 뿐이다.

RFC 7911은 광고된 경로의 식별성을 바꾼다

RFC 7911은 다른 한계를 다룬다. 문서가 설명하는 기본 동작에서는 기존 경로와 동일한 NLRI를 지닌 새 경로 광고가 암묵적으로 이전 광고를 대체한다. 그 기준선은 피어당 프리픽스 하나의 광고 경로만 허용하며, 추가 식별자 없이는 동일 프리픽스에 대한 여러 동시 경로를 표현할 수 없다.

ADD-PATH가 그 식별자를 제공한다. 경로는 주소 프리픽스와 4옥텟 경로 식별자(Path Identifier)의 조합으로 식별된다. 이제 한 프리픽스에 대해 여러 경로가 광고될 수 있고, 각각의 새 경로가 이전 경로들을 암묵적으로 대체하지 않는다. 동일 프리픽스와 경로 식별자를 지닌 나중 광고는 그 특정 이전 광고를 대체한다. 철회는 제거할 경로를 명명한다.

경로 식별자는 광고하는 스피커가 로컬에서 할당한다. 그 스피커와 이웃이 광고된 경로를 구분할 수 있어야 하지만, 수신자는 그 숫자가 특정 의미를 지닌다고 가정해서는 안 된다. 다시 광고하는 스피커는 자신의 식별자를 생성한다. 따라서 그 값은 휴대 가능한 글로벌 경로 식별성도, 순위도 아니다. 관련 BGP 관계와 인코딩 컨텍스트 내에서의 범위가 지정된 키다.

그 구분은 흔한 자동화 오류를 막는다. 편리한 정수는 보편적 의미를 지닌 객체처럼 보일 수 있다. ADD-PATH에서 실용적 식별성은 특정 세션과 방향에 걸쳐 이해되는 프리픽스 더하기 경로 식별자다. 경로의 속성, 출처, 현재 광고는 별도의 증거로 남는다. 세션이 재시작되면 식별자가 유지되지 않을 수 있다. 시간에 걸쳐 경로를 상관분석하는 시스템은 식별자만으로는 부족하다.

더 많은 경로는 더 많은 증거와 더 많은 상태를 만든다

여러 경로 광고는 대체 정보 제공, 경로 가시성 향상, 수렴 및 경로 진동 사례 지원 같은 운영 목표를 지원할 수 있다. RFC 7911은 메커니즘을 정의할 뿐, 그러한 결과를 보장하지 않는다. 두 경로가 존재한다고 해서 둘 다 사용 가능하거나, 트래픽이 균형 잡혀 있거나, 수렴이 빨라지거나, 백업이 올바르게 선택된다는 것이 증명되지 않는다.

각 추가 경로는 스피커와 도구가 유지해야 하는 상태를 늘린다. 수신자는 각 광고의 프리픽스, 경로 식별자, 속성, 피어 컨텍스트, 수명 주기를 필요로 한다. 모니터링 시스템은 한 경로의 대체와 다른 경로의 철회를 구분해야 한다. 경로 수집기는 확장 NLRI를 디코딩하기 전에 세션이 ADD-PATH를 협상했는지 알아야 한다. 포워딩 시스템은 자체 결정 프로세스와 구현 한계에 따라 여전히 부분 집합만 설치할 수 있다.

RFC 7911은 자원 위험을 명시적으로 언급한다. 많은 프리픽스에 대해 여러 경로를 받으면 메모리를 소모하고 불안정에 기여할 수 있다. 메커니즘이 용량 계획을 제거하지 않는다. 더 큰 경로 대안 집합을 표현 가능하게 만들 뿐이다. 운영자는 추가 증거가 상태 비용을 감수할 만한 곳, 어느 주소 패밀리가 필요한지, 몇 개의 경로가 수용 또는 광고되는지, 어떤 한계가 보호를 트리거할지 결정해야 한다.

이는 운영 기록에서 반복되는 트레이드오프다. 더 풍부한 식별성은 모호성을 줄이지만 저장, 처리, 동기화, 검토 비용을 치른다. 답은 기록을 다시 하나의 익명 경로로 압축하는 것이 아니다. 여러 경로가 필요한 범위를 정의하고, 그 범위를 명시적으로 협상하고, 한계를 강제하고, 표현 자체가 위험이 되는 시점을 알 만한 진단을 유지하는 것이다.

기능 협상이 인코딩 컨텍스트를 명시적으로 만든다

ADD-PATH는 경로 식별자를 앞에 붙여 NLRI 인코딩을 바꾼다. 스피커가 로컬로 확장을 지원한다는 이유만으로 그 인코딩을 안전하게 보낼 수 없다. 피어들은 특정 AFI/SAFI 조합에 대해 ADD-PATH 기능을 협상하고 보내기, 받기, 둘 다 가능한지 표시한다. 확장 인코딩은 해당하는 보내기와 받기 기능이 일치할 때만 사용된다.

