摘要

  • 10 月 27 日的一份 IETF 个人草案摆出四条前缀同为 P1 的 VPN 路由。PE1 选中来自 RD22 的那条，放进 VPN11；送到 BMP 监控端的记录却只标了接收方 RD11。监控室看见路由到了哪里，却说不清它从哪个实例来。
  • 草案提出携带远端 VRF 身份的新字段，第二版还把它用于 EVPN Type-5 跨实例导入。发送方可以不带，收集器也可以忽略。运营者若要追究跨实例路由的来处，就得自己决定是否把这个字段列为监控必需品。

四条同名路由，一张丢了出生地的收据

在草案构造的网络里，PE1 面前摆着四条前缀都是 P1 的路由。PE2 的三个 VPN 实例分别标作 RD21、RD22、RD23；PE3 还有一条 RD31。它们携带同一个可供 VPN11 导入的 route target。PE1 挑了 RD22 的那条。BMP 服务器随后收到 VPN11 本地路由表的报告：P1、下一跳、RD11。RD11 是收件箱的名字，RD22 这个寄件人却没写上去。

草案没有报告真实运营事故。它展示的是信息如何在一套正常工作的监控链里悄悄变窄。监控界面可以准确说“VPN11 现在有 P1”，面对“这条 P1 是 RD21 还是 RD22 送来的”却没有答案。三个候选都从 PE2 出来，下一跳地址也无法替来源实例作证。一个跨边界的选择，被呈现为一条没有来历的到达记录。

IETF Datatracker把这份文件列为仍在讨论的个人 Internet-Draft。它不是已通过的 RFC，也不是任何网络已经部署或发生泄漏的证据。它真正击中的是治理问题：当监控系统只能指出路由的落点，谁有权宣称跨 VRF 的流动已经受到充分监督？

本地路由表记的是选择，不是完整家谱

RFC 9069让 BMP 能报告 BGP 的 Loc-RIB，也就是本地决策过程挑中的路由。好处很实际：收集端不必把每个输入候选和路由策略重新算一遍，就能知道设备选了什么。代价出现在它的报告视角。VPN 路由的 peer address 填零，peer distinguisher 指向被报告的本地实例。在草案例子里，这个值是 RD11；它说明 P1 被放进 VPN11，并不说明 P1 原来由 RD22 提供。

PE1 的控制平面曾收到四个候选。遗失的是向 BMP 服务器交付的那份观察记录，而不是断言 PE1 自己忘了来源。这个界限决定了应当要求谁提供什么：如果调查任务是辨认越过 VRF 边界的具体来源，就不能让“目标表里有路由”替代“路由来自哪个远端实例”。前者是状态，后者是选择的来历。

草案给出一个 Remote VRF Information TLV，拟在报告中附上地址族、远端 BGP 标识和远端 route distinguisher。这样一张 P1 记录可以同时写 RD11 与 RD22：前者是接收实例，后者是被选路由的来源实例。另有可选字段携带远端 VPN label 或 SRv6 SID。它们能帮助解释路由处理方式，却不能拿一个标签冒充来源身份。

想象运营者正在核查一条跨实例导入规则。规则允许某类 route target 进入 VPN11，并不等于所有持有这个 target 的来源实例都被同等看待。若监控链只保存 P1 的落点，来源从 RD22 换成 RD21 时，画面可能仍是一张漂亮的“P1 在 VPN11”卡片。卡片是真的；它遗漏了负责审计的人真正想知道的变化。

EVPN 的新场景，漏洞仍是同一处

01 版草案已有 VPN 路由方案。02 版增添 EVPN Type-5 的例子：PE2 上 EVI21 的 P1 经由集成路由与桥接，被 PE1 导入 EVI11。普通 Loc-RIB 监控报告能看见 EVI11 中的 P1，下一跳指向 PE2；它无法单凭这份报告辨认 EVI21。拟议字段把 AFI 25、SAFI 70、远端 BGP 标识及 RD21 一并送来。线上的改动不大，人的追问却可以从“有多少”深入到“从谁来”。

草案还提及另一份 EVPN BMP 统计提案。按 EVI 计数可以显示有多少路由发生跨实例流动，适合发现规模变化；计数不能指出这条 P1 到底由哪一个 EVI 提供。统计报警与单条路由的来源证据应当接在一起，而不是互相替身。

这里看见的始终是 BGP 控制平面选路。Loc-RIB 的一条记录并不自动证明转发表已安装、数据包已转发或客户业务已改变。新字段若被采用，改善的是“选中的这条路由从哪里来”的可解释性。真正的转发和服务效果还要另找观察。把来源标识写成送达证明，只是把问题挪到下一层。

字段可选，读它的人也可选

草案用的不是强制句式。支持扩展的 BMP 发送端可以附上远端 VRF 信息；收集端可以忽略它，继续与 RFC 9069 的普通处理兼容。IANA 类型值在文中仍是待分配。文件发布并不会让设备自动发送、收集器自动保存，或值班员自动看见 RD22。

安全章节要求 BMP 会话只与获授权、可信的监控设备建立。这守住了谁能接收流量的一道门，却没有替运营者决定如何保存来源字段、缺字段时是否报警，以及谁能接受这块盲区。会话健康的绿灯可以亮着，负责核查跨 VRF 策略的人却仍拿不到关键名字。

Sources