요약

  • RFC 9315는 인텐트(intent)를, 달성 방법을 규정하지 않은 선언적 운영 목표와 기대 결과로 정의한다. 따라서 수용, 번역, 구성은 중간 상태이며, 결과가 실행 중인 네트워크에 존재한다는 증거가 아니다.
  • 신뢰할 수 있는 인텐트 기반 시스템은 검증된 인텐트와 관측된 운영 상태라는 두 기록을 하나로 합치지 않고 보존해야 한다. 어슈어런스(assurance)는 두 기록을 시간에 걸쳐 비교하고, 드리프트를 탐지하고, 불확실성을 드러내며, 한정된 권한 안에서 수정하거나 롤백하거나 결정을 사용자에게 돌려보낸다.

분석

너무 일찍 도착한 성공 접수증

실제로 보고된 사건이 아니라 예시적 실패를 상정해 보자. 권한 있는 운영자가 중요 서비스를 지원하는 모든 경로는 보호를 유지해야 한다고 명시한다. 인텐트 기반 시스템은 요청을 명확화하고, 수용하고, 행동 방침을 선택한다. 장치들은 그 결과 변경을 확인 응답한다. 인터페이스는 성공을 표시한다. 이후 토폴로지 변화가 대체 경로를 제거한다. 수용된 문장은 그대로이지만, 네트워크는 더 이상 그 결과를 제공할 수 없다.

첫 번째 접수증은 요청이 시스템에 들어왔다는 사실을 증명한다. 두 번째는 시스템이 요청을 형식에 맞다고 판단했다는 증거일 수 있다. 장치의 확인 응답은 특정 작업이 수용되었다는 증거가 될 수 있다. 그러나 그 어떤 기록도 지속되는 보호를 보여주지 못한다. 빠진 사실은 다른 곳에 있다. 지금 존재하는 토폴로지, 부하, 장애 조건 하에서 관측된 포워딩 행동이다.

이 분리가RFC 9315에서 가장 유용한 규율이다. 이 문서는 인텐트를, 구현 방법을 특정하지 않고 선언적으로 표현된 운영 목표와 결과로 정의한다. 그리고 인텐트 기반 기능을 이행(fulfilment)과 어슈어런스로 나눈다. 이행은 목표를 실현 쪽으로 이동시킨다. 어슈어런스는 네트워크가 실제로 그에 부합하는지를 묻는다.

Jeff Tantsura는 Alexander Clemm, Laurent Ciavaglia, Lisandro Zambenedetti Granville와 함께 저자 네 명 중 한 명이다. 이 문서는 2022년 10월에 Internet Research Task Force의 Network Management Research Group이 낸 Informational 문서로 발행되었으며, Internet Standards Track 사양이 아니다. 여기서의 가치는 개념적 정밀성이며, 어떤 제품·운영자·배치가 이 비전을 달성했다는 증거가 아니다.

Tantsura의IETF Datatracker 프로필은 그의 문서화된 참여와 더 넓은 RFC 기록을 확인해 준다. 그렇다고 그가 인텐트 기반 네트워킹의 발명자이거나 통제자가 되는 것은 아니다. 이 메커니즘은 공동 연구 작업에 속하며, 그 운영상 주장은 발행물이 멈추는 지점에서 멈춰야 한다.

목표, 규칙, 서비스, 설정은 서로 다른 대상이다

RFC 9315는 인텐트를 동의어처럼 취급되는 용어들과 분리하는 데 상당한 노력을 쓴다. 서비스 모델은 서비스와 그 매개변수를 표현한다. 정책은 흔히 이벤트, 조건, 행동을 통해 행동을 규율하는 규칙을 제공한다. 장치 설정은 구체적 상태를 지정한다. 인텐트는 기대 결과를 진술하되 방법은 열어둔다.

이 구분이 중요한 이유는 각 대상이 서로 다른 권한을 갖기 때문이다. 운영자는 보호된 서비스를 요구할 권한은 있을 수 있지만 모든 인터페이스 명령을 규정할 권한은 없을 수 있다. 정책 엔진은 정의된 범위 안에서 행동을 선택할 수 있지만 결과를 재정의할 수는 없다. 장치는 그 설정이 어떤 고객 약속이나 운영 목적에 부합하는지 모른 채 설정을 수용할 수 있다.

이 계층들을 무너뜨리면 거짓 확신이 생긴다. 시스템이 모든 노스바운드 요청을 "인텐트"라고 부르면, 편리한 API가 수명 주기 기능으로 판매될 수 있다. 수용된 구성을 "이행됨"이라고 부르면, 컨트롤 플레인이 데이터 플레인이 말하기 전에 자기 작업에 점수를 매길 수 있다. 서비스 인스턴스를 목표 그 자체로 취급하면, 시스템은 그 대상이 제공하려던 결과를 잃은 채 대상 자체를 보존할 수 있다.

