Кратко

  • RFC 1997 запрещает понимающему communities получателю объявлять маршрут NO_EXPORT за границу конфедерации; значение не удостоверяет отправителя или право на префикс.
  • Оно находится в optional transitive атрибуте, изменяемом локальной политикой. RFC 8642 зафиксировал различия платформ при удалении well-known значений.
  • Доверие требует проверить маршрут на отправке, приёме, преобразовании и каждом выходе, сохраняя отдельные фильтры префиксов и отношений.

Сеть объявляет более специфичный префикс на частном стыке, чтобы сосед применял его внутри, но не передавал в глобальную таблицу. Отправитель добавляет NO_EXPORT. Это доказывает намерение на его выходе, но не результат в чужой AS.

RFC 1997 создал COMMUNITIES для группировки назначений и упрощения политики. Атрибут optional, transitive и состоит из четырёхоктетных значений. Транзитивность атрибута не отменяет запрета на экспорт маршрута, который содержит специальное значение.

NO_EXPORT запрещает анонс за пределы BGP-конфедерации; отдельная AS считается собственной конфедерацией. NO_ADVERTISE запрещает передачу любому другому BGP peer. NO_EXPORT_SUBCONFED включает и другие member AS внутри конфедерации. IANA регистрирует числа, RFC задаёт поведение.

Общий язык экономит координацию между разными продуктами, но не создаёт удалённый рычаг. RFC 1997 позволяет получателю добавлять и менять communities по локальной политике.

RFC 8642 показал риск: похожая команда set community в одних реализациях удаляла все значения, в других сохраняла часть well-known, а в задокументированном случае не удаляла существующие. Добавление клиентской метки могло незаметно стереть NO_EXPORT.

Файл конфигурации поэтому не является последним доказательством. IPv4 и IPv6 могут идти разными цепочками, позднее правило может перезаписать раннее, сохранённое состояние может не быть загружено. Решает получившийся маршрут.

RFC 7454 рекомендует удалять неразрешённые communities собственного пространства, обычно сохранять остальные и не снимать NO_EXPORT без причины. Слепое сохранение открывает частные действия внешнему соседу; слепое удаление разрушает законные ограничения. Нужна явная матрица доверия.

Community не является подписью. Она не доказывает первого автора, разрешённый origin или наличие коммерческого соглашения. RPKI origin validation и область распространения отвечают на разные вопросы.

RFC 7908 определяет route leak как распространение за предполагаемую область, часто описанную распределёнными отношениями provider, customer и peer. Многие утечки не содержат NO_EXPORT. Фильтры префиксов, AS_PATH и классов соседей остаются обязательными.

RFC 9234 предлагает иной слой. Соседи подтверждают BGP Roles в OPEN, а Only to Customer переносит состояние отношения для предотвращения или обнаружения некоторых утечек. Так уменьшается зависимость от односторонней маркировки.

Но полномочия всё равно локальны. Strict mode может отклонить сессию после несовместимого обновления. AS на пути способен намеренно удалить OTC. Протокол делает договор машинно читаемым, но не создаёт центрального принуждения или общей криптографической гарантии.

Проверка начинается в Adj-RIB-Out отправителя: точный NLRI, address family, peer и атрибуты после export policy. У получателя надо разделять сырую полученную запись и состояние после import. Затем проверяется каждый выход, способный пересечь границу.

Отсутствие у одного публичного collector не доказывает глобальную изоляцию. Нужны canary-префикс, известные peers и несколько точек наблюдения. Анонс с NO_EXPORT и без него должен подтвердить доступность внутри разрешённой области, отсутствие снаружи и очистку после withdraw.

Автоматизация сравнивает результаты маршрутов, не только тексты. Потеря защищённого значения, расхождение с матрицей отношений и просроченное исключение должны блокировать изменение. При инциденте сеть-отправитель обязана иметь локальный фильтр или целевой отзыв.

Принцип минимальной спецификации Heng Lu объясняет устройство: общий слой задаёт короткую инструкцию, будущие решения остаются у несущих риск. По примату работающего кода RFC и commit выражают намерение, а фактически отправленный UPDATE является системой.

NO_EXPORT полезен своей ограниченностью. Он координирует область без передачи контроля. Имя не удерживает маршрут само по себе; границу создают локальное исполнение и доказательство.

Sources