摘要

  • draft-ietf-teas-actn-poi-applicability-20 仍处于 IETF 最后征询意见阶段。安全与运行审查各给出“Not ready”，这是审查员意见，不是 IESG 否决。
  • 安全审查要求明确多控制器架构的资产、信任边界及受侵控制器、失真拓扑和越权跨层操作的后果；运行审查追问 MDSC 与 PNC 状态分歧、重启、失效切换及部分完成的配置。
  • 运营者可在委托自动配置前测试授权、状态新鲜度、进行中操作的归属、补偿与服务观察。这个测试框架属于本文分析，不是草案已经规定的协议。

已执行的命令与尚未完成的服务

设想协调控制器要求分组域与光域共同修改一条服务：分组控制器已确认，光控制器却在响应前重启。此时仅有一张完整的架构图，无法告诉值班人员是该重试、回滚、等待同步，还是冻结下一笔请求。这只是为了检验设计而设置的情景，并非公开记录中的实际故障。两份新审查针对的正是架构描述与运行决策之间的空白。

ACTN/POI 第 20 版草案 说明多域服务协调器（MDSC）怎样通过现有协议和 YANG 模型，协调分组和光网络的配置网络控制器（PNC），完成拓扑发现、路径与服务设置。2026 年 9 月 9 日开始的 IESG Last Call 截至 9 月 23 日；草案预期成为 Informational RFC。9 月 21 日核对时，它仍是征询中的 Internet-Draft，未获批准，也不是已发布标准。草案有第 7 节安全考虑和第 8 节运行考虑，争议在于这些章节是否足以覆盖其复杂控制链。

Yaron Sheffer 的安全领域审查 于 9 月 18 日完成，Nick Buraglio 的运行领域审查 于 9 月 19 日完成，两者在记录中均为“Not ready”。Buraglio 在摘要中称部分担忧较轻，但在正文将运行章节不足列入主要问题。Zheng Zhang 的路由领域审查 则为“Ready”，主要提出图示和措辞修订。把这些不同结论说成 IETF 已经否决草案，会误读程序。

加密链路无法替代可信状态

Sheffer 指出，第 7 节谈到接口与协议保护，也专门讨论 LLDP，却未给多管理域、多厂商、多控制器的 ACTN/POI 架构配上相称的威胁分析。他建议从资产和信任边界出发，说明恶意或遭入侵控制器、虚假或陈旧的拓扑与资源信息、未经授权的跨层操作、信息泄露、资源耗尽以及两层状态不一致的影响与缓解。他认为一两页架构层分析即可，不要求罗列所有可能攻击。审查员同时说明，自己没有足够专长逐项判断草案庞大的技术分析；其意见不应被写成发现了已利用的漏洞。

RFC 8453 为 ACTN 定义角色与按策略形成的抽象。MDSC 收到的视图可以是真实而有界的授权视图，却不等于实时掌握每个设备的全部状态。TLS 或权限检查能够保护通信、限制谁能提出请求；它们不能单独证明某次资源通告仍有效，也不能证明下游 PNC 在重启后保留了上一笔操作的上下文。审查要求说清这些界面背后的责任，而不是简单地再加一条安全协议名。

通知丢失后，旧状态由谁撤销

Buraglio 的运行审查把问题落到状态同步。MDSC 的拓扑与服务数据库依赖 PNC 通知；PNC 重启、通知丢失或局部失败，都可能使协调器和域控制器各持一套“当前”状态。他要求说明如何发现与修复分歧，配置进行到一半时 PNC 重启或 MDSC 失效切换怎么办，MDSC 冗余又如何影响已有服务。这些问题不同于平稳条件下能否算出一条路径。

审查还指出，草案第 4、5 节的配置流程需要 MDSC、分组 PNC 与光 PNC 依次配合，却缺少超时、重试以及预期配置耗时的具体指引。若分组侧改动成功而光侧失败，或反过来，运营者不能只看最后一个 API 响应决定服务状态。本文据此推断，重试必须识别先前操作，补偿必须分别确认两域已做的动作；这是可测试的运行原则，不是 Buraglio 报告某次重复配置事故，也不是草案规定的统一回滚算法。

这份审查并未止于故障瞬间。它还要求交代既有分组与光管理系统如何逐步迁入、跨层操作需要怎样的技能、规模问题怎样形成可评估边界，以及 binding SID 重启后是否持久、通知订阅怎样恢复、配置动作怎样留下审计记录。把所有待解问题留给厂商私下处理，可能让运营者在采购时根本不知道哪一项行为可互通、哪一项只能在特定实现中成立。

投入生产前的五项联测

一份有用的运营约定应能把五件事连接起来：谁获准发出跨层请求；各控制器据以决策的拓扑和资源版本；进行中操作的稳定身份与状态；分组及光 PNC 各自实际接受或拒绝了什么；最后在两层和客户服务边界观察到什么。运营者可以通过丢弃一条通知、在请求中途重启 PNC、在两域确认之间切换 MDSC，以及只让一层成功的演练来验证。系统能否诚实报告“状态未知”、停止后续危险命令、重建事实并指明补偿负责人，比正常路径的演示更有信息量。

这是本文的审查清单，不是 IETF 新增的数据字段要求。它也不重复此前关于抽象拓扑不是物理库存的讨论。新审查的焦点在于：当协调操作跨越信任边界且各部分给出不同答案，谁能判定下一步，并凭什么证据判定。Last Call 仍可引出讨论、修订或批准；目前没有证据可称草案已遭正式否决，更不能编造一次实际攻击或服务中断。

来源

ACTN/POI 草案及状态；安全领域审查；运行领域审查；路由领域审查；ACTN 框架 RFC 8453。