摘要

  • draft-geng-grow-bmp-rr-sync-00 提议以 BoRR—Route Monitoring—EoRR 的定向序列修复一个 BMP RIB 视图，而无需重置其他会话。
  • EoRR 证明发送方宣告重放结束；若没有世代、预期条目数或摘要，它不能独立证明每条路由都完成了生成、传输、写入和提交。

收集器收到 EoRR，随即删除仍标为 stale 的前缀，监控面板恢复绿色。这可能完全正确：那些前缀确实已从路由器消失。也可能是一条语法无误的错误结论：某批路由没有生成、队列发生丢失，或实时撤销与重放在边界上交错。两种现实最后都能抵达同一个结束标记。

这正是 2026 年 9 月 30 日上传的 BMP Extension for Non-Disruptive RIB View Synchronization 值得关注之处。00 版是个人提交的活跃 Internet-Draft，Datatracker 状态为 I-D Exists。文档页眉写着 Standards Track，Datatracker 却没有记录预期 RFC 状态。它不是 GROW 工作组文档、RFC、已分配的 BMP 消息类型，也不是部署报告。

用小范围修复替代大范围重置

BMP 把路由器中的路由状态持续送往收集器。短暂断连、socket 缓冲区溢出或进程重启，都可能让发送方 RIB 与收集器副本分叉。传统修复往往过重：重置整个 BMP 会话、重新导出所有 peer，甚至扰动 BGP 邻接，只为修复一个局部视图。

新提案定义 BMP Route-Refresh 消息。对一个 <Peer, AFI, SAFI>，发送方先发 BoRR，把完整的当前活跃路由作为普通 Route Monitoring 消息重放，最后发 EoRR。收集器在 BoRR 时把旧条目标为 stale 或 historical；相同路由到达时清除 stale；EoRR 到达后删除仍然 stale 的剩余项。

这个做法借用了 RFC 7313 的成熟结构，也确实降低了操作冲击。但“刷新信封”与“内容清单”不是一回事。

结束标记里没有装箱单

BoRR 与 EoRR 能可靠界定发送方所声明的开始和结束。00 版没有定义刷新事务 ID、预期路由数、逐前缀确认、最终摘要或独立回读。示例明确允许两个标记之间出现零条或多条 Route Monitoring 消息。当 RIB 真的为空时，零条是合法结果；当所有重放消息都丢失而 EoRR 幸存时，线上看到的仍然是零条。

RFC 7854 还规定 Route Monitoring 同时承载初始快照与持续变化，peer dump 不要求固定顺序，并允许状态压缩：一个前缀在排队期间多次变化，路由器可以只发最终状态。这适合规模化监控，却意味着收集器还需要知道某条通告或撤销属于刷新快照、后续实时世代，还是两者都要影响。

新草案没有给每条 RM 消息增加“重放/实时”标签，也没有用序列号把并发变化绑定到同一个快照世代。发送方实现或许知道自己的意图，异构收集器却只能依赖 TCP 顺序和本地约定来恢复意义。协议信封可移植，完整性证明仍停留在实现内部。

<Peer, AFI, SAFI> 不是完整身份

现代 BMP 视图还区分 Adj-RIB-In 与 Adj-RIB-Out、pre-policy 与 post-policy。RFC 9069 又引入 Loc-RIB Instance Peer、实例身份和 filtered 标记。因此高可信回执必须绑定路由器、BMP 会话、peer type、distinguisher、BGP ID、地址族、RIB 方向、策略阶段、Loc-RIB 实例、过滤状态和导出配置版本。

否则，一次成功的 pre-policy Adj-RIB-In 刷新，可能被下游误读成 Loc-RIB 已经完整。即便 Loc-RIB 完整，也不等于 FIB 已安装，更不等于数据包按该路径转发或安全处置已经生效。

加密通道数不出缺失的路由

草案正确指出，伪造 EoRR 可诱使收集器过早删除有效状态，并要求依照 RFC 7854 采用 IPsec、TLS 或严格 ACL。认证与完整性保护能证明消息来自谁、途中未被篡改，却不能证明获授权发送方组装了完整人口，也不能证明内部队列无丢失，或收集器在处理 EoRR 前已提交此前所有消息。

需要保存的是一条更长的证据链：获授权的触发原因；完整 RIB 视图身份；刷新 ID 与开始世代；BoRR 接收和 stale 标记提交；发送方预期数量或摘要；丢包与背压状态；重放批次；实时更新的排序规则；EoRR 的发送和接收；删除数量、拒绝数量及提交结果；最后是刷新后对比或重点前缀回读。

卢恒的最小初始规范原则在这里给出正确边界：公共协议只应标准化互操作所需的最小语义，不能让一个共享标记冒充只有运行系统才能产生的本地证据。运行代码优先则要求查看设备和收集器实际观察、提交、比较了什么。

这项提案使恢复更小、更稳健。管理层应接受这种收益，同时拒绝把 EoRR 包装成完整性证明。它可以结束重放；只有另一份回执才能说明刷新后的视图是完整的。

来源