이는 좁은 범위를 지닌 운영 권한의 예시다. 한 주소 패밀리의 기능이 모든 주소 패밀리의 기능을 함의하지 않는다. 받을 수 있다고 보낼 수 있다는 뜻은 아니다. 구성 라벨이 교환된 기능 상태를 대체할 수 없다. 현재 세션 기록이 어느 인코딩이 적용되는지 각 측에게 알려주는 증거다.

외부 관찰에도 그 컨텍스트가 필요하다. RFC 7911은 활성 세션을 검사하는 패킷 분석기가 교환된 기능에 대한 사전 지식이 없으면 UPDATE 메시지를 올바르게 디코딩할 수 없을 수 있다고 언급한다. 캡처된 UPDATE는 스스로 충분한 증거가 아니다. 그 의미는 이전에 수립된 세션 상태에 의존한다. 분석 도구는 파싱 실패를 발신자의 프로토콜 위반 증거로 다루기보다 그 컨텍스트를 보존하거나 재구성해야 한다.

따라서 기능 기록은 운영 목록에 속한다. 각 세션과 AFI/SAFI에 대해 운영자는 로컬 구성 의도, 광고된 기능, 수신한 기능, 협상된 방향, 관찰된 인코딩, 현재 경로 수를 볼 수 있어야 한다. 그 필드들 사이의 불일치는 명시적 상태여야 한다. 장치에서 ADD-PATH가 활성화되어 있다는 일반적 진술 뒤에 숨겨서는 안 된다.

경로 식별자는 지속되는 사업 식별성이 아니다

RFC 7911은 로컬 할당된 경로 식별자가 제어 평면 재시작을 넘어 유지되지 않을 수 있다고 경고한다. 이는 외부 시스템이 한 숫자에서 도출할 수 있는 결론을 제한한다. 재시작 전 경로 식별자 17과 재시작 후 경로 식별자 17은 같은 경로를 나타낼 필요가 없다. 같은 경로가 다른 스피커에 의해 다시 광고될 때 다른 식별자를 받을 수도 있다.

자동화는 와이어 식별성과 지속되는 상관분석을 구분해야 한다. 와이어 식별성은 인접 스피커가 동시 광고를 올바르게 처리하게 한다. 더 오래 지속되는 분석은 프리픽스, 피어, 속성, 넥스트홉 정보, 타임스탬프, 기타 범위가 지정된 증거를 상관분석할 수 있으며, 겉보기 일치가 프로토콜 보장이 아니라 상관분석임을 인정하며 한다. 경로 식별자를 글로벌 불변 기본 키로 승격하는 데이터베이스는 프로토콜이 약속하지 않는 연속성을 제조하는 것이다.

재시작은 또한 제어와 포워딩 사이의 경계를 드러낸다. RFC 7911은 graceful restart 동작 동안 로컬 할당된 식별자가 하위 포워딩 평면을 흔들지 않도록 특별한 주의를 권한다. 이는 포워딩 연속성이 보장된다는 뜻이 아니다. 구현이 일시적 제어 평면 식별자와 유지되는 포워딩 상태 사이의 관계를 의도적으로 관리해야 한다는 뜻이다.

운영자는 두 계층을 모두 관찰해야 한다. 세션이 재시작하고, 식별자가 재발행되고, 경로가 새로 고침되고, 포워딩은 안정적으로 유지되거나 바뀔 수 있다. 건전한 이벤트 기록은 한 계층의 연속성이 다른 계층의 연속성을 증명한다고 가정하지 않고 각 전이를 캡처한다. 목표는 식별자를 영원하게 만드는 것이 아니다. 그 범위와 수명 주기를 변화를 안전하게 해석할 수 있을 만큼 명시적으로 만드는 것이다.

개정된 오류 처리와 ADD-PATH는 객체 범위에서 만난다

RFC 7606과 RFC 7911은 종종 별도의 제목, 즉 견고성과 멀티패스 광고 아래에서 다뤄진다. 운영적으로 둘은 "어느 경로 객체가 영향받았는가?"라는 질문에서 만난다. ADD-PATH가 사용되면 수신자는 한 프리픽스에 대해 여러 경로 광고를 보유할 수 있다. UPDATE 오류나 철회는 확장 NLRI와 협상된 세션 동작의 컨텍스트에서 이해되어야 한다.

