摘要

  • PROBE 把请求发给可达的代理；当被查接口位于直连远端时，回复描述的是代理自己的 ARP 表或 IPv6 邻居缓存，而不是该接口发出的应答。
  • No Error、很短的往返时间和形似 ping 成功行的输出都可能完全正确，却仍不足以证明端到端可达、应用健康或故障已经恢复。

值班屏幕上出现一行很熟悉的文字：返回字节数、序号、TTL、毫秒级往返时间，最后跟着 active=1 ipv4=0 ipv6=0。事故已持续一阵，操作者的目光先识别出“ping 成功”的轮廓，于是把线路移进恢复列表。

可是这不是 ping。目标接口没有向探测节点回答。回答的是代理，真正说明协议栈状态的两个比特仍然为零。

这不是对某次具名生产事故的声称，而是依据 PROBE: A Utility for Probing Interfaces 第 06 版附录所重建的操作室模式。文档记载，早期客户端把 PROBE 结果显示得很像 ping。人会先做形状匹配，再逐字段阅读；一行大半看似成功的输出，足以压过尾部真正需要判断的状态。因此新版建议直接生成清晰的人类可读结论。

这里不只是界面问题。PROBE 用“移动证人”的方式补上诊断空白：探测节点无需与被查接口双向可达，只需与代理接口双向可达。能力扩大的代价，是必须严格标明证据来自谁、落在哪一层现实上。

同一项查询，两个证据面

PING 的 Echo Request 直接发往被查接口，Echo Reply 返回后，探测端获得双方路径可往返的证据。PROBE 则把 ICMP Extended Echo Request 发给代理接口。请求中的 Interface Identification Object 指定被查接口，L 位决定它是在代理本机，还是位于代理直连的另一节点。

L=1 时，代理读取本机接口的 oper-status。RFC 8343 把 up 定义为“已准备传送分组”；PROBE 只把这个值映射为 active。down、testing、unknown、dormant、not-present、lower-layer-down 都会被压成 inactive。这是代理节点对自有接口的操作状态陈述。

L=0 时，证据来源完全不同。代理不会要求远端接口回一条 PROBE 消息，而是查看自己的 IPv4 ARP 表或 IPv6 邻居缓存。地址不存在时，代码为 No Such Table Entry；存在时，State 字段报告缓存状态。这是代理在该时点对直连邻居的认知。

两个结果不能在存储层被合并成一个 interface_ok。A 位和 Neighbor Cache State 的观察者、时钟、失效方式都不同。若系统只保留一个布尔值，日后就无法知道“活跃”究竟来自本机操作状态，还是一份有年龄的邻居记录。

缓存状态带着时间

RFC 4861 对 IPv6 邻居状态的限定非常具体。REACHABLE 代表代理最近收到过正向路径工作的积极确认。STALE 代表这种确认已经过期，当前可达性不再确定，只有后续真正发送流量时才会触发验证。DELAY 给上层协议留下提供进展证据的时间；PROBE 表示正在发送 Neighbor Solicitation 寻求确认；INCOMPLETE 则说明地址解析尚未完成。

所以，“表里有这一项”不是恒久的可达证明，而 STALE 也不是链路必然中断。可靠的原始陈述只能是：在回复发生的时刻，这个代理依据自己的邻居不可达检测历史，保存着这个状态。

身份也可能没有闭合。链路本地地址被多个邻居复用时，结果可能是没有表项、只有一个却无法说明对应哪台邻居，或者多个接口同时满足查询。Multiple Interfaces Satisfy Query 是正确而诚实的错误码；它没有替操作者选择一个身份。

零错误码不是业务成功码

回包代码区分查询格式错误、本地接口不存在、表项不存在和多接口匹配。Code 0 名为 No Error，表示查询处理没有撞上这些条件。它不表示应用已恢复、反向路径存在，也不保证其余状态位都表达“成功”。

往返时间同样容易被越权解释。草案的示例应用会反复查询并显示 RTT，但可管理性章节明确说，这段时间属于探测节点到代理节点之间的路径，不是被查接口的属性。一个健康而快速的代理，可以很快地告诉你某个邻居状态很糟。

这正是“现实分层”的用途：报文格式层可以正确，探测到代理的传输层可以很快，代理缓存也可以被忠实编码，而业务层依旧失败。Running-Code Primacy 并不排斥标准化回执；它要求回执只在真正产生它的层次上发言。

授权边界也是语义的一部分

Extended Echo 默认关闭。运营方必须显式启用，决定允许哪些 L 位和查询类型，并配置获准的源前缀。未支持或未授权的请求会被静默丢弃。因此，超时可能来自策略、过滤、不支持、限速或丢包，不能自动归因于被查接口。

如此谨慎，是因为 PROBE 可能泄露接口名、地址、接口数量以及带宽、厂商、操作系统线索。第 06 版要求不得跨 VPN、network instance 或 logical network element 泄露；若代理接口和被查接口分属这些边界，必须返回 No Such Interface。技术结果必须和当时的授权、网络实例一起保存。

ICMP checksum 也不是来源认证。草案明确指出路径上的攻击者可以修改请求或回复；校验和用于发现偶然错误，不抗蓄意篡改。高后果决策需要 IPsec 或其他可归属的完整性保护，不能把“格式正确”写成“证人可信”。

修订的关键不是改线格式

第 06 版是活跃的 INTAREA 工作组 Internet-Draft，页眉标为 Standards Track。它提出废止 RFC 8335，但目前还没有成为 RFC。草案称，已知 RFC 8335 实现与新版兼容，因为变化旨在澄清报文格式和处理规则，而不是改变线上行为。

最值得领导者注意的，是它保存了失败经验。“类似 ping”的命名诱使实现者套用熟悉的报文想象，出现与 RFC 4884 不一致的捷径；类似 ping 的输出又诱使操作者按外形判读。Minimum Initial Specification 可以很小，但不能把来源和限定一起删掉。

文档对成熟度也相当克制：有个别跨越公共互联网部分路径的实验，却没有广泛实验结果。冻结的来源没有证明普遍部署、性能水平或某次具名恢复。

可辩护的回执链

每次把 PROBE 接入自动化，都应保存：

  1. 探测节点/接口、代理节点/接口以及请求和回复时间；
  2. 被查接口标识、标识类型和 L 位；
  3. 未被压扁的 Code、State、A/4/6 位；
  4. 获准源前缀、network instance 和功能配置；
  5. 解码所依据的实现与文档版本；
  6. 独立的链路、转发和应用证据；
  7. 决策、责任人、阈值和回滚路径。

PROBE 回包可以推动调查进入下一步，却不能单独认证端到端可达或业务恢复。代理是一名有价值的证人，但它不是目标接口，不是整条路径，更不是业务结果。

来源