Кратко

  • RFC 3386 рассматривал конфликт нескольких механизмов: SDH/SONET мог переключать транспорт после того же физического отказа, который MPLS или IP уже пытался обойти.
  • Таймер задержки давал нижнему уровню ограниченное право действовать первым. Он координировал управление, но не доказывал успешность переключения, физическую независимость резерва или непрерывность приложения.

Когда в волокне исчезает свет, оптическое оборудование видит физический дефект. Транспорт видит потерю соединения, MPLS — остановившийся LSP, IP — недостижимость. Все наблюдения описывают один отказ, но не несут одинакового контекста и не дают каждому контроллеру одинаковое право перемещать трафик.

RFC 3386 вышел в ноябре 2002 года со статусом Informational. Проектная группа IETF Traffic Engineering Working Group собрала практические ближайшие требования операторов к живучести и иерархии. Документ не стандартизовал полный протокол и не сообщал о результатах конкретного внедрения. Он искал небольшой совместимый набор подходов для пакетных и транспортных сетей.

Вертикальная иерархия проходила между технологиями — оптикой, SDH/SONET, MPLS и IP. Горизонтальная разделяла области или административные части одной технологии. На вертикальной границе каждый уровень мог иметь собственную защиту, но действия внутри него обычно оставались невидимыми для соседей.

Если все реагировали немедленно, транспорт мог переключиться на резерв одновременно с перестройкой MPLS. Сервис перемещался дважды, два контроллера занимали запасную ёмкость, а верхний расчёт завершался на топологии, которую нижний уровень уже изменил. Быстрая локальная реакция не гарантировала быстрого общего восстановления.

Практическим решением RFC 3386 стали вложенные шкалы времени. Когда нижнему уровню требовалось больше времени, верхний выдерживал паузу. Если SDH/SONET действительно обеспечивал защитное переключение, MPLS должен был дать ему завершиться первым.

Пауза означала временную передачу полномочий. Слишком короткая не устраняла гонку, слишком длинная продлевала простой, если нижняя защита отсутствовала или не срабатывала. Настройка таймера утверждала факт о системе: данный уровень способен защитить данный сервис и получает право первого действия до известного срока.

Для незащищённой линии решение менялось. Ждать несуществующее переключение бессмысленно. RFC требовал регулируемого времени либо немедленного сигнала снизу вверх, чтобы верхний уровень начал восстановление. Обратное направление не было симметричным: отказ наверху не должен автоматически запускать защиту внизу, потому что потеря IP-маршрута не доказывает обрыв волокна.

Документ предложил 100–500 мс для защиты 1:1 с заранее установленной ёмкостью, 100–750 мс с заранее спланированной ёмкостью, 50 мс для локального восстановления и одну–пять секунд для восстановления пути источником. Распространение сигнала в эти числа не входило. Авторы прямо не подтверждали научную достаточность границ для конкретного приложения.

Следовательно, таблица была ориентиром проектирования, а не измерением и не SLA. Между дефектом и пользовательским результатом лежат обнаружение, ожидание, переключение, сигнализация, сходимость, распространение и выполнение приложения. Операция транспорта за 50 мс не подтверждает, что звонок или транзакция сохранились.

Защита и восстановление по-разному обращались с ёмкостью. Защита готовила ресурс до отказа; восстановление выбирало путь после него. Заранее установленная ёмкость была выделена, а только спланированная могла совместно использоваться. Совместное использование повышало обычную эффективность, но при нескольких отказах требовало приоритетов и вытеснения.

Shared Risk Group возвращала логическую схему к физике. Две разные ссылки могли проходить в одном канале, кабеле, коридоре, оптическом кольце или здании. Без данных SRG альтернативный MPLS-путь мог исчезнуть от того же физического события.

Локальное восстановление возле отказа могло быть быстрым, но оставляло неоптимальный обход, который позднее приходилось перегруппировать. Перестройка от источника занимала больше времени, зато лучше использовала общую картину. Возврат первых пакетов и устойчивое рабочее состояние были разными результатами.

На горизонтальных границах требовалась квитанция об успехе или неудаче. Запрос восстановления не равен выполнению; восстановленный сегмент не равен целому соединению. Без результата соседняя область могла повторить лишнее действие или принять половину работающего пути за полный сервис.

Позднее RFC 4427 унифицировал термины, RFC 4428 развил анализ многоуровневого восстановления, RFC 7347 сохранил настраиваемую задержку для MPLS-TP, а RFC 7926 показал, как абстракция скрывает общий риск серверного уровня. Эта линия подтверждает долговечность задачи, но не универсальное внедрение чисел 2002 года.

Подход Lu Heng к минимальной начальной спецификации объясняет слабую связанность. Общими должны были быть порядок, сигнал отказа и срок полномочий; внутренние алгоритмы и топология могли оставаться локальными. Ни один уровень не становился верховным владельцем всей сети.

Модель слоёв реальности задаёт предел доказательства. Настроенная защита, обнаруженный отказ, команда, завершённое транспортное переключение, восстановленный LSP, сошедшийся IP и успешное приложение — отдельные квитанции. Истечение таймера подтверждает только течение времени.

Поэтому урок RFC 3386 не в том, чтобы всегда отдавать приоритет нижнему уровню. Право восстановления должно опираться на реальную способность, иметь срок и завершаться результатом либо эскалацией. Живучесть определяется не количеством механизмов, а порядком, который не позволяет им бороться за один отказ.

Источники