구현이 오류를 보고하면서 경로 식별자를 잃으면, 운영자는 프리픽스가 영향받았다는 것은 알지만 어느 광고된 경로인지는 모를 수 있다. 수집기가 협상된 기능 컨텍스트 없이 UPDATE를 디코딩하면 NLRI를 오독하고 장애를 잘못 귀속할 수 있다. 자동화가 프리픽스 수준 경보에 반응해 모든 경로를 제거하면, 구분된 경로 기록을 갖는 것의 억제 이익을 지워버릴 수 있다.

바람직한 연쇄는 정밀하다. 세션과 기능 상태가 인코딩을 확립한다. 프리픽스와 경로 식별자가 광고된 경로를 찾아낸다. 파싱과 속성 검증이 기록이 사용 가능한지 결정한다. 구현이 정의된 경계된 대응을 적용한다. 로컬 결정 상태와 발신 광고가 그에 따라 바뀐다. 그 후 포워딩 관찰이 운영 결과를 검증한다.

이 계층 어느 것도 다른 것을 사칭해서는 안 된다. 성공적으로 파싱된 ADD-PATH 광고가 정책 선호 경로는 아니다. 정책 선호 경로가 설치되었다는 보장은 없다. 설치된 경로가 트래픽 전달의 증거는 아니다. 오류가 억제된 세션이 모든 경로가 건강하다는 증거는 아니다. 정확한 경로 제어는 식별성과 전이를 연쇄 전반에 걸쳐 전달하는 데서 나온다.

재분배는 결정 시스템 사이의 경계를 도입한다

경로 재분배는 한 라우팅 컨텍스트에서 학습되거나 선택된 정보를 다른 컨텍스트로 주입한다. 단순 복사가 아니다. 프로토콜들은 서로 다른 선호 모델, 관리 거리, 속성, 루프 방지 가정을 사용할 수 있다. 한 컨텍스트에서 선호되는 경로가 다른 경로를 통해 되돌아와 서로 다른 규칙 집합 아래 비교될 수 있다.

Chen과 Jenny Yuan이 공동 저술한 만료된 인터넷 초안은 BGP로의 재분배에 관한 비결정론적 라우팅 동작 사례들을 설명한다. 그 초록은 특정 조건에서 관리 거리를 고려하고, 적절한 경우 재분배된 백업 경로의 LOCAL_PREF를 낮추는 것을 제안한다. 문서가 만료되었고 공식 표준 지위가 없으므로, 그 제안들은 현재 IETF 요구사항이나 합의로 제시되어서는 안 된다.

그 초안은 여전히 엔지니어들이 모호성의 한 클래스를 문서화하고 결정론적 대응을 탐구했다는 경계된 증거로 유용하다. 그 지위 자체가 기술적 의미의 일부다. 제안은 문제와 접근 방식을 식별한다. 배포를 승인하거나, 상호운용성을 인증하거나, 기존 표준과 운영자 정책을 무시하지 않는다. 어떤 구현이나 운영적 사용도 독립적인 현재 근거를 필요로 한다.

더 깊은 문제는 결정 도메인을 넘나드는 경로의 식별성이다. 경로가 BGP에서 발원하고, 다른 프로토콜로 재분배되고, 되돌아왔는가? 백업 경로가 서로 다른 개념을 표현하는 값으로 주 경로와 비교되고 있는가? 어느 구성 요소가 변환을 소유하는가? 무엇이 루프나 불안정한 선호 순환을 막는가? 출처와 명시적 변환 기록이 없으면, 시스템은 같은 증거가 왜 다른 결과를 만들었는지 설명하지 못한 채 경로를 반복적으로 선택할 수 있다.

결정론은 정확성과 같지 않다

결정론적 결정은 동일한 정의된 입력과 규칙에 대해 동일한 결과를 만든다. 그 성질은 동작을 재현 가능하고 검토 가능하게 만들기 때문에 가치 있다. 그러나 입력이 현재 것이고 정책이 적절하며 결과가 도달 가능성을 제공한다는 것을 증명하지 않는다. 결정론적 시스템은 낡았거나 오분류된 경로를 일관되게 선택할 수 있다.

운영 목표는 따라서 경계된 결정론이다. 입력은 식별되고 타임스탬프가 찍혀야 한다. 출처와 변환은 보존되어야 한다. 비교 규칙은 명시적이어야 한다. 동률과 누락된 값은 정의된 처리를 필요로 한다. 선택된 결과는 보여야 하고 포워딩은 독립적으로 확인되어야 한다. 필요한 증거가 없으면 시스템은 비교를 발명하는 대신 명명된 저하 상태나 차단 상태에 들어가야 한다.

이것이 초안의 지위를 무시할 수 없는 이유이기도 하다. 만료된 제안을 표준으로 다루는 것은 결정론적 콘텐츠 오류가 된다. 모든 시스템이 같은 근거 없는 규칙을 적용하고 그 권위에 대해 여전히 틀릴 수 있다. 올바른 기록은 경로뿐 아니라 그 경로를 처리하는 데 사용된 규칙에도 출처를 포함한다.

