Кратко

  • RFC 5376 допускал возврат непрозрачного идентификатора сегмента вместо внутренних переходов, чтобы AS не раскрывала топологию; идентификатор фиксировал вычислительную ссылку, а не факт установления или работы LSP.
  • Владеющая сегментом AS должна была уметь проверить, что последующая сигнализация раскрыла путь, соответствующий расчёту её локального PCE, поскольку исходный PCC не видел скрытых переходов и мог не знать нижестоящие PCE.
  • Локальная политика могла отклонить или изменить параметры запроса, а суммарная стоимость не получала общей шкалы автоматически; запрос, интерпретация, расчёт, соответствие, резервирование и доставка требовали разных квитанций.

Подмена могла остаться невидимой источнику

Конфиденциальность в межоператорской сети — не косметика. Внутренняя топология показывает точки концентрации, доступные ресурсы, инженерные приоритеты и коммерческие отношения. Требование раскрыть всё ради совместного расчёта создало бы новую центральную власть и новый объект атаки.

RFC 5376 выбрал абстракцию. Ответ мог содержать AS и ASBR, необходимые для общего маршрута, но внутренние переходы разрешалось заменить идентификатором сегмента. Верхний уровень получал ссылку, с которой можно продолжить композицию, а оператор оставлял карту внутри своего административного домена.

После расчёта наступал другой этап. При сигнализации LSP ссылка должна была быть раскрыта в конкретные внутренние переходы. Если база политики изменилась, использован устаревший кэш или компонент выбрал иной маршрут, внешний наблюдатель всё равно видел тот же короткий идентификатор. Он не мог сравнить результат с первоначальным сегментом, потому что именно эти данные были скрыты.

Поэтому RFC 5376 требовал механизм, отражённый в соответствующей сигнализации, с помощью которого AS могла проверить соответствие сигнализированного пути сегменту, вычисленному её локальным PCE. Проверка должна происходить у того, кто знает оба факта: исходный скрытый расчёт и фактическое раскрытие.

Такой результат не обязан публиковать переходы. AS может связать идентификатор, контекст расчёта, версии топологии и политики, время раскрытия и вердикт соответствия. Внешняя сторона получает узкое подтверждение от компетентной власти; конфиденциальность сохраняется, а подмена становится обнаружимой.

Ссылка не была линией связи

Непрозрачный ключ доказывает ровно то, что под ним готов зафиксировать выдавший его PCE: при данных входах и состоянии был вычислен определённый сегмент. Он не доказывает, что сигнализация использовала ключ, что ресурсы были зарезервированы, что метки установлены, что LSP перешёл в рабочее состояние или что пакет дошёл до приложения.

RFC 5376 опубликован в ноябре 2008 года как Informational-документ с требованиями к применению PCECP для меж-AS MPLS/GMPLS. Он не специфицировал само раскрытие при сигнализации. Позднее RFC 5440 определил PCEP, а RFC 5520 — path keys для конфиденциальности. Иерархическая архитектура PCE, stateful-расширения и TLS добавили возможности, но не отменили границы этапов.

Успешный ответ — квитанция расчёта, а не универсальная квитанция результата. Путь мог быть корректно рассчитан и не установлен. Он мог быть установлен, а затем потерять ресурс. Пакеты могли пересылаться, но не получить прикладного подтверждения. Сводить это к одному зелёному состоянию означает не ускорять систему, а уничтожать причинность.

Время тоже входит в смысл ссылки. Сегмент, рассчитанный до аварии, не остаётся вечным обещанием. Идентификатор должен быть связан со сроком, версией состояния и возможностью отзыва. Иначе старое вычисление выглядит как современный факт.

Исходный PCC мог не видеть участников

PCC способен обратиться к меж-AS PCE, который делегирует часть задачи другому меж-AS или внутри-AS PCE. Источник может не знать имён этих участников. Даже существование нижестоящего PCE иногда скрывается от всех, кроме его прямого соседа.

Это позволяет сотрудничать без единого всеведущего контроллера, но не создаёт сквозное доверие автоматически. Источник аутентифицирует прямого PCE. Тот строит отдельное доверительное отношение со следующим. Защищённая первая сессия сама по себе не аттестует решения всех последующих узлов.

RFC 5376 рекомендует цепочку доверия и одновременно признаёт, что она не всегда достижима. Следовательно, доказательная запись должна отделять транспортного соседа от власти, принявшей содержательное решение. Если личность нижестоящего PCE раскрыть нельзя, всё равно следует указать ответственную границу AS и объём скрытого вклада.

