Resumo

  • Um nó de trânsito envia LINK-DOWN ao observar uma porta local; o mestre também infere falha quando seu health-check não retorna dentro do período configurado. Um é testemunho positivo, o outro é inferência por ausência.
  • O recibo de recuperação deve preservar qual gatilho agiu, qual domínio e porta estavam em causa, a configuração do relógio, a ação do mestre e a confirmação posterior no plano de dados e na aplicação.

Dois caminhos chegaram ao mesmo botão

Um enlace cai perto de um nó de trânsito. O nó envia imediatamente um quadro LINK-DOWN. Em outra ocorrência, esse aviso não chega, mas os quadros periódicos do mestre deixam de completar a volta e o fail timer expira. Em ambos os casos, o mestre entra em ring-fault e desbloqueia a porta secundária.

O efeito operacional é deliberadamente parecido: remover o bloqueio que impediria o tráfego de usar a direção sobrevivente. A evidência, porém, é diferente. LINK-DOWN afirma que um observador local viu uma interface perder o enlace. O timeout afirma que uma mensagem esperada não apareceu no prazo. Silêncio não informa sozinho se houve corte, perda, congestionamento, assimetria ou problema restrito à Control VLAN.

O RFC 3619 foi publicado em outubro de 2003 como Informational e descreve EAPS Version 1, tecnologia inventada pela Extreme Networks. O próprio texto diz que não especifica um Internet Standard. A convergência abaixo de um segundo, muitas vezes abaixo de 50 milissegundos, é uma afirmação do documento sobre o mecanismo, não uma medição atual nem promessa de produto.

O valor duradouro está na redundância dos testemunhos. O perigo aparece quando o sistema guarda apenas o estado final e apaga qual testemunho o produziu.

O mestre governa uma porta, não a realidade inteira

Cada domínio EAPS tem um mestre e nós de trânsito. O mestre escolhe portas primária e secundária. No estado normal, bloqueia quadros não pertencentes ao controle na secundária; a Control VLAN continua passando, mantendo a observação do anel. As VLANs protegidas ficam livres de loop lógico.

Ao declarar falha, o mestre abre a secundária. Essa autoridade é necessária e limitada. Ela se aplica a um domínio, a um conjunto configurado de VLANs e a uma porta. Não observa por si só caminhos fora do anel, filas, sessões ou a resposta de um serviço.

O registro precisa nomear domínio, identidade do mestre, Control VLAN, VLANs protegidas, portas, intervalos hello e fail e versão da configuração. Sem esses campos, “o anel falhou” parece um fato físico universal quando na verdade é a saída de uma função de decisão dentro de um escopo.

Heng Lu separa a força de um registro da realidade que ele representa. Aqui, o código em execução concede efeito ao julgamento do mestre. Não amplia o alcance sensorial do quadro que o desencadeou. A autoridade fica legítima quando a alegação permanece do tamanho da observação.

O silêncio carrega uma política de relógio

Um timeout não existe sem expectativa. O intervalo de health-check, o período de falha, o agendamento, a tolerância a perda e a versão da configuração definem quando a ausência se torna decisão. Alterar o relógio muda a política, mesmo que o nome do protocolo permaneça igual.

Um valor menor pode reduzir o tempo de proteção e elevar falsos positivos. Um valor maior pode absorver jitter, mas prolongar exposição. Se só a mediana de convergência for publicada, o incentivo é encurtar o timer até que instabilidade e repetidos flushes apareçam em outra métrica.

Cada evento deve conservar o último health-check emitido, a sequência esperada, o instante limite, o atraso observado e a presença ou ausência posterior de LINK-DOWN. Quando os testemunhos discordam, a divergência é informação operacional. Ela pode apontar para falha do canal de controle, assimetria ou sensor local defeituoso.

Chamar qualquer ausência de “link failure” fecha cedo a investigação. Chamar o timeout de “inferência de ring-fault” preserva o que realmente se sabe.

O alerta também possui uma fronteira

LINK-DOWN parece mais concreto porque um nó viu a própria porta. Ainda assim, a mensagem precisa chegar ao mestre, pertencer ao domínio correto e corresponder a uma interface autorizada. Ela não informa, sem testes adicionais, quais VLANs perderam tráfego nem se o serviço possuía outro caminho.

A seção de segurança do RFC 3619 observa que acesso físico às conexões Ethernet pode permitir a falsificação de quadros de bridge ou EAPS e a interrupção da rede. Recomenda criptografia de enlace ou proteção superior adequada onde ataques ativos importem.

