요약

  • 구체적인 위험은 조합성(compositional)에 있습니다. 각 복구 지점이 서로 다른 장애 관측을 근거로 행동하면, 국지적으로는 합리적인 두 개의 패스트 리루트 결정이 전달 루프를 형성할 수 있습니다. 이에 따라RFC 9791 섹션 2.1은 FRR에 의해 이미 우회된 패킷에 표시를 하여 추가 FRR을 적용하지 않도록 하는 방안을 기술합니다.
  • 그러한 마커는 위임된 거부권(delegated veto)으로 이해하는 것이 가장 적절합니다. 최초의 Point of Local Repair는 단순히 이력을 기록하는 것이 아니라, 하류 노드에게 다른 복구를 시도하는 대신 표시된 패킷을 폐기하도록 우선권을 부여하도록 요청하는 것입니다. 그 결정은 토폴로지, 장애 모델, 능력(capability) 및 신뢰 가정에 상대적으로만 안전합니다.
  • 표준 상태가 중요합니다.RFC 9791은 정보성(Informational) 사용 사례 문서이며, 아래에서 다루는 NFFRR 전용 인터넷 드래프트들은 만료되었습니다.RFC 9994는 일반적인 인스택(in-stack) MNA 기반을 표준화할 뿐, 최종 확정된 NFFRR 액션을 정의하지 않습니다.
  • 가용성 트레이드오프는 양방향으로 작용합니다. 정확한 제한(restraint) 표시는 루프에서 반복 복구가 공유 용량을 소모하는 것을 막을 수 있습니다. 반면 거짓, 부실(stale) 또는 위조된 표시는 성공했을 수 있는 복구를 억제할 수 있습니다. 따라서 운영상의 질문은 단순히 마커의 존재 여부가 아니라, 누가 삽입했는지, 어떤 가정에 근거했는지, 그리고 패킷이 폐기된 후 어떤 증거가 남는지입니다.

합리적인 두 복구가 루프로 조합될 수 있다

가장 명확한 예는 만료된 개인 인터넷 드래프트draft-kompella-mpls-nffrr-04에서 나옵니다. 그 문서의 EVPN 액티브-액티브 예제에서는 고객 에지(CE) 장비 하나가 두 개의 프로바이더 에지(PE) 접속을 가집니다. CE에 도달할 수 없게 되면 PE2는 자신의 접속이 실패했다고 판단하고 트래픽을 PE3 쪽으로 우회시킵니다. PE3 역시 자신의 접속이 실패했다고 판단하여 트래픽을 다시 PE2 쪽으로 되돌립니다. PE2는 여전히 자신의 장애를 보고 PE3 쪽으로 다시 복구시킵니다. 국지적으로 합리적인 두 결정이 결합되어 전달 루프가 형성된 것입니다.

이 예제는 측정된 운영 사고의 증거가 아니라 표준 문서의 예제라는 점에서 중요합니다. 검토된 자료는 관측된 NFFRR 사고율, 벤더 보급률, 상호운용성 성공률 또는 정량화된 손실 결과를 입증하지 않습니다. 이는 장애 메커니즘을 확립할 뿐입니다.

RFC 9791 섹션 2.1은 그 메커니즘을 일반화합니다. FRR이 패킷을 한 장애 지점에서 우회시킨 이후, 같은 패킷에 영향을 주는 두 번째 FRR은 TTL이 만료될 때까지 LSR 사이에서 반복적인 전달을 일으켜 혼잡과 추가 패킷 손실을 유발할 수 있습니다.RFC 3443에서 기술하듯 MPLS TTL 처리는 전달 수명에 유한한 상한을 제공하지만, TTL 만료는 종료 조건일 뿐 루프가 존재하는 동안 용량을 보호하기 위한 정책이 아닙니다.

따라서 제안된 제한은 개념적으로 단순합니다. 이미 FRR을 거친 트래픽에 표시를 하고, 다른 FRR 동작을 차단하는 것입니다. 만료된 드래프트의 예제에서는 이후의 복구 지점이 표시를 확인하고 다시 우회시키는 대신 패킷을 폐기합니다.

