요약

  • RFC 7067, RFC 8171, RFC 8302, RFC 8380은 일부 알 수 없는 유니캐스트 및 ARP/ND 플러딩을 디렉터리 응답으로 대체합니다. 그 절감 효과는 완전한 지식과 불완전한 지식, 긍정 응답과 부정 응답, 최신 상태와 캐시된 상태 사이의 구분을 유지하는 데 달려 있습니다.
  • 디렉터리는 도달 가능성 주장을 전송할 뿐, 그 주장의 진실을 만들어 내지는 않습니다. 출처, 신뢰도, 수명, 갱신 처리, 이동성 관찰, 채널 보안은 별개의 책임으로 남으며, 더 강한 의존은 거짓 응답의 비용을 키웁니다.

분석

장비를 통과해 살아남은 응답

어려운 실패는 응답을 거부하는 디렉터리가 아닙니다. 세상이 이미 움직여 간 뒤에도 자신 있게 응답하는 디렉터리입니다. 가상 머신이 랙을 옮깁니다. IP와 MAC 주소는 여전히 익숙하지만, 그 머신에 도달할 수 있는 이그레스 RBridge가 바뀝니다. 이전 매핑을 캐시한 클라이언트는 여전히 유효한 문법과 쓸모없어진 도달 가능성을 동시에 갖고 있습니다.

플러딩은 무지를 주변 네트워크에 묻는 방식으로 다룹니다. 디렉터리는 더 경제적인 거래를 제안합니다. 한 번만 물어보거나 매핑을 미리 받아서 직접 보내는 것입니다. 반복되는 알 수 없는 유니캐스트, ARP, IPv6 Neighbor Discovery 트래픽의 감소는 데이터 센터가 커질수록 의미가 있습니다. 그러나 이 최적화는 분산된 질문을 하나의 기록에 대한 의존으로 바꿉니다. 이제 그 기록에는 출처, 범위, 완전성에 대한 진술, 만료, 그리고 정정 경로가 필요합니다.

Linda Dunbar는 이 거래를 유난히 선명하게 보여 주는 네 개 문서의 연작에 등장합니다. 그녀는RFC 7067을 Donald Eastlake, Radia Perlman, Igor Gashinsky와,RFC 8171을 Donald Eastlake 3rd, Radia Perlman, Yizhou Li와,RFC 8302를 Yizhou Li, Donald Eastlake 3rd, Radia Perlman, Muhammad Umair와, 그리고RFC 8380을 Donald Eastlake 3rd, Radia Perlman과 공동 저술했습니다. 이는 집단적 IETF 작업이지 개인의 발명이 아닙니다. 그녀의Datatracker 기록은 참여의 귀속을 뒷받침할 뿐, 프로토콜이나 그 결과물의 소유권을 뒷받침하지 않습니다.

이 연작에는 서로 다른 권위 수준도 있습니다. 2013년 11월에 발표된 RFC 7067은 Informational이며 인터넷 표준 트랙 사양이 아니라고 명시합니다. RFC 8171, RFC 8302, RFC 8380은 2017년 6월부터 2018년 5월까지 발표된 Standards Track 문서입니다. 문제 프레임워크, 프로토콜 메커니즘, 배포된 결과물은 서로 바꿔 쓸 수 없는 근거이므로 이 지위들을 분리해 두는 일이 중요합니다.

Push, Pull 그리고 부재의 의미

RFC 7067은 두 모델을 제시합니다. Push Directory는 주소와 위치의 대응 정보를 관심 있는 TRILL 스위치에 미리 배포합니다. Pull Directory는 스위치가 모르는 주소를 만났을 때 응답합니다. 클라이언트는 Pull 응답을 캐시할 수 있으며, 이후의 플러딩과 질의를 보관한 답에 대한 신뢰로 교환합니다.

중요한 구분은 단순히 Push 대 Pull이 아니라 완전한 지식 대 불완전한 지식입니다. 커버리지가 불완전한 디렉터리는 어떤 주소에 대한 기록이 없다고 진실하게 말할 수 있지만, 그것은 "여기서는 알 수 없음"이지 "엔드포인트가 존재하지 않는다"는 뜻이 아닙니다. Data Label 안의 모든 관련 엔드포인트를 실제로 커버하는 디렉터리만이 더 강한 부정적 주장을 할 수 있습니다.

RFC 8171은 이 구분에 운영상의 힘을 부여합니다. 완전한 매핑 정보가 push되었다면 인그레스 RBridge는 부재하는 유니캐스트 목적지로 향하는 트래픽을 플러딩하는 대신 폐기할 수 있습니다. 완전성 주장이 틀렸다면 같은 최적화가 도달 가능한 트래픽을 버립니다.

