摘要

  • 多段伪线把两个以上相邻 PW 段组合成一项点到点业务，但每个交换 PE 都会终结相邻的 PSN 隧道，并重新承担控制面和数据面的接续责任。
  • 因而，客户业务可以保持连续，标签绑定、分段准入、双向转发、OAM、拥塞、保护和安全证据却不会自动汇成一张可信的端到端回执。

连续是服务属性，不是证据属性

多段伪线最容易制造一种令人舒适的错觉：既然客户只购买一条电路，运营系统也只需要保存一个状态。RFC 5254 的定义恰好揭示了这种推理的错误。MS-PW 的确“表现并运行得像”一条点到点伪线，但它由两个或更多相邻的 PW 段组成。两端是终结 PE，中间每经过一个 S-PE，就多了一次控制和执行责任的交接。

S-PE 不是透明线缆上的装饰。它终结前一段所在的分组交换网络隧道，再把业务接到后一段隧道；它也把前一段的标签、状态和数据转发关系切换到下一段。客户所见的连续性，是这些局部动作被正确组合后的产物，而不是局部动作从此不存在。

一条业务若跨越多个运营域，这个差异会更加鲜明。不同域可以使用不同隧道技术、配置系统、服务等级表示、告警策略和访问权限。端到端面板中的绿色状态，只能是一项组合结论。它没有天然能力回答哪个域作出了准入决定、哪个 S-PE 安装了哪一代交叉连接、哪一方向发生了拥塞，或哪些报文真正抵达了远端接入电路。

先分清 PW 路由与承载隧道路由

RFC 5254 把 PW 路由描述为两端 T-PE 之间依次经过的 S-PE 集合。每个 PW 段又必须绑定到一个 PSN 隧道上；该隧道在域内走过的具体路径，可以显式指定，也可以由本地路由选择。规范有意不把所有底层隧道路由纳入同一套 PW 要求。

这给审计划出第一条边界。知道 S-PE 的次序，不等于知道每个域里的物理路径或标签交换路径；知道隧道处于 up，不等于知道正确的 PW 标签已经绑定；看到标签绑定，也不等于两个方向的数据都通过了 S-PE。三种事实可以同时相关，却不能互相替代。

多段伪线可以静态配置，也可以沿预定路线或动态选出的路线信令建立。静态标签、LDP FEC、路由选择输出和人工交叉连接分别来自不同权威系统。它们最后可能呈现出完全相同的业务外观，但故障调查若不知道每一段由什么机制创建，就无法判定哪条记录应当被相信。

对于信令建立的 MS-PW，RFC 5254 要求所有分段都成功后，整体建立才算成功。这是清楚而必要的事务边界，但它只证明某个时刻的建立结果。隧道重选、交叉连接漂移、队列故障或保护切换发生以后，旧的“建立成功”仍可能留在控制面上。

每一个分段都有自己的准入时刻

在每个 S-PE 上，PW 段都要映射到一条合适的 PSN 隧道。选择可能由信令属性驱动，也可能由本地策略决定；准入控制则逐段执行。这意味着第一段接受请求，并不能迫使第二个域接受同样的资源假设。一个域预留了带宽，另一个域可能只保存优先级或采用完全不同的供应模型。

可靠的证据模型需要保留每个边界收到的请求、选用的标签或标识符、绑定的隧道、所用策略版本以及准入结果。只有这样，当路由或策略发生变化时，端到端的 up 状态才能被重新解释。若中间回执被覆盖，只留下最终结果，运营团队就失去了说明“为什么这一次组合成立”的能力。

方向也不能被压缩掉。一个 PW 段的两个方向落在同一对 PE 上，但标签、队列、计数器和缺陷都可以不同。控制面上存在交叉连接，不代表两个数据方向都健康。把双向状态合并成一个布尔值，恰好会抹去单向丢包、错误队列或不对称通知所需要的证据。

OAM 必须同时观察短距离与长距离

单段检测和端到端检测不是互相竞争的工具。RFC 5254 要求多段环境至少具备单段伪线已有的 OAM 能力，并且同时支持分段和端到端机制，以便既发现故障又定位故障。观测范围可以是 T-PE 到 T-PE、T-PE 到 S-PE，或者 S-PE 到 S-PE。

