Resumo

  • A revisão 16 do rascunho OPSAWG organiza descartes por componente, direção, camada e motivo, distinguindo erro, política e congestionamento em interfaces, dispositivos, fluxos e plano de controle. Ela afirma expressamente que o contador sozinho não estabelece a intenção do operador.
  • Uma classificação correta ainda pode acionar a resposta errada. Mudança de configuração, descontinuidade, suporte parcial, ordem dos motivos, fluxo sem âncora e nova referência de serviço podem quebrar o significado de uma diferença sem quebrar a matemática.
  • Antes de alterar encaminhamento, a automação deve operar dentro de uma época de intenção: registro limitado que une uma vida do contador à versão de política, compromisso de serviço, escopo, ação autorizada, teto de impacto e dono da reversão. A proposta é de Daniel Kade, não um requisito da IETF ou campo YANG.

Um idioma comum para a observação

Os contadores tradicionais mostram que algo foi perdido, mas agregam causas demais. ifInDiscards não explica por que um pacote parou. ifInErrors pode contar somente erros que resultaram em descarte numa plataforma e todos os erros em outra. Comandos proprietários detalham mais, sem garantir nomes, ramos ou prioridades comparáveis.

draft-ietf-opsawg-discardmodel-16 organiza essa camada. O documento é um Internet-Draft ativo do OPSAWG, hoje na RFC Editor Queue, ainda não um RFC. O modelo de informação e o modelo YANG cobrem quadros da camada 2 e pacotes da camada 3. O descarte é localizado no plano de controle, na interface, no fluxo ou no dispositivo, com direção e subtipo. Política inclui ACL, policer, uRPF, defesa contra DoS e rota nula. Erros abrangem quadro corrompido, MTU, TTL, ausência de rota e falha interna. Falta de buffer torna visível a perda ligada a congestionamento e classe QoS.

Um pacote não deve ser contado duas vezes no mesmo contexto. Quando há mais de um motivo possível, a implementação precisa caracterizar a ordem e deveria expô-la. A estatística então ganha a forma de um testemunho: este elemento, neste ponto e sentido, decidiu não encaminhar nem entregar localmente o pacote.

O testemunho não contém o ticket que aprovou a ACL, o contrato por trás do policer ou a capacidade do caminho alternativo. A classificação descreve mecanismo observado; não delega poder para mudar a rede.

“Política” não significa “intenção confirmada”

O crescimento do ramo ACL comprova que tráfego encontrou a regra instalada. Não comprova que a regra instalada era a regra autorizada. Bloquear uma origem proibida pode ser o resultado esperado. Bloquear uma aplicação válida por erro de prefixo produz o mesmo tipo de contagem e um resultado oposto para o serviço.

A revisão 16 separa as duas coisas. A intenção depende da classe junto com política local, configuração pretendida, referência histórica, duração, escopo, contexto de serviço e outras evidências. O nome da causa não legitima a configuração.

Nem as classes de erro trazem veredito único. TTL expirado em nível baixo pode ser traceroute; uma elevação breve pode acompanhar convergência; persistência pode apontar para loop. Descartes sem buffer podem estar dentro da meta de melhor esforço ou ultrapassar a obrigação de uma classe protegida. O apêndice B oferece exemplos, não uma tabela normativa de intenção.

Tratar todo descarte de política como normal encobre configuração errada. Tratar todo erro como ordem para retirar equipamento pode desviar tráfego para enlaces já congestionados. Uma taxonomia melhor reduz ambiguidade diagnóstica, sem substituir o responsável pela decisão.

A diferença certa entre períodos errados

Automação reage a delta, taxa ou distância da linha de base. Antes da subtração, precisa demonstrar que as duas amostras pertencem ao mesmo período significativo.

Reinício de equipamento ou placa, redefinição de processo e lacuna de coleta interrompem contadores. O rascunho exige que agregados lidem com descontinuidades inferiores. A cobertura pode variar também: YANG Library anuncia funcionalidades, mas uma funcionalidade suportada pode não preencher todos os seus contadores. Caminho idêntico não assegura observação completa em plataformas diferentes.

