Кратко

  • GLOBALLY DOWN в RFC 9866 означает прекращение восходящей маршрутизации в текущей версии DODAG, а не доказанный физический отказ пограничного маршрутизатора.
  • RNFD объединяет наблюдения Sentinel в вероятностных Conflict-Free Replicated Counters. Порог 0,51 применяется к оценке, а не к точному поимённому голосованию.
  • В квитанции решения следует хранить версию, состав наблюдателей, сигналы, проверки, счётчики, параметры, режим безопасности, действие и восстановление, а причину отдельно отмечать как подтверждённую либо неизвестную.

Корневой маршрутизатор ещё подаёт признаки жизни. Однако несколько ближайших узлов перестали получать подтверждения канального уровня, а другие исключили его из набора родителей. Для движения вверх граф больше не заслуживает доверия. Из этого не следует, что устройство обесточено или физически сломано.

RNFD сокращает время между такой опасной неопределённостью и защитным действием. Соседи корня в роли Sentinel следят за связью. Узлы Acceptor принимают, объединяют и распространяют сведения. Сеть получает возможность объявить текущую версию DODAG глобально непригодной раньше, чем обычные механизмы RPL справятся с потерей корня.

У этого решения есть точная область. Оно отвечает на вопрос о маршрутизации. Причину должны устанавливать питание, журналы процесса, радионаблюдения, данные безопасности и другие источники. Если состояние протокола сразу переименовать в «крах корня», неизвестность не исчезает — исчезает только честная запись о ней.

Четыре состояния и разные основания

Local Observation of Root State принимает значения UP, SUSPECTED DOWN, LOCALLY DOWN и GLOBALLY DOWN. Подозрение может возникнуть после отсутствующих подтверждений, удаления корня из набора родителей или роста косвенной информации, полученной по плоскости управления.

Sentinel может отправить DIS или ICMPv6 Echo Request. Для ряда непосредственных наблюдений спецификация разрешает пропустить дополнительную проверку. Поэтому один и тот же итоговый статус может опираться на разные цепочки. Необходимо хранить исходный сигнал, результат зондирования и причину пропуска, а не только цвет индикатора.

При GLOBALLY DOWN узел объявляет бесконечный Rank, остаётся без предпочтительного родителя и прекращает восходящую маршрутизацию в этой версии. Состояние является конечным в пределах версии. Для восстановления корень создаёт новую версию DODAG.

Граница по версии защищает сеть от случайного возврата к старому графу. Она же показывает предел вывода. Работающий корень может узнать, что его версия закрыта, и начать следующую. Он может действовать заранее, увидев приближение локальных счётчиков к порогу. RNFD завершает жизненный цикл версии, а не расследование причины.

Консенсус оценивается, а не пересчитывается по именам

Положительные и отрицательные наблюдения представлены двумя Conflict-Free Replicated Counters. Это вероятностные битовые массивы линейного счёта. Слияние идемпотентно, коммутативно и ассоциативно, поэтому повторы и разный порядок доставки не должны превращать копии в новые факты.

Результат оценивает мощность множества, но не хранит полный реестр участников. Порог консенсуса по умолчанию равен 0,51, прирост подозрения — 0,12, порог насыщения — 0,63. Более высокий порог способен снизить риск ложного срабатывания ценой более медленного обнаружения.

Фраза «большинство доказало физический отказ» приписывает механизму лишнее. Точная формулировка звучит иначе: при действовавшем составе Sentinel и параметрах реплицированная оценка пересекла правило вывода текущей версии из эксплуатации.

RFC прямо допускает ложные отрицательные и ложные положительные результаты; нестабильные каналы особенно важны для второго случая. RNFD можно отключить, не отключая RPL. Но такое решение требует ответственного лица, срока, причины, прежней конфигурации и замещающего способа обнаружения.

Безопасность меняет вес одного и того же числа

Подменённая или изменённая опция RNFD может вызвать ложное объявление, скрыть реальный отказ либо увеличить поток DIO. Если эти угрозы актуальны, RFC рекомендует средства безопасности RPL.

Одинаковое значение 0,51 в защищённой сети, без защиты и во время аномалии ключей — не одинаковые доказательства. Если скомпрометированы не все соседи, живой корень иногда способен заметить ложное состояние по своим локальным счётчикам. Это возможный защитный путь, а не гарантия. Наблюдения самого корня должны сохраняться.

Назначение IANA 0x0E даёт опции RNFD общий код. Оно не подтверждает внедрение, корректный выбор Sentinel, качество телеметрии или успешное восстановление.

Квитанция решения о корне

Практическая запись разделяет восемь элементов:

  1. экземпляр RPL, DODAG, версию, локально известную идентичность корня и временное окно;
  2. ожидаемый и фактический состав Sentinel, правило выбора и отсутствующие узлы;
  3. потерянные подтверждения, смену родителя, косвенные сигналы, проверки и причины их пропуска;
  4. положительный и отрицательный CFRC, оценки, размер, насыщение, слияния и места съёма;
  5. порог консенсуса, прирост подозрения, насыщение, таймеры и редакцию конфигурации;
  6. режим безопасности RPL, аномалии ключей и соседей, признаки подмены и взгляд корня;
  7. время глобального состояния, остановку маршрутизации, резервное поведение, новую версию и возврат полезного трафика;
  8. подтверждённую причину, конкурирующие версии, владельца расследования либо явное неизвестно.

Это операционное предложение, а не новое требование RFC 9866. Оно не заставляет ждать расследования: старый граф можно изолировать немедленно. Запись лишь не позволяет впоследствии выдать скорость автоматики за доказанную причинность.

Точная победа стандарта

RFC 9866 задаёт полезный общий минимум: наблюдение рядом с корнем, устойчивое слияние, порог принятия решения, закрытие старой версии и восстановление через новую. Способ конфигурирования остаётся за пределами RFC. Резервное питание, виртуальные корни и архитектура непрерывности остаются отдельными мерами.

Мониторинг должен показывать активность RNFD, глобальное состояние, версию DODAG и Rank. Полезно также экспортировать роль, точный LORS, счётчики и константы. Чем серьёзнее автоматическое действие, тем менее приемлем единственный красный индикатор.

В итоговом отчёте допустимы две одновременные истины: RNFD правильно остановил небезопасную версию; физическая причина осталась неизвестной. Первая защищает сеть, вторая — факты.

Источники