표준, 구현, 구성, 관찰은 서로 다른 업데이트 주기를 가진다. RFC 7606과 RFC 7911은 표준 트랙 프로토콜 동작을 정의한다. 소프트웨어 릴리스는 관련 운영 도구의 일부만 지원할 수 있다. 운영자는 더 엄격한 한계를 부과할 수 있다. 경로 수집기는 세션 컨텍스트보다 늦을 수 있다. 포워딩 프로브가 제어 평면 대시보드가 예측하지 못한 결과를 드러낼 수 있다. 결정론은 이러한 계층을 비교하게 해준다. 병합하지는 않는다.

BGP 연속성을 위한 실용적 증거 프레임워크

세 가지 출처 기록은 다섯 개의 연결된 객체를 중심으로 한 증거 프레임워크를 제안한다. 첫 번째는 세션이다. 피어 식별성, 전송 상태, 협상된 기능, AFI/SAFI 범위, 재시작 수명 주기. 두 번째는 광고된 경로 객체다. 프리픽스, 해당되는 경우 경로 식별자, 경로 속성, 출처, 타임스탬프, 대체 또는 철회 이력.

세 번째 객체는 검증 상태다. UPDATE와 각 관련 속성이 수용되었는지, 철회된 것으로 처리되었는지, 폐기되었는지, 더 넓은 리셋과 연관되었는지 기록하고, 규칙과 영향받은 범위를 명명한다. 네 번째 객체는 로컬 결정 상태다. 어느 경로가 자격이 있었는지, 어느 정책이 변환했는지, 어느 경로가 선택되었는지, 대안이 선택되지 않은 이유.

다섯 번째 객체는 실행 증거다. 정의된 관찰 지점과 시간 창 내에서 설치된 포워딩 상태와 관찰된 패킷 동작을 포함한다. 이 계층은 제어 평면과 불일치할 수 있다. 그런 불일치는 억압해야 할 불편이 아니라 증거 시스템이 조사 가능하게 만들어야 하는 상태다.

각 연결은 범위를 존중하는 안정적 상관분석을 필요로 한다. 경로 식별자는 세션 컨텍스트 안에서 작동한다. 프리픽스는 주소 패밀리와 라우팅 테이블 안에서 의미를 지닌다. 피어 식별자는 구성되고 인증된 관계에 속한다. 정책 버전은 변경 기록에 속한다. 포워딩 관찰은 인터페이스, 경로, 흐름, 시간에 속한다. 이 모든 것을 단일 "경로 상태"로 압축하면 실패 시 필요한 바로 그 구분이 사라진다.

공개 출처가 확립하는 것과 알려지지 않은 것

이 출처들은 Chen이 RFC 7606과 RFC 7911에 대한 IETF 기록에 이름이 올라 있다는 것을 확립한다. RFC 7606은 오류가 있는 BGP UPDATE 정보의 처리를 개정해 정확성 경계를 유지하면서 불필요한 라우팅 영향을 줄인다. RFC 7911은 경로 식별자를 추가하고 기능을 AFI/SAFI와 방향별로 협상함으로써 한 프리픽스에 대해 여러 경로가 광고될 수 있게 한다.

또한 재분배 문서는 공식 표준 지위가 없는 만료된 인터넷 초안이라는 것도 확립한다. 그 초록은 비결정론적 재분배 사례와 제안된 결정 조정을 설명한다. 이것이 여기서 그 문서에 부여되는 전체 권위다. 어떤 벤더가 제안을 구현했거나 어떤 운영자가 그렇게 해야 한다는 증거로는 사용되지 않는다.

많은 운영 사실이 알려지지 않았다. 기록은 특정 네트워크의 현재 BGP 구성, 메모리 한계, 오류 카운터, ADD-PATH 배포, 재분배 정책, 포워딩 동작을 보여주지 않는다. 회피된 장애, 수렴 개선, 자원 비용을 정량화하지 않는다. 특정 파서가 모든 오류 속성을 올바르게 처리한다는 것을 증명하지 않는다.

그러한 미지는 가정으로 채울 간극이 아니다. 다른 증거 출처가 필요한 곳을 표시한다. 지원되는 동작에 대해서는 구현 문서, 운영자 상태에 대해서는 구성과 텔레메트리, 정책에 대해서는 변경 기록, 실행에 대해서는 패킷 또는 포워딩 관찰, 영향에 대해서는 인시던트 증거. 표준은 어휘와 프로토콜 경계를 제공한다. 운영 주장은 현재 기록이 붙어야만 시작된다.