Кратко

  • Домен в RFC 10039 определяется поведением пересылки трафика арендатора. Он не обязан совпадать с автономной системой, областью IGP, площадкой или организацией.
  • DOMAIN-ID — исполняемое утверждение. Его присутствие в D-PATH может признать маршрут петлёй, а длина D-PATH участвует в выборе. Несогласованные значения способны удалить легитимный путь либо не заметить реальный возврат.

Два резервных шлюза получили один проект и одну дату изменения. На первом DOMAIN-ID назначили всей междоменной связи, на втором — отдельно каждой IP-VRF. Обе конфигурации прошли проверку, BGP-сессии остались в Established. Но вернувшийся маршрут сравнивался с разными представлениями о сети.

Протокол не мог исправить это расхождение: ему не поручено выяснять, что именно операторы называют доменом.

RFC 10039 описывает взаимодействие доменов EVPN и IPVPN для межподсетевой связности арендатора. Interworking PE принимает маршрут, импортирует его в IP-VRF и заново объявляет с семейством и атрибутами, подходящими соседнему домену. При нескольких шлюзах маршрут, преобразованный из IPVPN в EVPN, может через другой шлюз снова попасть в IPVPN и создать петлю плоскости управления.

D-PATH записывает последовательность пройденных доменов. Эта запись помогает только тогда, когда все шлюзы пользуются одним словарём.

Граница следует за пересылкой, а не за ASN

Два PE входят в один домен, если обслуживают одного арендатора и пакетам между ними не требуется IP-поиск в адресном пространстве арендатора на транзитном маршрутизаторе. Там, где такой поиск нужен, шлюз соединяет разные домены.

RFC прямо отделяет эту границу от AS и IGP. Один домен может охватывать несколько автономных систем, а одна AS — включать несколько доменов. Названия дата-центров, облачных регионов и эксплуатационных команд полезны для схемы, но не заменяют анализ фактической пересылки.

Формат DOMAIN-ID иногда создаёт ложную уверенность. Шесть октетов состоят из четырёхоктетного Global Administrator и двухоктетного Local Administrator. В первую часть можно поместить публичный или частный ASN, IPv4-адрес либо другое значение. Это способ сделать идентификатор уникальным и удобным для диагностики, но не доказательство того, что домен совпадает с AS, и не аутентификация владельца адреса.

Нормативное требование относится к согласованности: каждому домену нужен уникальный ID; все Gateway PE, подключённые к нему, используют одно значение; шлюз между двумя доменами получает два разных значения. Область назначения может охватывать всю связь либо отдельную IP-VRF арендатора. При утечке маршрутов между VRF именно этот контекст определяет, с какими локальными ID сравнивается входной путь.

Имя получает право отклонить маршрут

D-PATH — необязательный транзитивный BGP Path Attribute, зарегистрированный IANA под кодом 36. Каждый элемент содержит DOMAIN-ID и ISF_SAFI_TYPE, показывающий EVPN, IPVPN или предусмотренное локальное происхождение.

Тип SAFI полезен для разбора последовательности, но не меняет обнаружение петли. Если полученный D-PATH содержит любой DOMAIN-ID, локально связанный с этой IP-VRF, шлюз считает маршрут вернувшимся в уже пройденный домен независимо от сопутствующего типа SAFI.

Так смена семейства не скрывает возврат. Но тот же принцип превращает коллизию ID в ложную петлю. Два разных домена с одним значением могут потерять корректный маршрут. Два разных значения для одного домена позволяют настоящей петле пройти. Неверная область VRF заставляет устройство сверяться не с тем объектом, который был утверждён на схеме.

Атрибут влияет и на best path. После LOCAL_PREF среди подходящих EVPN- и не-EVPN-кандидатов удаляются маршруты без кратчайшего D-PATH; отсутствие атрибута считается длиной ноль. Число не описывает физическое расстояние, задержку, загрузку, цену или надёжность. Это количество заявленных доменных переходов, которое тем не менее меняет результат выбора.

Поэтому строка в CLI доказывает лишь наличие утверждения. Его истинность и эффект подтверждаются только совместным наблюдением RIB, выбранного маршрута, FIB и пакета.

