摘要

  • RFC 5240 的四张表同时承载候选配置、当选状态和 RP 映射。部分对象是 read-create，它们不是被动遥测，而是会影响后续选举的输入。
  • 某台设备报告自己当选、计时器归零或发出通知，只能证明该设备在该区域的局部状态；全域收敛、映射生效和业务可达仍需独立证据。

仪表盘背后有一根操纵杆

BSR 机制为 PIM 路由器分发组地址到 Rendezvous Point 的映射。RFC 5240 用四张表把相关状态放入管理面：本机 Candidate-RP 配置、当选 BSR 持有的 RP 集、本机 Candidate-BSR 配置，以及设备学到的当选 BSR。

如果只看表名，它像是一套清晰的库存。但访问级别改变了一切。候选地址、优先级、广告间隔、保持时间和哈希掩码中有多项可以创建或修改。同一个 SNMP 端点既能回答“现在是谁”，也能接收足以改变“下一次是谁”的配置。

因此，GET 与 SET 必须进入不同的审计链。GET 是某个代理在某个时刻返回的局部快照；SET 是某个身份提出的变更。SET 成功只证明代理接受了请求，不证明选举已经改变，更不证明 Bootstrap 消息已传播、其他路由器已安装映射或流量已经恢复。

候选意图不是共同事实

Candidate-BSR 行记录本机准备使用的地址、竞选优先级和 RP 哈希掩码长度。是否当选是只读布尔值。Bootstrap 计时器也是只读值，而且本机未当选时明确为零。

这意味着“零”不必然是计时故障，“真”也不必然是全域共识。后者只表示本地代理认为本机在该区域当选。另一张当选 BSR 表记录设备学到的地址、优先级、哈希掩码和最短剩余有效期，仍然只是这一观察点的认知。

要证明收敛，至少要比较多个独立路由器，或直接观察分发路径上的 Bootstrap 消息。要证明业务健康，还要继续检查组到 RP 的选择、PIM Join 状态与真实数据流。把第一层绿色状态写成最后一层结论，是证据越权。

两种优先级朝相反方向

Candidate-BSR 的数值越大，选举优先级越高。Candidate-RP 则相反：数值越小，优先级越高。统一执行“加一以提高优先级”的自动化，可能在两个对象上产生相反结果。

RFC 5240 的安全章节直接说明了控制面后果。创建一个高优先级 Candidate-BSR，或提高现有候选的优先级，可能接管当选 BSR 的功能；创建一个数值更低的 Candidate-RP，可能让其他路由器为某段组前缀选择它。两者都可能中断服务。

权限模型不能只分“能否访问 SNMP”。读取拓扑、接收通知、创建行、改地址、改优先级、改时序、改哈希参数和删除配置，是不同权力。SNMPv3 的认证与加密保护会话；只有细化到对象与操作的授权，才能限制代理关系。

RP 集只是待处理材料

当选 BSR 的 RP 集既可能来自 Candidate-RP 广告，也可能来自本地配置。RFC 5240 说明，当选 BSR 会应用本地策略，将其中部分或全部映射放进 Bootstrap 消息。

所以，表里存在一行不等于已经广播。已经广播不等于所有路由器都收到。收到不等于安装，安装也不等于某个组最终选择该 RP，更不等于数据抵达接收者。每一层都需要自己的收据：表版本、策略版本、发包、收包、安装状态、Join 与业务流量。

索引同样是事实的一部分。地址族、区域、组前缀和前缀长度共同标识一行。RFC 5240 特别要求前缀长度之外的位为零，否则那就是另一行。若采集系统只保留一个 IP 地址，精确数值也会失去可归属的语境。

通知不是投票结果

可选的诊断组定义了候选获胜与现任落选通知。它们能为本地转换留下时间点，却既非强制实现，也不保证送达。没有通知可能表示没有变化，也可能表示设备没实现、接收方没订阅、授权过滤或传输丢失。

收到通知也不构成共识。它只证明某个代理发出了包含若干对象的事件。独立轮询、其他路由器的状态和报文观测必须承担复核角色。让实施变更的代理同时成为唯一见证者，会把自述变成事实。

RFC 5240 没有声称某个厂商存在漏洞，也没有报告真实中断。它提供的是对象语义和安全边界。按 Lu Heng 所强调的运行代码与可归属现实，结论只能从相互独立的观察中生长：谁读了什么，谁改了什么，网络随后真正做了什么。

来源