SR Policy의 유효 표시가 절반의 용량 손실을 가린다

요약

SPRING 작업반 초안의 예시는 200 Mbps를 두 Segment List에 나눠 싣는다. 각 목록의 가정 용량은 100 Mbps다. 하나가 무효가 되어도 RFC 9256의 권고 기준에 따르면 후보 경로 CP1은 여전히 ‘유효’할 수 있다. 남은 가정 용량은 원래 부하의 절반이다.
초안은 유효 목록의 최소 개수와 유효 목록의 최소 누적 가중치를 제안한다. 운영자는 어느 수준에서 CP1을 탈락시킬지 결정하고, 그 숫자가 실제 용량과 계속 맞는지 책임져야 한다.

길은 남았다. 폭은 사라졌다

초안 속 계산은 간단하다. 200 Mbps의 트래픽을 가정상 100 Mbps씩 처리할 수 있는 Segment List 두 개에 나눠 싣는다. SL1과 SL2의 가중치는 각각 1이고, 흐름 해싱은 부하를 반씩 보낸다. 한 목록이 무효가 되면 남은 한 개는 200 Mbps를 감당할 수 없다. 그런데 SPRING 작업반 초안의 CP1은 계속 활성 후보 경로로 남을 수 있다. RFC 9256이 권고하는 유효성 기준은 구성 Segment List 중 하나 이상이 유효하다는 것이기 때문이다.

프로토콜은 자신이 맡은 질문에 답했다. 지나갈 경로가 하나라도 남았는가? 서비스 담당자의 질문은 다르다. 약속한 부하를 그 경로가 견딜 수 있는가? 대시보드가 두 질문을 초록색 ‘유효’ 한 칸에 합치면, 부족한 100 Mbps는 화면에서 사라지고 트래픽에 남는다. 표시는 사실일 수 있어도 운영 판단은 틀릴 수 있다.

예시의 SR Policy POL1에는 CP1과 CP2가 있다. CP1은 유효하고 선호도가 높아 활성 상태다. RFC 9256에 따르면 명시적 후보 경로는 유효한 목록이 하나도 없을 때 무효가 된다. 따라서 SL1만 사라져도 SL2가 CP1의 자격을 유지할 수 있다. CP2의 용량이나 이후 실제 전달 결과는 초안에 적혀 있지 않다. 단지 이름이 ‘다음 후보’라는 이유로 안전한 우회로라 부를 근거는 없다.

한 개면 충분하다는 답을 바꾸는 법

초안의 첫 번째 제어값은 8비트로 표현하는 유효 Segment List 최소 개수다. 이 예시에서 2로 설정하면 어느 한 목록이 사라지는 즉시 CP1이 무효가 된다. 0은 추가 개수 조건이 없다는 뜻이며 0xff는 모든 목록이 유효해야 한다는 뜻이다. 두 번째는 32비트로 표현하는 유효 목록의 최소 누적 가중치다. 가중치가 각각 1일 때 기준을 2로 두면, 목록 하나를 잃어 합계가 1이 되는 순간 CP1이 탈락한다. 여기서도 0은 추가 조건을 없애고 0xffffffff는 모든 목록을 요구한다. 두 기준을 함께 설정하면 둘 다 통과해야 한다. 둘 다 0이면 RFC 9256의 기존 방식으로 돌아간다.

개수는 누구나 셀 수 있지만 목록마다 다른 폭을 무시한다. 가중치는 차이를 표현할 여지가 있다. 그러나 가중치 1은 100 Mbps를 측정한 값이 아니라 상대적인 분배 값이다. 초안의 1+1과 100+100이 맞물리는 까닭은 작성자들이 같은 용량을 전제로 했기 때문이다. 물리 회선의 병목이 바뀌어도 가중치가 그대로라면, 합계 2는 옛 설계도를 정확하게 재현할 뿐이다. 부하와 용량, 가중치의 관계를 갱신하는 사람 없이는 새 기준도 낡는다.

헤드엔드는 설정, PCEP, BGP 등을 통해 유효성 제어값을 받을 수 있다고 초안은 말한다. 구체적인 프로토콜 확장은 다른 문서에 맡기고, 이 문서는 IANA 할당을 요청하지 않는다. 여기서 실질적인 권한은 운영 조직에 남는다. 서비스마다 허용할 수 있는 잔여 용량을 정하고, 그에 맞는 기준값을 배포하며, 헤드엔드가 실제 수신한 값을 확인해야 한다. 컨트롤러가 2를 보냈다고 믿는데 헤드엔드가 0을 적용한다면 두 시스템은 서로 다른 위험을 관리하고 있다.

고장은 세 층에서 다른 이름을 갖는다

RFC 9256의 해석·검증 규칙 때문에 개별 Segment List가 무효가 될 수 있다. 다른 목록이 살아 있으면 후보 경로는 여전히 유효할 수 있다. 모든 후보 경로가 무효가 되어야 SR Policy 전체가 무효가 된다. 후보의 유효성이 바뀌면 선택 절차를 다시 실행하고, 유효한 후보 가운데 가장 높은 선호도를 가진 경로를 고른다. 새 임계값은 이 중간 층에 작용한다. 마지막 목록이 끊어지기 전에 CP1을 후보에서 뺄 수 있다.

이는 정책 전체가 무효일 때의 선택적 동작인 Drop-Upon-Invalid보다 앞선 문제다. 여기서는 CP1이 마지막 목록을 붙잡고 있어 아직 ‘유효’해 보이지만, 예시의 200 Mbps 용량 계산은 이미 깨졌다. CP1을 탈락시키면 CP2를 다시 검토할 기회가 생긴다. CP2가 요구 부하를 감당한다는 증명까지 따라오지는 않는다.

초안에는 실제 네트워크의 과부하 기록이나 측정된 전환 결과가 없다. 실제 효과를 평가하려면 적용된 임계값, 목록의 용량, 관측 부하, 선택 결과를 한 시간선에 올려야 한다. 현재 원문이 보여 주는 것은 유효성 판정과 용량 가정 사이의 간격이다.

초록불 뒤에 남겨야 할 기록

목록 하나가 무효가 되는 순간 CP1의 예정 부하, 각 목록의 상태, 남은 개수와 가중치 합계, 실제 적용된 최소값 두 개, 그 값의 출처와 적용 시각이 함께 남아야 한다. 용량을 바꿨다면 가중치와 기준도 언제 바꿨는지 연결해야 한다. 그래야 운영자가 ‘유효’ 표시가 어느 시점에 무엇을 보증했는지 말할 수 있다. 임계값을 누가 소유하는지 모르면 실패의 원인도 컨트롤러와 장비 사이에서 계속 떠돈다.