바로 이 지점에서 전달 메커니즘이 책임 경계로 변합니다.

마커는 증명이 아니라 위임된 거부권이다

추가 복구 금지(no-further-repair) 표시를 삽입하는 최초의 PLR은 "여기서 FRR이 발생했다"는 것 이상을 주장합니다. 그것은 부정적 결정을 하류에 위임하는 것입니다. 다른 보호 대상 자원이 실패하더라도, 이 패킷에 대해서는 또 하나의 로컬 탈출 경로를 시도하지 말라는 것입니다.

그렇다고 모든 두 번째 FRR이 루프를 만든다는 증명은 아닙니다. 폐기가 항상 더 안전하다는 증명도 아닙니다. 그것은 최초 복구 지점이 어떤 가정된 토폴로지와 장애 모델 하에서, 추가 로컬 복구가 감당할 수 없는 루프 위험을 내포한다고 판단했다는 의미입니다.

이 구분이 중요한 이유는 FRR의 안전성이 언제나 토폴로지와 보호 대상 장애에 대한 가정에 의존해 왔기 때문입니다.RFC 5286은 루프 프리 얼터네이트(loop-free alternate)의 안전성을 토폴로지와 예상 장애 모델에 의존하는 것으로 기술하며, 얼터네이트가 보호하도록 계산된 범위보다 광범위한 장애는 그 가정을 무효화할 수 있습니다.RFC 7490역시 별개의 복구 결정이 상호작용하여 루프를 형성할 수 있는 사례를 논의합니다.

다른 FRR 표준들은 최초 로컬 복구가 어떻게 구성되는지를 기술할 뿐, 미래의 NFFRR 표시가 무엇을 의미하는지는 다루지 않습니다.RFC 4090은 RSVP-TE 패스트 리루트 맥락을 제공하고,RFC 9855는 PLR과 가정된 보호 장애를 중심으로 TI-LFA 복구 동작을 정의합니다. 어느 쪽도 NFFRR 의미론의 근거가 아닙니다.

따라서 거버넌스 질문은 "어떤 라우터가 장애를 먼저 감지하는가?"보다 더 좁습니다. 어떤 조건에서 그 라우터가 이후의 전달 노드들을 거부 결정에 구속할 수 있는가입니다.

능력과 신뢰가 결정의 일부다

만료된 NFFRR 드래프트는 하나의 즉각적인 제약을 인식하고 있었습니다. 최초 PLR은 경로상의 관련 LSR들이 그 표시를 올바르게 처리할 수 있다는 것을 알고 있는 경우에만 표시를 삽입해야 한다고 기술합니다. BGP, targeted LDP, IS-IS, OSPF를 활용한 능력(capability) 분배 방식에 대한 제안은 미완성 상태였고, 해당 개인 드래프트는 현재만료되어 아카이브되어 있습니다.

그 주의는 더 넓은RFC 9789 MNA 프레임워크와 일관됩니다. RFC 9789는 액션 정의가 자신의 표시자(indicator), 범위(scope), 처리 및 상태 효과, 그리고 다른 액션과의 상호작용을 기술하도록 요구하면서, 캡슐화 노드가 예상되는 프로세서들이 관련 MNA 자료를 처리할 수 있는지 이해할 책임을 부과합니다. 시그널링 메커니즘 자체는 그 프레임워크의 범위 밖입니다.

신뢰 문제 역시 마찬가지로 직접적입니다. 만료된 NFFRR 드래프트는 악의적이거나 침해된 LSR이 거짓 표시를 삽입하여, 그렇지 않았다면 보호될 수 있었던 장애에 대한 FRR을 차단할 수 있다고 경고합니다. 이는 마커를 가용성 제어 표면으로 만듭니다. 공격자는 적법한 전달 메커니즘이 경로를 거부하도록 만들 수 있다면, 전달 경로를 발명할 필요가 없습니다.

그 우려는RFC 5920의 MPLS/GMPLS 보안 프레임워크가 기술한 오래된 MPLS 신뢰 문제의 범주에 속합니다. MNA에 더 구체적으로는,RFC 9994는 MNA를 프로바이더 도메인에 배포하기 전에, 서로 다른 행정 관할 하의 도메인에서 들어오는 MNA를 필터링할 수 있도록 MPLS 도메인 경계를 요구합니다.

