Resumo

  • A versão 20 de draft-ietf-teas-actn-poi-applicability continua em Última Chamada do IESG, até 23 de setembro de 2026, com destino Informational. Dois resultados “Not ready” são pareceres de revisores, não rejeição final.
  • A revisão de segurança pede análise das fronteiras de confiança, inclusive controladores comprometidos e informações falsas ou antigas. A operacional cobra resposta para divergência MDSC–PNC, reinícios, perda de notificações e mudanças concluídas em apenas uma camada.
  • Antes de liberar automação em produção, a operadora precisa testar autorização, versão do estado, posse de operações em andamento, compensação e observação do serviço. Essa é uma proposta analítica, não obrigação já definida pelo rascunho.

Uma confirmação não encerra duas configurações

Imagine que o domínio de pacotes aceite a mudança de um serviço enquanto a resposta do domínio óptico se perde. O coordenador tem uma confirmação, mas não sabe se a segunda ação falhou, foi concluída sem aviso ou segue em curso. Trata-se de cenário hipotético de ensaio, não de um incidente publicado. Ele explicita a pergunta que uma figura de arquitetura, por si, não resolve: quem tem informação e autoridade para decidir o próximo comando?

O rascunho ACTN/POI, revisão 20, apresenta o Multi-Domain Service Coordinator (MDSC) e controladores de provisionamento dos domínios de pacotes e óptico (PNCs), recorrendo a protocolos e modelos YANG existentes. A Última Chamada começou em 9 de setembro e termina em 23 de setembro. O status pretendido é informativo; na verificação de 21 de setembro, o documento ainda era Internet-Draft, sem aprovação ou publicação como RFC. Ele já contém seções de segurança e operação. Os pareceres questionam se a profundidade delas acompanha a complexidade da delegação entre domínios.

Os resultados não devem ser amalgamados. Yaron Sheffer, pelo Security Directorate, concluiu sua análise em 18 de setembro com “Not ready”. Nick Buraglio, pelo Operations Directorate, chegou ao mesmo resultado em 19 de setembro. O resumo de Buraglio chama algumas preocupações de pequenas; o texto detalhado classifica a insuficiência das considerações operacionais entre os problemas principais. Já a revisão de roteamento de Zheng Zhang traz “Ready” e sugestões sobretudo editoriais. Nenhuma avaliação isolada constitui decisão do IESG.

O canal seguro não garante que o mapa está certo

Sheffer reconhece que a seção 7 trata da proteção de interfaces e protocolos, além de LLDP, mas pede uma análise arquitetural de ameaças para múltiplos controladores, fornecedores e relações de confiança. O exame deveria apontar ativos, fronteiras e consequências de controladores maliciosos ou comprometidos, topologia ou recursos incorretos e desatualizados, ações não autorizadas entre camadas, vazamento de dados, exaustão de recursos e estados incompatíveis entre pacotes e óptica. Ele sugere uma abordagem curta, não um catálogo exaustivo.

Também admite não ter especialidade suficiente para julgar em detalhe toda a análise técnica extensa do rascunho. Seu parecer não demonstra ataque efetivo.

O RFC 8453 define os papéis do ACTN e a abstração controlada por políticas. Autenticar o PNC e cifrar a conexão é indispensável, mas não confirma que a informação recebida ainda vale, que o MDSC pode realizar aquela ação específica ou que um controlador reiniciado reteve o contexto de uma resposta anterior. A fronteira de confiança inclui a origem, a idade, o destinatário e o alcance autorizado de cada visão de recursos. É aí que segurança e operação se encontram.

Quando MDSC e PNC contam histórias diferentes

Buraglio observa que o MDSC depende das notificações dos PNCs para manter seus bancos de topologia e serviços. Reinício, perda de notificação ou falha parcial podem fazer o coordenador e o domínio divergir. Como detectar a diferença e reconstruir o estado? Quem possui uma operação em andamento durante o reinício do PNC ou o failover do MDSC? O que continua funcionando para serviços já provisionados se o coordenador ficar indisponível? O rascunho, segundo a revisão, não oferece orientação suficiente.

Há ainda a sequência de comandos entre coordenador, PNC de pacotes e PNC óptico. Faltam parâmetros úteis para tempo de provisionamento, timeout e repetição. O parecer pergunta o que ocorre se uma camada muda e a outra falha. Em um ensaio de implantação, repetição precisa ser vinculada à operação anterior, e qualquer compensação exige primeiro identificar o que cada domínio aceitou. Essa conclusão é nossa leitura operacional das questões levantadas, não relato de falha concreta nem exigência de um algoritmo universal de rollback no documento.

O revisor também aborda migração de redes existentes, competências de equipes que antes atuavam separadas, escala, persistência de binding SID após reinício, ciclo de vida das assinaturas de notificações e trilhas de auditoria. Um texto informativo não precisa padronizar todos os procedimentos locais. Precisa, contudo, permitir que o operador distinga o que está descrito, o que o fornecedor deverá entregar e o que sua própria equipe terá de validar antes de transferir autoridade de configuração.

O ensaio que antecede a delegação

Uma avaliação prática liga cinco registros para a mesma mudança: quem autorizou o pedido, qual versão de recursos cada controlador usou, qual identidade persistente acompanha a operação, o que cada PNC confirmou ou rejeitou e o que foi observado nas duas camadas e no serviço do cliente. Em seguida, o ensaio interrompe notificações, reinicia um PNC, troca o MDSC entre duas respostas e produz sucesso em apenas um domínio. A resposta segura pode ser “estado desconhecido, novas ordens suspensas até reconciliação”; um indicador verde genérico seria menos informativo.

Essa lista é um critério editorial de operação, não um novo modelo de dados do IETF. Também não repete a tese anterior de que uma topologia abstrata é uma visão de política e não inventário físico. O tema novo é a responsabilidade pela ação depois que a confiança e a execução foram distribuídas. A Última Chamada ainda pode resultar em discussão, revisão ou aprovação. Não há base para anunciar um padrão rejeitado, um ataque ou uma interrupção real.

Fontes

Rascunho ACTN/POI e status; revisão de segurança; revisão de operação; revisão de roteamento; arcabouço ACTN, RFC 8453.