Сохранить контекст или изолировать его

По умолчанию D-PATH отключён и допустим только для IPVPN- и EVPN-маршрутов. При реоригинации на границе предусмотрены две модели.

No Propagation Mode используется по умолчанию. Шлюз заново инициализирует BGP-атрибуты, словно префикс локальный, и не передаёт D-PATH. Следующий домен получает меньше чужого состояния, но резервные шлюзы могут остаться уязвимыми для петли. Локальные фильтры и Route Origin Extended Community способны снизить риск, не гарантируя покрытие всех сценариев.

Uniform Propagation Mode сохраняет ограниченный общий набор: AS_PATH, применимый D-PATH и некоторые внутренние атрибуты на iBGP. Остальные не должны пересекать границу без явного разрешения import/export policy. Нисходящие устройства видят больше происхождения, но семантически неподходящий или умышленно ложный атрибут получает более широкую область влияния.

Ни один режим не лучше при любых условиях. Первый покупает изоляцию потерей истории, второй — наблюдаемость дополнительной ответственностью за проверку. Для каждой границы нужны отдельное решение, allowlist, владелец исключений и возвратный план.

Корректные байты могут описывать неверный мир

Для повреждённой структуры правила однозначны. Слишком короткий или malformed D-PATH, а также атрибут при запрещённом AFI/SAFI обрабатывается как treat-as-withdraw по RFC 7606. Неизвестный тип SAFI может быть принят, поскольку не отменяет сравнение ID. Если в UPDATE несколько D-PATH, остаётся первый, остальные отбрасываются.

Эти меры локализуют ошибку кодирования. Они не распознают правильно сформированный ID, назначенный чужому домену. RFC 10039 предупреждает: неправильная настройка DOMAIN-ID или неодинаковая поддержка на шлюзах может привести к ложному обнаружению петли, отбрасыванию трафика, неоптимальной либо несогласованной маршрутизации. Транзитивность также позволяет пытаться передавать ложную доменную историю через административные границы.

Выход из VPN требует отдельного доказательства. Соответствующий стандарту PE удаляет D-PATH перед объявлением префикса CE как обычного unicast SAFI 1. Обновлённым устройствам рекомендуется локальная политика для D-PATH, пришедшего от необновлённого peer. Способ определить этот статус оставлен за реализацией и оператором. Нужны реальный перечень версий и тест, а не предположение по документации.

Сначала соглашение о границе, затем квитанция

Для каждого арендатора соглашение начинает не номер, а forwarding-тест: между какими PE не выполняется поиск в пространстве арендатора и где он появляется. Затем фиксируются назначающий ID, область уникальности, поиск коллизий, полный набор шлюзов и точные привязки к интерфейсам и IP-VRF. ASN-подобная запись обозначается как соглашение об именовании, а не как топологический вывод.

Квитанция развёртывания добавляет версии ПО и проверенную поддержку, режим каждой границы, набор разрешённых атрибутов, правила локальных маршрутов, обращение со старыми peers, окно наблюдения, порог остановки и независимый rollback. До изменения должен быть известен ожидаемый D-PATH одного тестового префикса на каждом переходе.

Негативные проверки обязательны. Легитимный маршрут проходит ожидаемую последовательность. Вставленный локальный ID вызывает защиту. Неизвестный SAFI не отключает сравнение. Malformed-атрибут ограниченно изымается. Старый peer показывает фактическую обработку. Захват на CE доказывает отсутствие D-PATH в SAFI 1.

Тот же canary-префикс прослеживается в Adj-RIB-In, кандидатах, выборе, FIB и реальной доставке. Established не означает функциональную поддержку. Сохранённая команда не означает общего смысла. Показанный D-PATH не означает свободу от петель. Закрыть работу можно лишь узким выводом: эти шлюзы в этот момент одинаково определяли домен и дали наблюдаемый ожидаемый результат.

RFC 4271 задаёт основу BGP, RFC 4364 — IPVPN, RFC 7432, RFC 9135 и RFC 9136 — контекст EVPN. Эти документы не подтверждают реализацию конкретного вендора или состояние какой-либо названной сети.

Источники