Кратко

  • Редакция 04 draft-hi-ccamp-cmis-control-yang появилась 9 сентября 2026 года. Это активный индивидуальный Internet-Draft в состоянии I-D Exists, а не принятый CCAMP документ рабочей группы, RFC или внедрённый стандарт.
  • Новый раздел Control Handover говорит: добавление страницы в remote-write-allowed-pages передаёт удалённой системе контроль записи. Удаление отзывает полномочие и требует от NOS хоста снова применить локальную конфигурацию.
  • Та же редакция прямо оставляет за пределами документа атомарность и взаимное исключение многошаговых операций CMIS. Для частично исполненной на границе последовательности нет общего протокольного состояния, доказывающего остановку удалённого писателя до возвращения хоста.
  • Daniel Kade предлагает локальный автомат состояний для набора страниц, который вводит фазу покоя между отзывом и автономией хоста. Это аналитическая рекомендация по эксплуатации, а не требование IETF.

Список разрешений стал картой оперативной ответственности

Неизменяемый текст редакции 04 датирован 9 сентября 2026 года. Запись API Datatracker показывает редакцию 04, срок 13 марта 2027 года и состояния Active и I-D Exists. Это индивидуальная подача без RFC stream и ответственного Area Director. Указанный в шапке Standards Track — намерение, а не принятие в CCAMP.

Документ работает с разрывом в управлении подключаемыми трансиверами Digital Coherent Optics. Память CMIS содержит стандартные и определённые производителем страницы. NOS сетевого устройства может понимать абстрактную стандартную функцию. Удалённому оптическому контроллеру или стороннему приложению может понадобиться фирменная возможность либо стандартная функция, которую NOS ещё не реализовала. Предложенные модули YANG дают чтение, запись, action, RPC и мониторинг на уровне регистров.

Редакция 04 очерчивает этот низкоуровневый путь осторожнее. Он должен дополнять абстрактные модели, а не заменять их. Внедрение предлагается начинать в лаборатории, при запуске и диагностике. В производственной сети первыми должны идти чтение и мониторинг, а запись — только в заранее проверенные страницы и процедуры.

Главное дополнение — Control Handover. Когда страница входит в remote-write-allowed-pages, контроль её записи делегирован удалённой системе. Пока делегирование действует, NOS хоста не должна самостоятельно менять регистры. Исключение — вмешательство ради безопасности, например выключение передатчика; после него удалённую сторону следует уведомить.

Удаление страницы отзывает делегирование. NOS обязана навязать локальную конфигурацию, переписав удалённые значения или вернув предусмотренные моделью значения по умолчанию. Отзыв действует для операций, начатых после изменения режима управления. Запись в процессе, которая ещё не была применена, следует отклонить.

Таким образом, allowlist не просто открывает вызов. Она назначает оперативного владельца, определяет чрезвычайное исключение и предписывает, каким должно стать устройство при возврате контроля.

Смена права — точка, сходимость устройства — интервал

Для одной записи фраза «ещё не применена» может означать однозначное состояние. Оптическая процедура способна сначала выбрать страницу, затем загрузить параметры и лишь потом активировать изменение. Одна логическая операция может затрагивать несколько страниц. При отзыве между шагами нужно различать: не началось, полностью завершилось, отменено или частично повлияло на устройство с неопределённым итогом.

Редакция 04 не обещает эту гарантию. Раздел безопасности прямо говорит, что документ не определяет атомарность или взаимное исключение многошаговых операций CMIS между NOS и удалённой системой. Координация остаётся ответственностью оператора и вне рамок проекта.

Это честное ограничение. Оно одновременно означает, что удаление строки нельзя считать доказательством успешного возврата. Allowlist блокирует следующий удалённый запрос, но не доказывает, что предыдущий писатель замолчал, частичная последовательность устранена, а локальные значения применены в безопасном порядке. Момент права и момент согласованного физического состояния — разные события.

Сам документ показывает ставки. Записи могут менять выходную мощность и частоту и тем самым мешать другим активным длинам волн. Lower Memory нельзя открывать для удалённой записи: там находятся флаги управления хоста и выбор страниц. Страницы CDB для прошивки 9FhAFh тоже запрещены, поскольку могут запустить обновление и превратить ошибочный доступ в устойчивую компрометацию. Это правильные жёсткие границы, но они не завершают разрешённую, а затем прерванную операцию.