端到端探针回答“组合后的业务是否工作”；分段探针回答“问题可能位于哪一段”。只保留前者，故障无法归属；只保留后者，又无法证明客户路径完整可用。多段结构之所以需要两种距离，正是因为业务层的一个结果依赖多个执行层的局部结果。

所有参与的 PE 还必须就 OAM 机制达成一致。S-PE 要把底层隧道缺陷传播给受影响的伪线，保持通知的方向信息，并透明传递两端 T-PE 之间的 OAM；同时它又应当作为分段观测的端点。转发一条端到端消息与生成一条本地观测，是两个不同角色，不能合并成同一日志事件。

静态段也不能以“没有信令”为由免除观测。相邻 S-PE 没有信令对等关系时，带内 OAM 仍需要传递 PW 或接入电路缺陷。配置只说明某人希望系统如何工作；OAM 说明系统观测到了什么；而两者都还没有证明客户报文得到了预期交付。

保护切换完成的是动作，不是结果

保护范围可以覆盖一个分段、多个相邻分段，也可以覆盖整条端到端路径。检测器触发备用路径，只能证明控制系统采取了动作。备用段是否完成准入、双向状态是否安装、流量是否恢复，仍需要新的证据。

后续规范把这一链条进一步具体化。RFC 7771 处理静态 MS-PW 的 S-PE 保护，RFC 8104 讨论伪线端点快速故障保护。它们共同说明，故障发现、保护选择、状态安装和恢复后的转发是四个相邻但不可互换的时刻。

如果事件系统看见“保护已激活”便自动关闭工单，最关键的一张回执就被跳过了。切换后应重新识别实际承载路径，运行分段与端到端观测，并检查真实业务流量。控制动作成功而客户恢复失败，是复杂网络中完全可能出现的状态。

服务等级在域边界上必须重新被证明

不同运营域可能采用不同的隧道和 CoS 表示。RFC 5254 因而要求在管理边界进行映射，并让 PE 把分段绑定到属性适合的隧道。连续的服务名称并不能保证时延、丢包和优先级语义穿过每次转换后仍然相同。

拥塞首先是局部事实，之后才可能成为端到端事实。每个域都必须实施拥塞控制，MS-PW 不应无保护地跨越未供应的尽力而为路径。RFC 6073 进一步指出，各分段独立处理拥塞，即便共享拥塞信息可能改善整体缓解效果。

因此，建立回执不等于性能回执。时延、抖动和丢包需要性能 OAM 或流量观测；缺陷通知不是延迟测量，连通性正常也不是 SLA 达成。领导层若只查看拓扑和配置状态，会把资源意图误当成客户体验。

跨域使安全证据也发生分段

在运营商边界，本域按照本地规则接受邻域传来的标签。这样的本地可接受性不构成端到端真实性证明。中间域或故障 S-PE 仍可能注入、重定向、镜像或劫持 PDU。RFC 5254 提出端到端 PDU 真实性机制，原因正是分段建立无法自行封闭这种风险。

管理可见性同样被分割。跨域远程管理可以被支持，也可以因为安全原因关闭。从一个控制台看不到状态，不代表状态不存在；控制台里字段齐全，也不代表数据平面正确。审计设计必须允许各域保护本地细节，同时保存足够的关联标识、时间边界和状态代际，以便事后重建整项业务。

一套可逆记录应从接入电路与预期 T-PE 开始，列出建立模式和有序 S-PE 路由。对每个分段，保存标签、隧道绑定、策略代际、准入结果、双向交叉连接、CoS 映射、保护状态与分段 OAM；随后再把这些记录与端到端 OAM、性能度量、实际转发和客户结果连接起来。

Lu Heng 关于现实层的纪律为这一架构提供了管理语言：组合后的服务是真实的，但它的统一只属于服务层。分段接受、交换状态、缺陷传播与实际交付分别属于不同现实，也由不同主体保管。只有当“一条伪线”可以被反向展开成使它成立的每张回执，这个抽象才值得信任。

来源