RFC는 이 수사학적 위험을 "인텐트 워싱(intent-washing)"이라 부른다. 이 경고는 용어 논쟁 그 이상이다. 추상화가 운영상 가치를 얻으려면, 권한 있는 결과로부터 모든 후속 결정을 거쳐 관측된 행동까지, 그리고 다시 돌아오는 대응 관계를 보존해야 한다. 인터페이스 이름을 바꾼다고 이 사슬이 만들어지지 않는다.

융합되어서는 안 되는 두 진실

RFC 9315의 한 원칙은 단일 진실 공급원(Single Source of Truth, SSoT)이다. 이 맥락에서 SSoT는 검증된 인텐트 표현들의 집합이다. 그것은 시스템이 기대 상태로 수용한 것에 대한 진실의 원천이다. 패킷, 경로, 서비스가 지금 무엇을 하는지에 대한 진실의 원천이 아니다.

문서는 의도 상태와 실제 상태를 비교할 수 있도록 운영 상태 기록을 SSoT 옆에 둔다. 드리프트가 존재하는 이유는 정확히, 의도 기록은 안정적으로 남아 있을 수 있지만 행동은 그로부터 멀어질 수 있기 때문이다. 인텐트 데이터베이스가 현실을 자동으로 인증한다면 비교는 사라지고 가장 중요한 실패는 설계상 관측 불가능해진다.

따라서 수용된 각 진술의 출처와 버전이 중요하다. 누가 제공했는가? 그 주체는 어떤 권한을 갖고 있었는가? 어떤 범위, 제약, 트레이드오프가 수용되었는가? 어떤 모호성이 명확화되었는가? 어떤 경쟁 인텐트가 조정되었고 누가 조정했는가? 진술은 언제 효력을 갖게 되었고, 만료되거나 철회될 수 있는가? 이런 사실들이 기대 상태를 검토 가능하게 하되, 그것이 스스로 실행된다고 가장하지 않게 한다.

운영 증거에는 그 자체의 출처(provenance)가 필요하다. 지연 시간 샘플은 하나의 경로, 시각, 관측 지점을 커버한다. 한 지점에서 본 도달 가능성이 다른 지점을 설명하지 못할 수 있다. 장치 상태가 신선하더라도 그로부터 만든 서비스 수준 추론은 불완전할 수 있다. 어슈어런스 판정은 검증한 술어, 증거 시간 창, 커버되지 않은 영역, 비교에 붙은 신뢰도를 보여줘야 한다.

Sofia Ren은 여기서 Lu Heng의 러닝 코드(running code) 규율을 분석적 렌즈로 적용한다.Running-Code Betrayal과 그의옹호가 아니라 현실이 제품이어야 한다는 공개 주장은 좁은 검증 기준을 뒷받침한다. 선언이 현실을 이끌 수는 있지만 현실의 관측을 대체할 수는 없다. 이 비교는 Ren의 해석이며, RFC 저자들의 사적 의도를 주장하지 않는다.

한 번의 터치는 한 번의 발사가 아니다

RFC 9315는 사용자가 인텐트를 한 번 표현하고 시스템이 이후 작업을 처리하는 이상을 기술한다. 그러나 곧바로 이 슬로건을 제한한다. 원 터치(one touch)를 원 샷(one shot)과 혼동해서는 안 된다. 유용한 요청은 누락된 매개변수, 암묵적 가정, 경쟁하는 목표로 시작할 수 있다. 정제는 대화, 트레이드오프 설명, 명시적 사용자 선택을 필요로 할 수 있다.

운영자가 최대 활용도와 보호된 경로를 둘 다 요청한다고 하자. 용량 부족 상황에서 둘 다 달성 불가능할 수 있다. 시스템은 대안을 계산하고 결과를 노출할 수 있다. 더 세심하게 최적화한다고 해서 조직이 어떤 손실을 수용할 권한이 있는지 발견할 수는 없다. 대안들이 운영적·경제적 손실을 서로 다르게 배분할 때, 충돌 해결은 숨겨진 엔지니어링 디테일이 아니다.

명확화 기록은 책임성의 일부가 된다. 후일 검토자는 사용자가 제공한 제약과 시스템이 추론한 제약을 구별할 수 있어야 한다. 추론된 값이 확인되었는지, 대안이 기각되었는지, 그 주체가 그 트레이드오프를 할 권한이 있었는지도 볼 수 있어야 한다. 자연어는 상호작용을 쉽게 만들 수 있지만, 권한을 암묵적으로 만들지는 않는다.

이행은 사슬이지 결과를 뜻하는 단어가 아니다

RFC는 이행을 수집(ingestion), 번역(translation), 오케스트레이션으로 나눈다. 수집은 기대 결과를 인식하고 정제한다. 번역은 관리 및 구성 시스템을 위한 의미 있는 행동 방침을 선택한다. 오케스트레이션은 이를 수행하는 데 필요한 하위 수준 작업을 조율한다.

