RFC 9574：复制器路由不是就绪回执

摘要

叶节点刚收到 Replicator-AR 路由。下一跳可达，AR-IP 已知，BGP 状态正常。若只看控制台，此时似乎已经可以把广播和组播交给新复制器。

RFC 9574 要求运营者更谨慎。它建议叶节点启动默认三秒、可配置的激活计时器，并在此期间继续普通入口复制。理由写得很具体：新加入或刚重启的复制器需要先收到叶节点自己的 Regular-IR 路由，再把它编程进相关状态，随后才适合接收由该叶节点委托的流量。

因此，三秒不是随意的缓冲。它暴露了两条不同的事实链：叶节点已经发现谁声称可以复制；复制器是否已经知道应该把流量复制给谁。前者存在于路由通告，后者存在于运行中的转发表。

普通入口复制无需在 underlay 中维持 PIM 组播树，但同一帧可能在同一物理链路上重复传输。PIM 可以减少副本，却要求 fabric 路由器保存组播状态。辅助复制选择了第三种放置方式：低性能 AR-LEAF 只发一份，由容量更强的 AR-REPLICATOR 继续复制。

这确实节省了叶端工作量，也把带宽、成员列表和故障半径集中到少数复制器。优化的正确经济账不是“少了几条隧道”，而是“哪些状态被迁走、谁为集中后的容量和失效负责”。

未知单播并不会自动沿辅助复制路径传播。它仍与已知单播同路，只可能受另一套修剪洪泛列表标志影响。把所有 BUM 流量视作同一种证据，会把标准刻意保留的边界重新抹掉。

发往 AR-IP 的封装包要求接收节点执行辅助复制：它可以从一个 overlay 隧道继续复制到其他隧道和本地接入电路。发往 IR-IP 的包执行普通入口复制，只交付本地，不再向 overlay 展开。单 IP 场景则用不同 VNI 保留这一区分。

这意味着外层地址不只是位置，也是指令。源地址、目的地址、VNI 以及源叶是否属于选择性集合，共同决定数据平面的分支。路由查看器能够证明字段存在，却无法证明真实数据包走了正确分支。

运营回执必须把 BGP 意图与运行结果连接起来：硬件或软件表项读回、集合版本、已知序列的 canary、预期接收方以及源端未收到回环副本。

非选择性模式允许一台叶节点本地选择一个或多个复制器，不同叶节点可以做出不同选择。当全部复制器不可达、停止通告复制器角色，或者从未被发现时，叶节点必须回到普通入口复制。

选择性模式增加了更窄的委托。叶节点为每个广播域选择一台复制器，并向它发送 Leaf A-D 路由。复制器据此建立自己的选择性叶集合。若活动复制器失效，叶节点选出替代者、发出新的 Leaf A-D 更新，并建议在激活计时器期间先回到普通入口复制。

这个回退不是优化失败后的尴尬例外，而是状态交接的安全栏。不过，许多 AR-LEAF 正因为复制性能较弱才使用该方案。必须分别证明回退已安装和回退有足够容量；“存在”不等于“可承受”。

激活计时器等待的是复制器学习并编程叶节点。选择性模式中的 join-wait 计时器同样默认三秒，但它等待的是叶节点收集广播域内的 Replicator-AR 候选，然后再用 Leaf A-D 表明选择。

前者防止过早送入数据，后者防止过早锁定候选。两者都没有读取 FIB，也不会在完成时收到硬件回执。计时器到期只能说明时间经过，不能说明路由传播、路由目标导入、成员集合更新或转发表写入已经完成。

真正的配置应来自所处网络的长尾测量，包括重启、控制平面繁忙和策略变更时的分布。默认值可以启动实验，不能替代验收条件。

选择性复制器用 L=1 通告模式。如果同一广播域中任何复制器通告 L=0，其他复制器必须回退到非选择性行为。叶节点也应统一使用选择性或非选择性模式，标准明确说两种叶不应共存。

混用会产生可见后果：非选择性叶把流量交给选择性复制器时，复制器可能只向自身集合内的叶发送，集合之外的接收方因此被遗漏。路由格式完全合法、包也没有损坏，却仍然形成交付缺口。

Replicator-AR 被撤销时，相应 Leaf A-D 也会撤销。这证明控制意图开始退出，不证明所有旧列表都已清空，更不证明过渡期间没有丢包或重复。

RFC 9574 说明了集中复制器遭攻击或性能不足时的影响、错误实现造成环路的可能、模式混配导致重复的风险，以及修剪标志误配后漏收必要流量的后果。为全活跃以太网段保留原始隧道源地址，还会带来关闭基于该源地址的 uRPF 检查这一权衡。

这些是设计表面的警示，不是某个厂商或运营商已经发生事故的证据。标准没有测得三秒收敛、租户丢包或真实攻击。本文只保留它能支持的判断：能力通告与运行就绪之间存在必须被观测的交接。