따라서 완전성은 장식적 메타데이터가 아닙니다. 그것은 수신자에게 허용되는 행동을 바꿉니다. 긍정 응답은 프레임을 유도할 수 있습니다. 완전한 출처의 부정 응답은 탐색을 억제할 수 있습니다. 불완전한 출처의 부정 응답은 불확실성을 보존해야 합니다. 이 상태들을 하나의 "찾지 못함" 값으로 평탄화하는 시스템은 디렉터리 보조를 안전하게 만드는 바로 그 경계를 지웁니다.

RFC 8171은 또한 기록의 전송과 진실의 생산을 분리합니다. 프라이머리 서버는 신선함을 보장하도록 설계된 신뢰할 수 있는 메커니즘을 통해 정보를 얻는 것으로 정의되지만, 그 메커니즘은 RFC의 범위 밖입니다. 세컨더리 서버는 프라이머리 서버로부터 데이터를 받을 수 있습니다. 프로토콜은 누가 답을 공급했는지 식별하고 일관되게 전달할 수 있지만, 오케스트레이션 데이터베이스가 이동을 감지했는지, 운영자가 올바른 접속 지점을 입력했는지 증명할 수는 없습니다.

캐시는 기한이 붙은 약속이다

Pull 응답이 작업을 절약하는 이유는 클라이언트가 그것을 보관하기 때문입니다. 그 경제성은 두 번째 상태 체계를 만듭니다. 서버는 최신 데이터를 갖고 있지만 하나 이상의 클라이언트가 여전히 이전의 긍정 또는 부정 응답을 들고 있을 수 있습니다. RFC 8171은 0이 아닌 수명을 사용하는 Pull 서버에게, Update 메시지를 통해 클라이언트가 낡은 정보를 계속 쓰는 시간을 최소화하는 조치를 요구합니다.

이 문서는 세 가지 수준의 기록 보관을 정의합니다. 가장 덜 구체적인 수준에서 서버는 Data Label별로 집계된 만료를 기억하고, 무언가 바뀔 때 넓은 캐시 응답 그룹을 플러시해야 할 수 있습니다. 가장 구체적인 수준에서는 어떤 클라이언트가 어떤 긍정 또는 부정 결과를 언제까지 들고 있을지 추적하여 더 큰 저장과 조율 비용을 치르고 정확한 정정을 가능하게 합니다. 중간 방식은 이 두 부담 사이에서 절충합니다.

이것은 단순한 구현상의 정비가 아닙니다. 클라이언트가 부정 응답을 캐시한 뒤 이전에 없던 엔드포인트가 생성되었다고 해 보십시오. 그 부정 상태가 무효화되지 않으면, 디렉터리가 이제 그 존재를 알고 있음에도 새 머신은 그 클라이언트에게 도달 불가능한 채로 남습니다. 긍정 응답이 캐시된 뒤 머신이 이동했다면, 응답이 만료되거나 갱신이 도착할 때까지 트래픽은 예전 접속 지점을 따라갑니다. RFC 8171은 메커니즘을 따르더라도 짧은 낡음 구간이 남을 수 있음을 인정합니다.

따라서 수명은 의존에 대한 한정된 허가이지, 계속되는 진실의 증명서가 아닙니다. 긴 수명은 질의와 갱신 압력을 줄이지만 이동성이 응답을 무효화할 수 있는 구간을 넓힙니다. 짧은 수명은 더 많은 제어 트래픽과 서버 작업을 요구하지만 정정을 빠르게 만듭니다. 올바른 값은 환경에 따라 다르며, 프로토콜 준수만으로 추론할 수 없습니다.

신뢰도는 권위가 아니다

RFC 8302는 디렉터리 상태를 ARP/ND 최적화로 가져옵니다. RBridge는 관리, 디렉터리, 기타 제어 평면 메커니즘, 그리고 데이터 평면 관찰로부터 IP/MAC/Data Label 바인딩을 만들 수 있습니다. 이 출처들은 반드시 일치하지는 않습니다. RFC의 신뢰도 수준 기능은 구현이 이들의 설정된 상대적 신뢰성을 표현하고 충돌을 중재할 수 있게 합니다.

그 기능은 의도적으로 국소적입니다. 사양은 디렉터리 정보가 항상 관찰된 패킷을 이긴다거나 최근 도착이 항상 옳다고 선언하지 않습니다. 운영자는 완전하고 보호된 오케스트레이션 데이터를 위조 가능한 ARP보다 강한 것으로 볼 수 있습니다. 다른 환경에서는 디렉터리 커버리지가 불완전하고, 라이브 데이터 평면 학습이 필요한 정정을 공급할 수 있습니다. 신뢰도를 어떻게 매기는지는 구현이 결정합니다.