Uma troca de configuração pode manter a série numérica e cortar a semântica. Sob a versão A, policy/l3/acl mede um conjunto de correspondências. Sob B, alcance e exceções mudam. A diferença é aritmeticamente válida entre intenções incompatíveis. No sentido inverso, voltar a zero depois de reinício não prova que o problema terminou ou que a obrigação do serviço mudou.

O texto diz que a métrica do dispositivo não identifica sozinha erro de configuração. Validação antes da implantação e comparação dos descartes antes e depois da mudança oferecem contexto. Isso depende de vincular cada amostra a versão, base e vida do contador.

Autoridade com começo e fim

Uma época de intenção existe enquanto convivem uma intenção declarada de serviço, uma versão relevante de política ou configuração e uma vida interpretável do contador. É a unidade de permissão da automação, sem inserir uma aprovação central no caminho dos pacotes.

Na abertura, o registro fixa dispositivo ou elemento lógico, interface ou plano de controle, direção, camada e caminho exato da classe. Inclui revisão do modelo, recursos anunciados, folhas preenchidas e ordenação dos motivos. Guarda base, intervalo, evidência de descontinuidade e horários. Se a decisão depende de fluxo, documenta sua âncora; o modelo alinha a classificação, mas não define a identidade subjacente do fluxo.

A metade institucional liga configuração, ticket, ativação, dono do serviço, SLA ou referência e limites de taxa, duração e abrangência. Em seguida descreve a ação permitida. Falta de buffer pode mover somente uma fração definida para caminho com capacidade verificada. Erro de recepção pode isolar um membro após confirmação independente. Descarte de política pode alertar sem remover automaticamente a defesa. Cada ação recebe cooldown, limite de impacto, critério de reversão e responsável por escalonamento.

Descontinuidade, ativação de política, alteração de SLA ou referência, mudança de recursos ou preenchimento, intervalo sem observação, transferência de interface, nova ordem de motivos ou troca de responsabilidade encerram a época. A amostra seguinte pode ser verdadeira e ainda assim não herdar o poder antigo.

Isso impede permissão vencida sobre configuração nova e continuidade falsa através de um reset. Também cria uma resposta essencial: aceitar a evidência, suspender a ação e pedir renovação do mandato.

Correlação melhora a prova, não o comando

O modelo busca conciliar descartes de interface ou dispositivo com registros de fluxo. A associação ajuda a localizar quem sofreu, mas o próprio modelo não pressupõe como o fluxo é identificado. Futuros modelos devem ancorá-lo sem ambiguidade. Sem âncora, um evento amplo de interface não justifica ação específica sobre cliente.

Contador, fluxo, diff de configuração e topologia podem fortalecer a hipótese em conjunto. Nenhum autoriza sozinho mover tráfego, retirar link ou reverter mudança. Evidência cresce; autoridade continua dentro do envelope aprovado.

As medidas têm efeitos colaterais. Tirar equipamento congestionado pode sobrecarregar o restante. Reverter pode restaurar conectividade e vulnerabilidade anterior. Recolocar um componente pode devolver a causa. A classe correta seleciona um ramo plausível; não paga o custo das consequências.

Ler também é exercer controle

Os dados são de leitura e os contêineres usam default-deny-all do NACM. A proteção é necessária porque estatísticas detalhadas podem revelar ataques e configurações defeituosas. Quem injeta tráfego e observa a reação do contador de política consegue aperfeiçoar o ataque.

A época deve registrar o coletor e a identidade que entregou a observação. Transporte seguro, autenticação mútua e controle de acesso protegem o canal. Não provam que a amostra é completa, recente ou alinhada à política atual. A autenticação identifica quem trouxe a evidência; a época limita o que ela pode autorizar.

Sucesso não é descarte zero

Segurança, QoS e proteção de recursos dependem de descartes intencionais. Tampouco toda anomalia deve ser resolvida sem pessoa. Quando prova ou mandato é insuficiente, escalar é uma ação correta.

O resultado defensável é reconstruir cada mudança automática: observação dentro de uma época, classe e escopo realmente suportados, referência e política vigentes, ação abaixo do teto, confirmações exigidas e fechamento que explica manutenção, reversão ou entrega humana.

A revisão 16 fornece o vocabulário da observação. O operador precisa fornecer o vocabulário da autoridade. O contador diz onde o pacote parou; a época diz se a rede ainda tinha permissão para se mover.

Fontes