Кратко

  • Документ предупреждает, что внедрённый или изменённый NRP Selector способен дать постороннему трафику доступ к выделенному обслуживанию и превратить кражу сервиса в отказ в обслуживании.
  • Доказательство должно связывать право клиента, пограничную классификацию, политику NRP, фактическое поведение узлов и итоговые метрики, не превращая наличие метки в мандат.

Пакеты попали в привилегированную очередь потому, что несли правильное значение. Система классификации сработала без ошибки. Ошибка находилась на уровень выше: никто не доказал, что источник имел право предъявлять этот селектор.

В такой архитектуре поле пакета стало пропуском, хотя проект описывал его как средство выбора обработки.

Revision 10 документа Realizing Network Slices in IP/MPLS Networks — активный Internet-Draft рабочей группы TEAS от сентября 2026 года со сроком до 2 апреля 2027 года. Это не RFC, не отчёт о внедрении, не результат совместимости, не сертификация и не доказательство работающего SLA. Документ не требует действий IANA; способы отображения, кодирования и установки политик во многом остаются локальными, реализационными или вне его области.

До селектора существует решение об агрегации

Slice-Flow Aggregate объединяет пакеты, сопоставленные NRP и получающие одинаковую обработку. Несколько IETF Network Slices могут находиться в одном агрегате. Контроллер хранит связь, но метод её выбора является локальным.

Это решение определяет, какие различия между контрактами сохранятся в исполняемой сети. Совместное размещение может быть оправдано, если цели по задержке, потерям и всплескам совместимы. Оно должно оставлять след: исходные сервисы, агрегат, критерий, утверждающий субъект и условия разделения.

Идентификатор клиентского слайса без агрегата не приводит к очереди. Агрегат без клиентского контракта не приводит к обязательству. Для расследования нужны оба.

Резервирование — это авторизованная модель

NRP Policy может включать топологию, резервы, совместное использование, ограничения пути, фильтры и поведение на каждом узле. В режиме control plane запрос допускается с учётом резервируемой полосы и настроенного превышения подписки.

Логическая топология может отражать меньше, столько же или больше физической ёмкости. Максимально резервируемая полоса может превышать реальный канал. Следовательно, зелёный допуск подтверждает соответствие модели риска, а не выделение физического ресурса.

Без принуждения на уровне пакетов разные NRP могут конкурировать во время работы. Документ называет такие гарантии мягкими. Мониторинг и переоптимизация реагируют на перегрузку, но не делают первоначальное решение доказательством изоляции.

Сильный режим соединяет допуск и исполнение

В data-plane mode способные узлы читают NRP Selector и применяют нужный NRP-PHB. Выделенное оборудование может обеспечить строгую изоляцию; общая аппаратура даёт статистическую изоляцию, зависящую от планировщика и распределения.

Комбинация control plane и data plane сильнее, потому что первая часть ограничивает принятую нагрузку, а вторая управляет пакетами при конкуренции. Но и здесь журнал контроллера, readback устройства и измерения очередей отвечают на разные вопросы.

Нельзя подменять результат установкой желаемого состояния. Следует сохранять признанный объём, селектор на входе, фактическую очередь на каждом способном узле, использование, потери и задержку.

Метка может пройти участок без исполнения

Трафик способен пересекать узлы, не поддерживающие NRP. Селектор сохраняется в пакете или трафик идёт через туннель, после чего обработка возобновляется на следующем способном узле. Непрерывность метки не означает непрерывность PHB.

Доказательство отмечает начало и конец каждого такого участка, фактический класс обслуживания, ёмкость и механизм обхода. Статические данные о возможностях должны иметь срок и сверку: они не обновляются автоматически при изменении топологии или функции.

Неизвестный селектор может привести к отбрасыванию, best effort или fallback NRP по локальной политике. Это наблюдаемое событие, а не деталь, которую можно скрыть общим статусом.

На границе право надо устанавливать заново

Между доменами селекторы складываются или переназначаются. При remapping входное значение заменяется локальным значением следующего домена, а граница приводит трафик к его выделению SLA.

Правильное преобразование не доказывает ни право исходного трафика, ни достаточность ресурса, ни успех conditioning. Каждый домен предоставляет свою часть; результат end-to-end требует совместимых выделений и общего измерения.

Граничный журнал должен содержать входной и выходной селекторы, версию таблицы, уполномоченного владельца, принятый профиль, итог conditioning и обязательство следующего домена. Измерение обязано пересекать сам стык.

Классификация не должна становиться авторизацией

Security Considerations прямо описывает кражу сервиса: противник может внедрить пакеты с NRP Selector и исчерпать ресурс легитимного NRP. Неизвестные значения могут атаковать fallback, а захваченный management plane — менять саму политику и резервы.

Защита начинается с traffic conditioning на границах и доверенной инфраструктуры внутри домена. Необходимо проверить источник, договорное право, допустимый профиль и целостность значения. Аутентификация, авторизация и защита распространения NRP Policy определяют, кто вправе менять правила. Фильтрация и защищённые routing sessions ограничивают раскрытие ресурсного состояния.

Для руководства это граница между сигналом и мандатом. Селектор сообщает устройству, какую обработку искать. Он не создаёт полномочие потреблять ресурс. Координатор может распространить таблицу, но ответственность несёт субъект, который допускает трафик и способен доказать последствие в работающей сети.

Источники