완전하고 신뢰할 수 있는 디렉터리 정보는 위조된 ARP나 ND 메시지가 일으키는 피해를 한정할 수 있습니다. 그러나 "완전"과 "신뢰 가능"은 확립해야 할 조건이지, 디렉터리라는 단어를 써서 만들어지는 혜택이 아닙니다. SEND 없이 이루어지는 데이터 평면 학습 자체가 위조 가능합니다. 디렉터리 모드는 신뢰 표면을 채워 넣기, 배포, 관리로 옮깁니다. 신뢰도 숫자는 그 선택을 보이게 만들 뿐, 그것을 정당화할 필요를 없애지 않습니다.

이동성이 실질적 시험을 제공합니다. RFC 8302는 로컬에서 학습된 동적 항목은 링크가 끊기면 제거해야 하고, 갱신되지 않으면 노화되어 사라져야 한다고 말합니다. 엔드 스테이션이 한 엣지 RBridge에서 다른 곳으로 이동하면, 새 위치가 예전 것을 대체해야 하고 원격 캐시가 갱신되어야 합니다. 디렉터리의 가치는 기록이 그 관찰된 전환을 얼마나 잘 따라가는지로 측정되지, 기록이 얼마나 중앙에 보관되는지로 측정되지 않습니다.

먼저 알수록 폭발 반경은 커진다

RFC 8380은 일부 non-RBridge 노드가 디렉터리 보조를 사용해 TRILL 트래픽을 원격 이그레스 RBridge 쪽으로 미리 캡슐화하도록 허용합니다. 수신자는 평소라면 목적지를 발견하거나 플러딩해야 하는 인그레스 RBridge에 일반 네이티브 프레임을 보내는 일을 피할 수 있습니다. 더 많은 지식이 원천 쪽으로 가까워지고, 일부 작업이 네트워크 엣지를 떠납니다.

보안 절은 이 거래에 대해 솔직합니다. 신뢰할 수 없는 보조 노드는 인그레스 또는 이그레스 닉네임과 내부 또는 외부 MAC 주소를 위조할 수 있습니다. TRILL 토폴로지에 대한 상당한 정보를 학습할 수도 있습니다. 공격자가 디렉터리 경로를 침해하면 거짓 매핑이 패킷을 잘못된 목적지로 보내고, 어떤 엔드 스테이션이 수신해야 하는지에 대한 정책을 위반할 수 있습니다. 디렉터리와 보조 노드 사이의 인증 및 암호화, 그리고 적절한 패칭, 구성, 최소 접근이 권고됩니다.

채널 보호는 필요하지만 충분하지 않습니다. 암호화는 거짓 매핑이 예상된 세션을 통해 왔음을 보여 줄 수 있지만, 그 매핑을 이동한 엔드포인트에 대한 올바른 기술로 바꾸지는 못합니다. 인증은 누가 말했는지에 답합니다. 완전성은 어떤 커버리지가 주장되었는지에 답합니다. 신뢰도는 수신자가 그 주장을 어떻게 서열화하는지에 답합니다. 수명은 얼마나 오래 보관될 수 있는지를 한정합니다. 라이브 포워딩 증거는 네트워크가 여전히 동의하는지에 답합니다. 이들은 서로 관련된 제어지 대체물이 아닙니다.

한정된 서비스로서의 디렉터리

Lu Heng이 이후 내놓은Minimum Initial Specification, Localized Future Decision, and Voluntary Adoption논지는 이 설계를 읽는 데 Sofia Ren에게 유용한 틀을 줍니다. 주소와 도달 가능한 위치를 조율하는 데 필요한 필드만 공유하십시오. 신뢰도 정책, 캐시 전략, 폴백, 리스크 수용은 결과를 부담하는 시스템 가까이에 두십시오. 이는 편집상의 비교이지 RFC 저자들의 개인적 의도에 대한 주장이 아닙니다.

같은 한계는Running-Code Primacy에도 나타납니다. 디렉터리 기록은 포워딩 시스템이 사용할 수 있기에 가치가 있습니다. 그 사용은 동시에 관찰된 운영을 최종 시험으로 만듭니다. 패킷, 이동성 이벤트, 엣지 상태가 기록과 모순된다면 기록은 정정되거나 만료되거나 우회되어야 합니다. 도달 가능성의 장부 담당자가 도달 가능성을 뒤엎을 권위를 얻을 수는 없습니다.

Linda Dunbar의 공동 저작 기록은 특정 배포가 이 기준을 충족했음을 증명하지 않습니다. 이 RFC들은 플러딩 감소, 캐시 정확도, 채택, 사고 예방에 대한 측정치를 제공하지 않습니다. 제공하는 것은 올바른 질문을 던지기 위한 규율된 어휘입니다. 출처는 완전한가? 누가 공급했는가? 어떤 클라이언트가 여전히 들고 있는가? 수신자의 신뢰도는 어느 정도인가? 이동 후 무엇이 바뀌었는가? 보호되었지만 틀린 응답을 대체할 수 있는가?

디렉터리는 네트워크를 대신해 응답할 수 있습니다. 그러나 네트워크가 되응답할 수 있어야 합니다.

출처