Кратко

  • BMP заменяет screen scraping структурированными snapshots и изменениями, но каждый feed относится к конкретным router, instance, peer, address family, RIB stage и mode.
  • Route Monitoring может сжать историю; Route Mirroring может сохранить PDU, но допустить sampling, loss и нагрузку; Loc-RIB может быть filtered и не является FIB.
  • Надёжный вывод фиксирует права и разрывы наблюдения, защищает данные и связывает приём, policy, selection, export, hardware и packets, не превращая collector в оракула.

Incident dashboard утверждает, что опасная route пришла, прошла import filter и ушла клиенту. Позже выясняется: приём взят из pre-policy Adj-RIB-In, выбор — из filtered Loc-RIB без нужного VRF, экспорт — из peer-group label, а не post-policy Adj-RIB-Out сессии. Все BMP records подлинны; причинная цепочка выдумана.

RFC 7854 создал BGP Monitoring Protocol для постоянного доступа к RIB вместо снятия CLI-экранов. Router передаёт по TCP route state, lifecycle peers и statistics одной или нескольким stations. Но BMP — не routing protocol. Station наблюдает, не выбирает reachability, а конфигурация остаётся на router.

RFC 4271 делит этапы. Pre-policy Adj-RIB-In содержит необработанное объявление peer. Post-policy input — результат фильтров и изменений до выбора. Loc-RIB содержит маршруты Decision Process. Adj-RIB-Out готовит объявления конкретным peers.

Наличие prefix на первом этапе доказывает только приём в session epoch. Оно не доказывает acceptance, best path, recursion, FIB install, export или packet use. Каждый переход требует нового наблюдения.

BMP предоставляет Peer Up/Down, Initiation/Termination, Statistics Report, Route Monitoring и Route Mirroring. Обычный режим начинает со snapshot по peer и продолжает incremental advertisements и withdrawals. Порядок dump не задан; End-of-RIB закрывает начальную эпоху.

Изменения идут одновременно со snapshot. Collector удаляет route, withdrawn после dump, или безопасно игнорирует withdrawal до появления объекта. EOR доказывает окончание начальной эпохи, но не будущую полноту. TCP gap, queue overflow, restart, identity collision или decode error делают реплику устаревшей.

Route Monitoring ориентирован на состояние. Несколько изменений могут стать одним final state через state compression. Это бережёт ресурсы, но стирает промежуточный порядок. Generated PDU может иметь другое encoding, а timestamp — отсутствовать или иметь implementation-dependent precision.

Route Mirroring полезен для точных bytes и malformed PDU, обработанного по RFC 7606. Однако mirroring не всегда lossless: возможен sampling и сигнал Messages Lost. Full fidelity требует больших buffers, способен мешать UPDATE и замедлять convergence. Наблюдение не должно вредить маршрутизации.

Доказательство потерь проходит producer, transport и collector: queue depth, compression, drops, epochs, resets, backpressure, ingest sequence, decode, storage commit и replay watermark. Две stations с общей queue или parser bug не независимы.

L flag разделяет pre/post-policy Adj-RIB-In. Import audit сравнивает их для одного peer, AFI/SAFI и epoch. Разность counts разных stages не измеряет policy.

RFC 8671 добавляет Adj-RIB-Out и O flag. Post-policy output должен показывать фактически переданное после фильтров, модификаций и transmission-time attributes. Это сильнейший BMP witness для egress policy.

Pre-policy output показывает лишь eligible routes до policy для данного peering type, а не обязательно весь Loc-RIB. IBGP, RR client, EBGP, confederation и route server имеют разные правила. Next hop до передачи может быть пустым или provisional.

Правильный audit — scoped diff одного peer, family и epoch. Каждое удаление и изменение связывается с active policy и при необходимости проверяется на receiver. Update group — оптимизация, Admin Label — local metadata, а не универсальное доказательство.

RFC 9069 добавляет прямой мониторинг Loc-RIB. Вывод через другой router вносил export policy, aggregation и ошибки корреляции. Peer Type 3 представляет Loc-RIB instance с distinguisher, router ID и VRF/table name.

Это namespace: таблицы global на разных routers — разные объекты. Emulated Peer Up, capabilities, address families и lifecycle также принадлежат identity.

Loc-RIB может быть filtered. RFC требует F flag, если station получает только subset. Утверждение становится не «все selected routes», а «разрешённое подмножество». Фильтр защищает privacy и scale; потеря coverage contract превращает отсутствие в ложное несуществование.

Loc-RIB также допускает state compression. Quiet feed может означать стабильность, input churn без смены winner, compression или reporting failure. И Loc-RIB не равен FIB: recursion может провалиться, hardware установить меньше ECMP, line card отстать, tunnels изменить packet path.

RFC 9972, опубликованный в мае 2026 года, добавляет gauges для input pre/post, Loc-RIB и output pre/post, а также damping, limits, licences и RPKI states. Gauge — момент, не event history; типы и scheduling зависят от feature и implementation.

Global count может не равняться сумме AFI/SAFI из-за races или partial failures. Это warning, а не повод молча править числа. Clear и overflow создают discontinuity. Во время GR/LLGR producer может сократить reporting ради convergence; тишина на графике неоднозначна.

Актуальные продукты показывают стоимость. Cisco IOS XE документирует multiple stations, pacing, buffers и delays. IOS XR поддерживает параллельные виды на указанных releases/platforms со scan intervals. Junos задаёт memory limits и management instance. Доказанный inventory важнее общего названия BMP.

Security определяет качество доказательства. Full RIB раскрывает private L3VPN, peers и policy effects. Без mutual authentication можно имитировать router или station; без confidentiality — читать или менять feed. RFC 7854 рекомендует при необходимости IPsec tunnel mode с pre-shared keys. TCP сам не даёт identity или secrecy.

Современный контроль добавляет endpoint inventory, encryption, tenant separation, least privilege, retention, tamper-evident storage и revocation. Лишение одной station доступа не должно останавливать BGP или уничтожать доказательства другой.

Для production нужны четыре артефакта. Entitlement matrix перечисляет router, instance, peer, AFI/SAFI, station, stages, L/O/F, filter, cadence, compression и buffer. Health ledger хранит TCP epoch, Peer Up/Down, EOR, timestamp, queue, loss, lag и commits. Sentinel-prefix diff проходит этапы policy. Cross-plane proof связывает winner, recursion, FIB/ASIC, interface и packet.

Rollout проверяет accept/reject, rewrite, best change, export suppression, flaps, backpressure, loss, filtered view, zero timestamp, counter reset и restart, измеряя CPU, memory, latency и convergence. Rollback уменьшает scan, mirroring, filter или collector без BGP reset и явно показывает coverage gap.

Routing policy, producer capacity, telemetry custody, security audit и forwarding verification разделяются. Оператор collector не должен сам определять feed, скрывать gaps и заверять вывод.

Минимальная исходная спецификация Heng Lu поддерживает тонкий общий формат без передачи route choice станции. Stage, filter, cadence, station и revocation остаются локальными. Running-code primacy выстраивает configuration, BMP record, collector DB, Loc-RIB, FIB и packet. Нижний уровень не заимствует авторитет верхнего.

Практический суверенитет над данными контролирует, какие routes уходят, кто их коррелирует, сколько они хранятся, как обнаруживается подмена и прекращается доступ. BMP силён, когда честно объявляет свою юрисдикцию.

Монитор увидел route. Нужно выяснить stage, instance, compression, loss, filter и подтверждающий packet path.

Источники