따라서 정당한 제한 결정은 패킷 문법 이상에 의존합니다. 삽입 노드의 권한, 그 결정 뒤에 있는 토폴로지 및 장애 가정의 신선도, 예상되는 하류 노드들이 표시를 의도대로 해석할 것이라는 증거, 그리고 행정 경계에서의 출처(provenance) 통제에 의존합니다.

표준 경계는 선택 사항이 아니다

2025년 7월에 발행된RFC 9791은 정보성(Informational) 문서입니다. 섹션 2.1은 No Further Fast Reroute 사용 사례를 기술하지만, 그 문서는 명시적으로 사용 사례 계층에 위치합니다. 그 자체로 완전한 NFFRR 액션 정의, 최종 확정된 할당, 또는 상호운용 가능한 구현의 증거를 제공하지 않습니다.

이전의 MNA 전용 제안인draft-li-mpls-mna-nffrr-01은 Hop-by-Hop 및 Select 범위, 부수 데이터 없음(no ancillary data), 그리고 TBA 플래그 비트를 제안했습니다. 그 문서는 만료되었으며, 그 플레이스홀더는 현재의 할당이 아닙니다.

더 오래된draft-kompella-mpls-nffrr-04는 다른 기반 기술을 사용했고 2024년 4월에 만료되었습니다. 그 EVPN, Resilient MPLS Ring 및 일반 MPLS 예제들은 문제를 이해하는 데 여전히 유용하지만, 현재의 프로토콜 상태로 승격되어서는 안 됩니다.

2026년 6월에 RFC 9789를 갱신하는 제안 표준(Proposed Standard)으로 발행된RFC 9994는 주변 표준 지형을 바꾸지만 그 공백을 메우지 않습니다. 그 문서는 일반적인 인스택 MNA 인코딩과 범위를 정의합니다. NFFRR을 정의하지 않습니다.

RFC 9994는 또한 노드가 알 수 없는 네트워크 액션을 만났을 때의 일반 동작을 정의합니다. U=0이면 건너뛰고, U=1이면 패킷을 폐기하며, 카운터를 유지하고, 선택적으로 속도 제한된 알림을 발행합니다. 그것은 알 수 없는 액션에 대한 동작이지, NFFRR 액션을 올바르게 인식하고 처리하는 미래 노드의 의미론이 아닙니다. 둘을 혼동하면 표준화되지 않은 액션 정의를 일반적인 오류 경로로 대체하게 됩니다.

할당 기록 역시 마찬가지로 한정되어 있습니다. 2026년 9월 20일에 검토한IANA MPLS Network Actions 레지스트리스냅샷에서, "Network Action Flags Without Ancillary Data" 레지스트리에는 등록이 없었고 따라서 NFFRR 항목도 없었습니다. 그 시점의 공개 스냅샷은 비공개 실험이나 공개되지 않은 구현 작업에 대해서는 아무것도 말하지 않습니다.

마커와 현실이 어긋날 때

정확한 마커는 보호적일 수 있습니다. 최초 복구가 트래픽을, 또 하나의 로컬 복구가 그것을 최초 복구 지점 쪽으로 되밀어낼 조건으로 옮겨 놓았다면, 제한은 잠재적으로 반복되는 전달 이벤트를 유한한 폐기로 전환시킵니다. 따라서 링크와 인접 트래픽을 루핑 패킷이 발생시키는 혼잡으로부터 보호할 수 있습니다.

거짓 마커는 가용성 논리를 뒤집습니다. 다른 실현 가능한 복구가 존재할 수 있음에도 패킷은 복구를 거부당합니다. 만료된 NFFRR 드래프트는 악의적이거나 침해된 LSR의 경우를 명시적으로 지목합니다. 거짓 표시는 불필요한 패킷 손실을 만들 수 있습니다.