각 전이는 의미를 보존하거나 잃을 수 있다. 번역은 여러 경로 계산 중 하나를 선택할 수 있다. 그 입력은 오래된 토폴로지, 사용 불가능한 자원, 불완전한 의존성 뷰를 담을 수 있다. 오케스트레이션은 부분적으로 성공할 수 있어 한 도메인만 바뀌고 다른 도메인은 그대로 남을 수 있다. 장치 확인 응답은 수신은 확인하면서 서비스 효과에 대해서는 거의 말해주지 않을 수 있다.

따라서 견고한 기록은 수용된 인텐트 버전을 선택된 해석, 가정, 대상 항목, 정렬된 작업, 부분 실패에 묶어야 한다. 그 기록이 목표를 진술한 사람에게 모든 하위 수준 설정값을 노출할 필요는 없다. 그러나 권한 있는 검토자가 시스템이 왜 자기 작업이 요청된 결과를 낼 수 있다고 믿었는지 재구성할 수 있어야 한다.

자동화는 오류의 시간 규모를 바꾼다. 사람은 한 장치를 천천히 잘못 구성할 수 있다. 고수준 시스템은 모호하거나 오염된 진술을 여러 도메인에 걸쳐 빠르게 반영할 수 있다. 그래서 RFC 9315의 보안 논의는 체크포인트, 안전장치, 오류 증폭의 방지 또는 억제 방법을 요구한다. 추상화는 수작업을 줄이는 동시에 검토되지 않은 추론의 반경을 넓힌다.

어슈어런스는 주장이 네트워크와 만나는 지점이다

어슈어런스는 모니터링과 관측에서 시작한다. 이벤트, 측정값, 성능 증거, 텔레메트리를 수집한다. 컴플라이언스 평가는 그 관측된 행동을 수용된 인텐트에서 기대되는 행동과 비교한다. 이 비교는 이행 작업이 기대 효과를 냈는지, 그 효과가 얼마나 컸는지 검증할 수 있다.

"지속적으로"라는 말은 낭만화되어서는 안 된다. 어떤 관측도 모든 패킷이나 미래 조건을 커버하지 못한다. 증거는 지연, 표본 선택, 사각지대를 동반한다. 어슈어런스 시스템은 부분적 뷰를 무조건적 컴플라이언스로 바꾸는 대신 이 한계를 표현해야 한다. 증거의 시간, 범위, 술어 없는 초록 상태는 미학이지 증명이 아니다.

인텐트 드리프트는 초기 성공 이후 생길 수 있다. 하위 수준 관리 작업, 컨트롤 플레인 변경, 자원 장애, 새로운 경쟁 목표가 행동을 수용된 결과에서 멀어지게 할 수 있다. 드리프트 기록은 불일치가 처음 관측된 시각, 그 심각도, 노출된 서비스와 사용자, 자동 대응을 정당화할 만큼 신뢰도가 충분한지를 보여줘야 한다.

수정 조치에도 고유한 경계가 있다. 시스템은 승인된 자원 범위 안에서 사라진 경로를 복구하는 것이 허용될 수 있다. 그러나 용량을 사들이거나, 지리적 제약을 위반하거나, 암호화를 약화시키거나, 다른 고객의 보호를 밀어내는 것은 권한이 없을 수 있다. 수정이 새로운 트레이드오프를 요구할 때, 어슈어런스는 인텐트를 조용히 다시 쓰는 대신 상위로 에스컬레이션해야 한다.

두 루프, 두 종류의 권한

RFC 9315는 안쪽 루프와 바깥쪽 루프를 그린다. 안쪽 루프는 모든 작업에 사람이 참여하지 않고도 네트워크 상태를 모니터링, 평가, 조정할 수 있다. 그것이 자동화 루프다. 바깥쪽 루프는 증거와 결과를 사용자에게 돌려보내고, 사용자는 기대 결과를 정제, 수정, 철회할 수 있다.

이 두 루프를 하나의 전능한 컨트롤러로 합쳐서는 안 된다. 안쪽 루프는 명시된 경계 안에서 행동할 만큼의 권한과 작동했는지 알 만큼의 증거를 필요로 한다. 바깥쪽 루프는 엔지니어링이 결정할 수 없는 문제, 즉 기대 결과, 제약, 수용된 트레이드오프를 바꿀지에 대한 결정을 보존한다.

인텐트에는 수명 주기도 있다. 생성되고, 변경되고, 끝날 수 있다. 철회는 행정적 정리가 아니다. 강력한 목표를 수용하면서 그 집행을 안정적으로 멈출 수 없는 시스템은 임시 지시를 내구성 있는 통제의 원천으로 바꾸어 버린다. 따라서 버저닝, 효력 시점, 소유권, 철회는 운영 속성이다.

RFC 3935에 담긴 IETF 미션은 유용한 인접 경계를 준다. 엔지니어링 작업은 자발적 채택과 러닝 코드로 검증된다. RFC 9315는 IETF 표준 스트림이 아니라 IRTF에서 나왔지만, 같은 인식론적 절제가 적용된다. 발행된 개념은 하나의 시험을 조직할 수 있다. 그 시험 결과를 발표하는 것은 아니다.