摘要

  • draft-ietf-rtgwg-qos-model-16 为分类器、计量器、队列、调度器、策略挂载与运营统计建模。接口上存在有效策略引用，只能证明预期处理被表达；它不证明硬件资源已经实例化，也不证明数据包获得了预期服务。
  • 运营模块还提供清空 QoS 计数器的动作。草案把它标为 nacm:default-deny-all，因为清除会干扰监测并可能隐藏异常证据。没有观察窗口与清除历史的零值，不能证明没有流量、拥塞、丢包或攻击。

零值抵达时，没有带来它的历史

设想一次事故复盘。出站接口仍绑定正确策略，分类器命中为零，计量器没有 exceed 或 violate，队列深度、tail drop 与 ECN 标记也都是零。最乐观的解释是可疑突发从未经过此处。另一些同样合理的解释是：设备刚重启，计数器才建立；策略已被替换；实现没有更新这个字段；或者维护人员在分析师到达前执行了清除。

一个数字无法在这些历史之间作出选择。

修订 16 的价值，在于它把这种张力写进同一模型族。配置模块定义过滤与动作，把它们组合为策略，再按 ingress 或 egress 方向挂到接口。运营模块暴露分类、计量和队列统计，随后又提供 clear 动作，可立即或在计划时间清除全部计数器或指定类别。

草案没有淡化后果。该动作默认拒绝，理由是清除可能中断运营监测，并隐藏异常或攻击留下的证据。这不是附带的安全警告，而是一条证据保管规则。

策略引用是指令，不是数据包回执

模型路径很清晰：分类器包含过滤器；动作可以标记、计量、计数、丢弃、入队、调度或调用子策略；有序分类器及其动作组成策略；qos-target-policy 再把某种类型的单一策略绑定到接口与方向。

这种统一引用有实际价值。自动化可以审阅稳定对象，多个管理系统也能指向同一份意图。然而，配置树中的引用不是对芯片现实的直接观测。它没有证明线卡成功分配队列、按请求精度设置速率，或让下一只包匹配领导层以为的分支。

RFC 8342 提供了必要词汇：intended、applied 与 operational 不可互换。NETCONF 或 RESTCONF 事务成功，只能说明获授权请求按数据存储规则被接受。它不能独自证明资源充足、厂商取整规则没有改变效果、硬件路径支持动作，或者运行状态仍与获批版本相同。

草案允许厂商扩展策略类型、identity 与模块。不同设备能力需要这种弹性，也意味着相同形状的 YANG 不能自动成为跨厂商行为等价证明。两台设备都可能接受一棵树，却把它映射到不同的硬件粒度。

分层策略也揭示同一边界。模型禁止直接自引用，并要求实现拒绝循环链。这能排除一种结构错误，却不能证明非循环链有足够资源，更不能证明最终服务结果。

计数器是有管辖范围的本地证人

运营模块给出丰富回执。分类器统计包括匹配包、字节和平均速率；计量统计区分 conform、exceed、violate 与 drop；队列统计包含当前、平均和峰值长度、输出包、tail drop、RED/WRED 丢弃与 ECN 标记。

这些值能回答具体问题：数据包有没有到达这个分类点？它是否超出承诺曲线？该接口这个方向上的队列是否积压或溢出？

它们不能替后续层级作证。分类命中不证明包进入了预期硬件队列；队列输出不证明下一跳承载；本地 ECN 标记不证明端点响应；没有丢包也不等于应用时延或合同 SLA 已满足。每个计数器只在其测量点内拥有权威。

Named statistics 还暴露聚合代价。模型允许把多个分类器、计量器或队列按同一名称汇总，也允许保留非聚合项。汇总方便面板显示一个服务总数，却可能抹掉贡献来源。若要把总数用于问责，必须保留非聚合证据，或有可独立复现的贡献映射。

证据链应保持分段：

  1. 责任人批准服务目标与目标流量；
  2. 经审阅的策略版本表达分类器和动作；
  3. 获授权管理写入与 datastore 回执证明配置被接受；
  4. 设备运行状态证明分类、计量、队列与调度资源已实现；
  5. 已知测试流量在限定窗口推动预期计数器；
  6. 本地队列、丢弃、ECN 与速率数据说明该接口的处理；
  7. 下游测量证明路径与应用结果；
  8. 每次清除都有可归责的前后快照，保存在设备之外。

前一张回执不能继承后一层的权力。

获准清除，不等于应当销毁证据

NACM 默认拒绝是良好起点。只有显式规则允许的用户才能调用清除。双向认证和安全的 NETCONF/RESTCONF 运输可以识别发出请求的管理身份，并保护命令不在途中被改写。

这些控制回答“谁有资格请求”，不回答“此刻是否应该清除”。授权不是正当性结论。

可辩护的清除记录至少需要：请求者、批准者、理由、接口、方向、策略、计数类别、计划时间、实际完成时间、清除前快照、清除后基线，以及外部审计回执位置。计划任务还需要取消状态与时钟证据。若同一设备既清除计数又保存唯一日志，一次故障或入侵便可能同时抹掉事实和解释。

因此，配置、观察与清除应由不同角色控制。能修改 meter rate 的工程师不应自动获得删除历史的权力；能读取拥塞状态的分析师不必拥有改策略权限；事故响应者不应事后才发现例行容量任务静默重置了关键窗口。

重置并非天然错误。它可以建立干净的测试基线、管理有限遥测空间或划定维护期。错误在于让新的零值冒充对重置之前时段的陈述。

可观测性本身会暴露策略

保护证据也不意味着公开全部运营数据。分类器过滤条件会暴露前缀、端口、协议与 DSCP，说明哪些流量被重视；动作暴露标记、整形与丢弃位置；计量和队列参数暴露速率与容量选择。

实时计数再增加一层泄露面。能够注入探测并读取匹配数的攻击者，可以推断规则；meter 颜色能显露 policing 阈值；队列深度、RED 丢包与 ECN 会暴露拥塞时机和容量；运营者自定义的策略名甚至可能包含客户或拓扑信息。

读取、写入和清除因此需要三种最小权限判断。完全禁止读取会让配置无法验证；无限开放读取会让管理面成为策略 oracle。合理做法是限定访问、独立审计，并按动作后果确定保留期。

DiffServ 的边界同样不能越过。未经授权的 DSCP remark 可能盗取高等级服务，恶意 discard 或 meter 变更可能造成拒绝服务。即使标记合法，它仍只是逐跳事实；下游边界可以重新标记，终端应用也可能失败。本地策略不是端到端承诺。

通过验证的草案仍是工作文件

精确文本是 2026 年 9 月 25 日的修订 16，2027 年 3 月 29 日到期。Datatracker 将其列为 RTGWG 活跃工作组文档，状态为 I-D Exists；正文头部提出 Standards Track，而 Datatracker 的 intended-status 字段为空。两者都不是 RFC 批准。

Datatracker 对提取的 YANG 模块报告零错误、六项警告。这是当前修订通过机器检查的证据，不是厂商实现、资源实例化、互操作、生产部署或服务结果证据。正文中仍存在 RFC 占位引用。

能够成立的结论更窄：该工作为 QoS 意图与本地运营回执建立共同语言，而它的清除动作恰好说明，诚实解释证据还需要怎样的治理。

来源