부실(stale)한 마커는 관련되어 있지만 운영상으로는 다른 장애입니다. 패킷은 더 이상 다음 복구 지점이 마주하는 상태와 일치하지 않는 토폴로지, 능력 뷰 또는 가정된 장애 모델 하에서 표시되었을 수 있습니다. 여기서 "부실"은 NFFRR에 대해 RFC가 정의한 타이머가 아닙니다. 최초 PLR의 거부권을 뒷받침하는 증거가 그 거부권이 적용되는 전달 상황을 더 이상 기술하지 않게 될 때 생기는 거버넌스 문제입니다.

마커의 부재는 제한을 제거합니다. 그렇다고 루프가 반드시 형성되는 것은 아닙니다. 두 번째 복구는 안전할 수 있기 때문입니다. 그것은RFC 9791에 기술된 다중 FRR 루프에 대한 특정 보호가 존재하지 않는다는 의미입니다.

위조된 마커는 특히 행정 경계에서 출처(provenance) 문제를 제기합니다. 오해된 마커는 능력 문제를 제기합니다. 혼합 환경에서는 알 수 없는 액션이 일반적인RFC 9994처리에 따라 건너뛰어지거나 폐기되는 경우, 관련 표시가 예상된 위치에서 보이지 않는 경우, 또는 레거시 동작이 의도된 의미론을 제공하지 못하는 경우가 가능합니다. 그러한 가능성은 능력과 배치를 입증해야 할 이유이며, 특정 배포가 그런 사례를 보인다는 증거가 아닙니다.

따라서 가용성 목표는 비대칭적입니다. "가능할 때마다 복구"는 국지적 시도를 최대화하지만 나쁜 복구 조합을 증폭시킬 수 있습니다. "두 번 다시 복구하지 않음"은 그 조합을 억제하지만 유효한 복구 기회를 파괴할 수 있습니다. 유용한 NFFRR 정책은 그 극단 사이에서 자신의 위치를 정당화해야 합니다.

제안: FRR 제한 영수증

BTW의 편집 제안은FRR 제한 영수증(FRR-restraint receipt)입니다. 이는 RFC 요구 사항이 아니며 MNA 인코딩과 혼동되어서는 안 됩니다. 추가 복구를 억제하는 결정에 대한 운영 책임 기록입니다.

각 제한 이벤트 또는 정책 활성화에 대해 영수증은 다음을 보존해야 합니다.

  • 영향을 받는 서비스 또는 패킷 클래스
  • 최초 장애 관측, 그리고 도달했다면 두 번째 장애 관측
  • 최초 PLR과 그것이 적용한 복구 방법
  • 복구를 정당화한 데 사용된 토폴로지 스냅샷 또는 버전, 그리고 가정된 장애 모델
  • 마커 또는 액션 식별자, 그것의 범위, 삽입 지점 및 관련 스택 배치
  • 예상되는 프로세서들이 표시를 인식하고 처리할 수 있다고 결론짓는 데 사용된 능력 증거
  • 도메인 경계 출처(provenance) 및 필터링 상태
  • 표시에 대한 하류 인식 여부와 패킷의 최종 처리 결과
  • 카운터와 그 이벤트와 관련하여 관측된 혼잡 또는 손실
  • 제한을 승인할 책임이 있는 정책 소유자, 그리고 검토 또는 만료를 유발하는 조건

그 목적은 모든 패킷을 감사 대상으로 만드는 것이 아닙니다. 나중에 운영자가 폐기에 대한 서로 매우 다른 네 가지 설명을 구분할 수 있을 만큼 충분한 증거를 보존하는 것입니다. 제한이 의도대로 작동했거나, 제한 결정이 잘못된 장애 모델에 근거했거나, 표시가 예상대로 처리되지 않았거나, 또는 무권한 출처가 복구 억제를 일으켰다는 것입니다.

RFC 9994는 액션별 카운터, 알 수 없는 액션 폐기 및 건너뛰기 카운터, 알림, 사후(post-mortem) 로깅을 논의함으로써 이미 유용한 일반 운영 기반을 제공합니다. 영수증 제안은 일반 카운터만으로는 공급할 수 없는 책임 맥락을 추가합니다.

출처