PCE-соседи должны аутентифицировать личности, проверять данные и шифровать чувствительные обмены. Распределение ключей через административные границы учитывает принципы RFC 4107. Эти меры защищают канал; они не авторизуют любой запрос и не подтверждают семантику непрозрачного объекта политики.

Если протокол лишь переносит такой объект к политическому компоненту, именно понимающий компонент отвечает за дополнительную защиту, идентификацию и разрешение. Безопасный конверт не может утвердить содержание, которое не интерпретирует.

Запрос встречался с местной властью

Меж-AS запрос мог называть желательные или исключённые AS и ASBR, отличать обязательный переход от предпочтения, требовать пропускную способность, защиту, непересечение и разнообразие. Он также нес номер запрашивающей AS, чтобы принимающий PCE применил локальную политику.

Поля передают намерение, но не передают владение ресурсом. Принимающая сторона могла отказать. Она могла изменить приоритет, полосу, Fast Reroute, класс DS-TE и другие параметры. Ограничение, сформулированное для MPLS, могло быть переосмыслено в GMPLS-домене.

Поэтому важно хранить не только итог, но и происхождение изменения: исходное значение, решившую сторону, версию политики, новую интерпретацию и причину отказа. Если оставить только результат, локальное решение будет ошибочно приписано источнику.

Политический отказ может быть свидетельством исправного управления, а не ошибкой PCE. Аутентификация удалённого PCE также не означает разрешение на каждую кодируемую им полосу или приоритет. Личность, полномочие и конкретное решение — разные факты.

Сумма не создавала общую единицу

RFC 5376 позволял ответу содержать суммарную меж-AS стоимость, но явно оставлял нормализацию стоимости за пределами документа. Разные домены могли использовать разные шкалы, административные предпочтения и целевые функции. Арифметически правильная сумма не делала их семантически сравнимыми.

Значение 40 не обязательно лучше 50, если первое соединяет инженерные веса, а второе — коммерческие предпочтения или иную трансформацию ограничений. Для ранжирования нужны объявленная цель, сопоставимые метрики, правила нормализации и перечень охваченных доменов.

Подоменный метод также не гарантирует глобальный оптимум ограниченного пути. Корректный вывод уже: участники нашли допустимый кандидат по своим текущим правилам. Слово «оптимальный» требует отдельного доказательства.

Запись должна сохранять вклады доменов и преобразования, а не только итоговый скаляр. Тогда при появлении общей политики старые данные можно пересчитать. Если сохранена только сумма, исходная неопределённость необратимо исчезает из журнала, хотя остаётся в решении.

Шесть отдельных квитанций

Управляемый процесс разделяет как минимум:

  1. запрос: концы, AS-инициатор, обязательные или исключённые AS/ASBR, полоса, защита и разнообразие;
  2. политику: локальную власть, принятые значения, изменения, переводы и причины отказа;
  3. расчёт: версию состояния, раскрываемые PCE-вклады, явные переходы или непрозрачные ссылки;
  4. соответствие: проверку владеющей AS, что сигнализация раскрыла именно вычисленный сегмент;
  5. установление: результат сигнализации, резервирование, метки и реальное состояние LSP;
  6. исход: телеметрию пересылки, качество, получение и подтверждение приложения.

Эти записи можно связать единым идентификатором намерения, но нельзя заменять одной. Поздняя ошибка не делает прежний расчёт ложным; прежний расчёт не оправдывает ошибку установления. Разделение показывает, кому и какой этап следует исправить.

Оно же поддерживает обратимость. Домен может отозвать ключ, пересчитать после изменения сети, отклонить новый приоритет или сменить учётные данные соседа. История сохраняет область действия каждого решения вместо переписывания всех событий единым ярлыком успеха или провала.

Предел обоснованного вывода

Официальные источники закрывают утверждения о требованиях и развитии протокола. Они не доказывают современное внедрение конкретного оператора, договор, инцидент, производительность или доставку. Нельзя также восстановить скрытые переходы из самого идентификатора.

Устойчивый вывод относится к структуре власти. Источник формулирует потребность; каждый домен толкует её и распоряжается своими ресурсами; PCE рассчитывает; сигнализация пытается установить; владелец проверяет скрытое раскрытие; эксплуатация наблюдает последствия.

Такой порядок избегает и принудительного раскрытия, и бесконтрольного чёрного ящика. Минимальная ссылка полезна именно потому, что ограничивает знание. Её ценность сохраняется только тогда, когда последующие системы не расширяют узкое обещание до утверждения о результате, которого никто ещё не наблюдал.