Resumo

  • Um contexto de rastreamento inválido não deve, por padrão, vetar uma RPC de gestão; o exemplo RESTCONF retorna 201 Created e inicia outra trilha.
  • O novo traceparent, com flags zeradas e sem o antigo tracestate, preserva a observação local dali em diante, não a filiação perdida.
  • Conciliação confiável exige recibos separados para identidade, autorização, destino do contexto, resposta do protocolo, leitura da configuração e efeito do serviço.

O número mudou no lugar mais caro

Imagine que o sistema comercial guarde o trace ID de uma ordem e o use para conciliar execução e cobrança. O orquestrador envia a mudança. Na borda do dispositivo, o servidor não consegue interpretar o traceparent. Mesmo assim, cria o recurso e devolve 201 Created. O resultado existe; o identificador esperado pela conciliação não chega ao outro lado.

O apêndice de draft-ietf-netconf-restconf-trace-ctx-headers-11 descreve esse comportamento. Diante de um traceparent de versão superior e inválido, acompanhado por tracestate malformado, o servidor responde com um novo contexto versão 00, desliga a amostragem ao colocar os flags em zero e elimina o tracestate.

Não é um detalhe cosmético. Há duas sequências: a ordem sob o identificador antigo e a execução local sob o novo. Sem uma junção externa, faturamento, auditoria e operação podem procurar a mesma mudança em livros diferentes.

Os dois rascunhos do grupo NETCONF desaconselham rejeitar uma RPC só por causa dos valores de Trace Context. Se o servidor optar por rejeitar, deve responder com erro de protocolo operation-failed. A especificação preserva a escolha local, mas exige que o resultado não pareça outra coisa.

Correlação não é autorização

traceparent carrega identidade e parentesco da trilha. tracestate leva contexto opaco de fornecedores. NETCONF os expressa como atributos XML; RESTCONF, como cabeçalhos HTTP. O texto NETCONF afirma que esse contexto não é o conteúdo da operação: não é configuração, identificador de serviço nem estado.

Autenticação mútua identifica o par. NACM decide acesso. message-id associa RPC e resposta dentro da sessão NETCONF. Status HTTP, Location e ETag registram a resposta RESTCONF. O journal do datastore, uma leitura posterior e um teste de serviço respondem a perguntas adicionais.

Uma trilha ajuda a localizar esses comprovantes. Ela não herda a autoridade deles. Do mesmo modo, perder a trilha não apaga uma configuração já persistida.

Pelas regras do W3C, a ausência de traceparent válido permite criar trace ID e parent ID novos; tracestate sem raiz válida deve ser descartado. Isso impede que estado opaco atravesse uma fronteira sem referência confiável. A consequência é uma ruptura legítima da correlação.

O falso estorno operacional

Se uma automação interpreta “sem span no dispositivo” como “sem execução”, pode repetir uma gravação real. O segundo pedido talvez produza duplicação, conflito ou uma resposta idempotente diferente. Em todos os casos, o problema de observabilidade virou efeito operacional.

Também não se deve aceitar cegamente o contexto recebido. O W3C alerta para exposição de informação, colisões forjadas e custo imposto por amostragem. O rascunho NETCONF observa que correlações podem ajudar a mapear a rede gerenciada. Reiniciar a trilha numa fronteira de confiança pode ser uma defesa válida.

A organização precisa registrar a costura: ID local do pedido, principal autenticado, decisão de autorização, resultado da validação do contexto, novo trace ID se houver, resposta do protocolo, recibo do datastore, leitura numa época conhecida e observação do serviço.

Assim, a consulta não pergunta “qual trace é verdadeiro?”, mas “o que cada recibo consegue provar?”. Um 201 prova a resposta do servidor à criação. Uma leitura prova estado visível naquele momento. Uma sonda prova um resultado a partir de um ponto. A ligação entre eles precisa de custódia própria.

O que os rascunhos não provam

As revisões 09 e 11 foram atualizadas em 17 de setembro de 2026. São Internet-Drafts ativos destinados a Proposed Standard, não RFCs nem relatórios de implantação. Anunciar os módulos na YANG Library tampouco prova exportação ou retenção de todos os spans.

Os textos tornam a ruptura interoperável. A disciplina de reconciliação continua sendo trabalho do operador.

Fontes