摘要

  • RFC 5920 把单一运营商的 MPLS/GMPLS 核心视为一个可信区；跨运营商邻居即使获得通信授权，也仍可被视为不受信任。
  • 身份认证只能回答“消息来自谁”，不能自动回答“对方可发送哪些协议状态、路由、标签、带宽请求或 OAM 操作”。
  • 可持续的互联模型是在 ASBR 边界开放有限用途，并由双方各自保留过滤、限速、监测和断开连接的权力。

互联协议不会移动信任边界

签署合同、配置邻接并通过认证，足以说明双方愿意交换某类服务，却不足以说明双方愿意无条件接受彼此网络内部产生的一切行为。RFC 5920 的参考模型把每家运营商自己的 ASBR 作为可信区边界。另一家运营商是已知且获准通信的对手方，但其核心并不会因此成为本方可信区的一部分。

这种区分并非文字游戏。互联链路同时传递价值与风险：客户获得跨域可达性，运营商能够组合单一网络无法完成的服务；同一路径也可能带来畸形控制消息、过量请求、伪造更新、错误交叉连接或资源压力。一侧的配置错误、软件缺陷或安全事件，因而可能穿过业务上完全正当的接口，成为另一侧的故障。

MPLS 标签本身不能证明来源。RFC 5920 指出，标签只在本地具有意义，MPLS 数据平面也没有可用来认证发送者的源标识。收到一个格式合理的标签，并不等于已经证明它的来源、用途或处理要求合规。身份需要由相应的控制或管理机制确认，而权限仍需按照互联政策逐项判断。

身份、权限与信任必须分别治理

认证降低了“谁发送了消息”的不确定性。随后仍有两个独立问题：这个已识别的邻居是否有权启用某种协议、建立某类 LSP、发布某条路由、发送某种 OAM、预留多少带宽或占用多少处理资源；以及接收方愿意在多大程度上不经复核地依赖对方行为。前者是授权，后者才是信任。

把三者压成一个状态，会产生隐形权力。如果“认证成功”被解释为会话能承载的一切消息都获准，技术能力就替代了治理决策。如果一项业务获准被解释为对方整个核心都可信，边界设备便只剩转发作用，而失去风险隔离功能。RFC 5920 提出的方向相反：维持互联关系，同时对来源、协议、速率和资源分别设限。

因此控制不会只有一个开关。框架讨论了会话认证、路由策略、双向过滤、畸形包处理、按接口或按运营商限速、协议启停和持续监测。密码技术可以保护身份与完整性，却不能消除所有 CPU 或带宽耗尽攻击，还会引入计算与密钥管理成本。过滤能缩小攻击面，也可能拦截恢复所需的合法消息。限速能保住控制面容量，也可能在流量突增时放大业务中断。这些都需要明确负责人进行权衡。

收益与成本并不落在同一处

客户从跨网可达和稳定服务中获益，两家运营商也从更大的服务覆盖中获益。但维持边界的成本主要由 ASBR 两侧承担：密钥生命周期、配置复核、容量预留、遥测、联合演练以及误报处置。过严的规则可能保护核心却中断客户电路；过宽的规则可能暂时维持连续性，却让意外状态消耗控制面资源。

双方的激励天然不完全一致。发送方希望请求快速被接受，接收方则承担处理该请求的即时风险。互联协议应把这种不对称写清楚：开放哪些协议，允许哪些对象和速率，变更由谁批准，证据保留多久，什么条件下可隔离链路。认证可以确认对手方身份，却不能替双方完成这些选择。

反事实揭示真正授予的权力

如果完全没有互联，这个边界风险当然消失，但跨运营商服务也随之消失。更有意义的反事实，是仍然互联、却把授权等同于信任。在平静时期，它可能表现得更省事；一旦对方出现错误或被攻破，外部状态就更容易被转化为本方内部状态、资源耗尽或更大范围的中断。

“已授权但不受信任”的模型保留业务，同时拒绝这种自动转换。接收方只允许完成约定用途所必需的流量与状态，观察偏差，并保留收紧或切断的能力。邻居并不因此被定义为敌人；它只是一个独立权力主体，其内部保证不能替代接收方自己的审慎责任。

证据与边界

本文的协议和安全事实来自 RFC 5920；RFC 5921 提供 MPLS-TP 架构背景，RFC 5718 用于与上一篇带内管理通道文章划清主题边界。RFC 5920 属于信息类文件。可信区、授权邻居、威胁与防护能力属于来源事实；责任分工、变更审批与回滚建议属于 Elias Ward 基于这些事实作出的分析。

本文不对任何运营商、厂商或现网作出指控。来源没有证明当前采用率、任何具名运营商的配置、事件频率、现有控制效果或当下应选用的密码套件；缺少当代运营证据时，这些事项均属未知。

来源