O tipo do quadro não prova sua autoridade. O receptor deve vincular a mensagem à interface permitida, identidade, domínio, época de configuração e sequência esperada. Uma mensagem que provoca abertura de porta e descarte de estado distribuído merece proveniência mais forte que um contador agregado.

Automação veloz continua desejável. A velocidade aumenta, e não reduz, a obrigação de registrar a origem do comando.

Abrir a porta exige esquecer o caminho antigo

Quando a falha é declarada, o mestre abre sua porta secundária, limpa a própria forwarding database e instrui os nós de trânsito a limpar as suas. As localizações MAC aprendidas sob a topologia anterior podem estar erradas. O flush é uma recusa controlada de confiar no passado.

Essa recusa inicia outra etapa. Com menos conhecimento, bridges inundam destinos desconhecidos e reaprendem a partir do tráfego. Um destino silencioso pode demorar; um primeiro aprendizado pode ocorrer durante transição. A porta aberta não garante que a FDB nova esteja correta.

O recibo deve medir emissão e conclusão do flush por nó, nova época de FDB, primeiro reaprendizado correto de destinos críticos, estabilização de unknown unicast e primeira transação aceita. Perda, duplicação, desordem, atraso e misconnection pertencem ao resultado.

O RFC 4427 separa detection, correlation, notification, recovery switching e total recovery time. Também usa hitless para uma troca sem perda, duplicação, desordem ou erro de bits. Esses termos impedem que o relógio do mestre assuma o lugar do relógio do usuário.

A restauração tem outro silêncio perigoso

Depois que o enlace físico retorna, o mestre pode continuar em ring-fault com a porta secundária aberta. Um nó de trânsito que veja link-up não libera imediatamente as VLANs protegidas. Ele as bloqueia na porta restaurada e entra em PRE-FORWARDING, evitando que o círculo físico completo forme um loop.

O mestre continua enviando health-checks. Quando um deles volta pela secundária, o mestre considera o anel completo, bloqueia novamente o tráfego não-control nessa porta e ordena outro flush. Só então a topologia e o aprendizado podem ser reconciliados.

Na falha, o silêncio do health-check podia abrir uma porta. Na restauração, o retorno do health-check ajuda a fechá-la. Em nenhum caso o quadro observa sozinho todas as VLANs ou o serviço. Ele autoriza uma transição específica do domínio.

Falha e restauração precisam de IDs separados. São duas mudanças de topologia, duas épocas de FDB e duas oportunidades de perda. O estado final normal não deve sobrescrever o intervalo PRE-FORWARDING nem a confirmação do cliente.

Um anel físico pode carregar várias decisões

O RFC 3619 permite múltiplos domínios EAPS sobre o mesmo anel, com mestres e conjuntos de VLANs protegidas distintos. Permite também que um switch participe de vários anéis por instâncias separadas.

Uma fibra comum é evidência compartilhada, não estado compartilhado. Um domínio pode estar normal, outro em ring-fault e um terceiro em PRE-FORWARDING. Seus timers, Control VLANs, versões e testemunhos podem divergir.

Painéis devem indexar evento por domínio e escopo de VLAN, não apenas por chassi ou enlace. Os marcos posteriores de proteção chamam isso de recovery domain porque toda recuperação tem bordas. Ela não comprova automaticamente o caminho anterior, o posterior ou a aplicação.

Quando camadas diferentes reagem à mesma falha, hold-off e política de reversão evitam que uma proteção combata outra. A prova de serviço precisa atravessar as bordas reais, do ingresso ao egresso e até a aplicação.

Preservar a diferença torna a automação mais confiável

A cadeia mínima é observação física, alerta ou polling, decisão, ação de porta, distribuição de flush, nova FDB, reaprendizado, comportamento dos pacotes e resultado da aplicação. Cada etapa responde a uma pergunta diferente.

Medir apenas o mestre favorece timers agressivos e esconde falsos switches. Medir apenas a aplicação não localiza o atraso. O desenho maduro guarda ambos e impede que uma luz verde fale em nome do sensor que ainda não respondeu.

LINK-DOWN e timeout podem legitimamente chegar ao mesmo botão. Eles não precisam chegar ao mesmo registro. Um falou; o outro suspeitou do silêncio. Preservar essa diferença permite ajustar, investigar e responsabilizar sem retirar da proteção a velocidade para a qual foi construída.

Fontes