Последний читатель тоже меняет состояние

У некоторых регистров действует clear-on-read: чтение удаляет событие. Если первым прочитал контроллер, NOS может его больше не увидеть; верно и обратное. Редакция 04 считает одновременное использование делегированной страницы ошибкой проектирования и возлагает ответственность за такие чтения на удалённую систему на время делегирования.

При возврате должна перейти и опека над свидетельством. Хосту нельзя уничтожить непереданное событие в ходе проверки. Пустое значение также нельзя считать доказательством отсутствия события, если его уже прочитал контроллер. Переходу нужен известный последний ответственный читатель либо явная отметка, что свидетельство сохранить не удалось.

RFC 8341 через NACM ограничивает пользователей, операции и узлы данных NETCONF и RESTCONF. Редакция объясняет дополнительный слой: NACM не умеет принимать решение по значению входного параметра action или RPC, например номеру страницы CMIS. Механизмы дополняют друг друга. Ни один не является барьером завершения между двумя писателями.

Отзыв должен сначала привести систему к покою

Глобальный диспетчер транзакций не нужен. Достаточно локального автомата из четырёх обычных состояний и отдельной аварийной ветви.

REMOTE_ACTIVE связывает контроллер, устройство или интерфейс, набор страниц и версию режима управления. Отзыв переводит область в QUIESCING: новые удалённые операции не принимаются, а каждая текущая получает итог — завершена, отменена или неопределённа. Многошаговой последовательности нужен единый финальный результат, а не предположение по последнему сетевому ответу.

Затем наступает HOST_RECONCILING. NOS применяет локальную конфигурацию в объявленном порядке, учитывает хранение clear-on-read-событий и проверяет относящиеся к функции локальные инварианты: выбор страницы, состояние передатчика, частоту, мощность и линк. Только успешная проверка открывает HOST_ACTIVE и возвращает хосту самостоятельность.

SAFETY_OVERRIDE остаётся видимой отдельной ветвью. Немедленная угроза может потребовать остановки передатчика до завершения покоя. Но исключение фиксирует область, по возможности уведомляет контроллер и затем проходит согласование. Чрезвычайное полномочие прерывает обычное владение, а не тайно переписывает его историю.

Минимальная запись невелика: версия или хеш модуля, устройство, интерфейс и страницы, текущий владелец, версия правил, время отсечения, состояние перехода, судьба текущих операций, идентификатор последней принятой операции при наличии, версия локальной конфигурации, опека clear-on-read, вмешательство безопасности, результат согласования и ответственный оператор. Фирменные значения, частная топология и опасные подробности остаются внутри домена.

Это соответствует сдержанности Minimum Initial Specification Хэна Лу: общими должны быть только детерминированные правила безопасности и переходов, а семантика производителя и политика оператора остаются локальными. The Policy Mirror добавляет требование восстанавливать правило, полномочие и результат после автоматического действия. Автомат состояний — моё предложение, не норма проекта.

Раздел реализации пока остаётся незаполненным

Редакция 04 добавляет разумные ограничения масштаба. Нефильтрованные или частые чтения памяти способны насытить медленную внутреннюю шину, общую с критичным управлением хоста. Поэтому рекомендуются адресные операции, фильтры, пределы объёма и частоты. Платформа может быть строже allowlist оператора, но объявление этих ограничений отложено до будущей редакции.

Новый Implementation Status пока содержит только незаполненные поля шаблона. Протокол CCAMP на IETF 126 фиксирует вопросы участников об обратной связи операторов, зависимости от реализации, пересечении с абстрактными моделями и возможном Experimental-статусе. Это комментарии, а не решение или консенсус рабочей группы.

Источники не доказывают гонку, аварию, оптические помехи, заражение прошивки или дефект продукта.

Доказан более узкий факт: редакция 04 теперь определяет выдачу и отзыв управления страницей, но исключение многошаговых операций оставляет оператору. До производственного применения нужна локально проверяемая граница, на которой удалённый писатель уже неподвижен, а состояние хоста снова действительно.

Источники