摘要

  • 5G 控制面用 S-NSSAI 识别切片，传输域却看不到这个值。交接点必须把它翻译成 VLAN、IP 地址或前缀、DSCP、MPLS 标签、SRv6 标识等本地可观察字段。
  • 映射只说明某种处理被请求。VPN 分离、边缘准入、核心聚合、容量规划、实际下发路径与用户看到的性能，都需要各自的证据。

网络切片最容易被一张图误导。图上，一条彩色带从无线接入贯穿核心网和广域网，仿佛同一种身份一路自动携带隔离、带宽和时延。RFC 9889讨论的是更真实的世界：如何用现成 IP/MPLS 技术承接 5G 切片。它真正揭示的是那条彩色带在传输边界会中断，随后必须由一系列本地控制重新实现。

5G 控制面使用 32 位 S-NSSAI。传输域无法直接看到它，因而只能依据 VLAN、地址、前缀、DSCP、隧道、MPLS 或 SRv6 等字段分类。字段出现，只能证明报文带着一个可匹配的符号；它不能证明正确 VPN 已建立、限速器已准入、队列获得资源、底层路径符合约束，也不能证明接收端获得承诺的服务。

交接字段只有本地含义

VLAN 方案最能说明问题。同一个切片在不同接入电路上可以使用不同 VLAN，一个 VLAN 也常常只在某个服务分界点有效。每个点都要维护映射，客户侧与运营商侧需要协调 VLAN、地址、子网，有时还包括 ASN 或隧道参数。上层切片名称不变，并不能防止某一处表格过期。

IP 交接可以用专用地址、地址池、前缀位、DSCP 或 SRv6 locator 来表达切片。它减少某些接口配置，却把地址分配和分类规则变成了权限面。地址复用、共享网络功能或不同版本的表格，都可能让合法流量进入错误策略。有效证据要说明在哪个分界点、依据哪一版映射、由谁发布。

RFC 2474给 DSCP 的权力是选择逐跳行为，不是签发端到端 SLA。RFC 3270说明 DiffServ 如何跨越 MPLS。观察到正确码点，不等于沿途每台设备都选中了预期队列，更不等于故障后仍有可用容量。RFC 9889 复用这些机制，并没有扩大它们的证明范围。

映射关系也不是固定一对一。一个 5G 切片可以拆到多个传输切片，例如分开控制面和用户面；多个 5G 切片也可以共享一个传输切片；规模扩大后常见的是 M 对 N。对象数量不能单独证明隔离强弱，必须看共享后仍保留哪些资源与约束。

三个控制域共同承担一个结果

RFC 9543把 IETF 网络切片定义为服务分界点之间、带有服务目标的连接。RFC 9889 将它放进更长的 5G 链条：端到端编排器表达无线、核心与传输意图；客户站点控制器管理本地网络；运营商 Network Slice Controller 管理提供商网络；接入电路连接两侧。

一个控制器返回成功，不会继承其他控制域的权力。CE 可能已配置 VLAN，PE 还没有把它绑定到 VPN；VPN 可能存在，承载连接却不存在；两端可能认同标识，却对带宽不同意；控制器数据库也可能在某台设备拒绝命令后仍显示完成。

因此，接入电路不是图里的细线，而是一份双边合同。选择器、地址、封装、速率、安全约束与变更顺序都要一致。RFC 9889 还允许按策略复用已有传输切片，以缩短开通时间。复用是一次授权决定，应保留策略版本、当时容量、冲突处理和回滚依据。

边缘精细，核心聚合

L2VPN 与 L3VPN 提供逻辑分离。RFC 4664描述二层 VPN 框架，RFC 4364定义 BGP/MPLS IP VPN。独立服务实例与外层报头有助于分类，但不会自动预留带宽，也不天然代表加密。

在提供商边缘，控制可以很细。入口 policer 可按切片甚至按 5QI 流量类执行速率合同；出口 scheduler 与 shaper 可以分配保证速率。只有分类器、CIR/PIR、突发参数、队列层级和物理电路容量都对应同一批准记录，标识才真正转化为可执行约束。

在传输核心，粒度会主动收缩。RFC 9889 的模型只使用一个 Network Resource Partition，中间路由器不保存逐切片状态，许多服务被压缩进通常不超过八个传输类别。5QI-unaware 模型把整个切片映射到一个类别，核心逐跳处理忽略内层 DSCP；5QI-aware 模型在边缘保留更多区分，但核心仍会把大量 5G 类复用进有限类别。

这使共享关系成为重要风险。上千个商业切片可以依赖同一个队列、链路与控制器。统计“已开通切片数”展示的是产品多样性，不是资源多样性。容量与故障审计必须看到这些汇聚点。

“第一个切片”不是普通模板

RFC 9889 还提醒运营者，首个切片与后续切片的资源动作可能不同。首个切片往往同时带来控制面、用户面以及两者所依赖的传输连接；后续切片则可能只新增用户面功能和专用传输，同时继续共享原有控制面。于是，“创建成功”在不同阶段代表的变更集合并不相同。

这会影响故障半径。共享控制面可以减少重复资源，却让多个业务共同依赖一次证书轮换、一次配置错误或一组传输连接。后续切片的开通速度，部分来自复用了已经存在的权力与风险，而不是每次都重新建立完整系统。审计应记录哪些部分新建、哪些复用、哪些只是引用。

映射策略也会随规模变化。初期的一对一配置便于解释，需求增长后可能转为多对一，以减轻 VPN、队列和控制状态的规模压力。这不是纯粹的后台优化：它改变隔离边界、拥塞关系、回滚方式和客户可见指标。迁移需要把旧映射和新映射同时纳入验证，直到实际流量、设备状态与测量都证明切换完成。

真正的最小协同规范不是把所有域改造成同一种技术，而是规定跨域时不能含混的字段：服务目标、选择器作用域、容量语义、版本、责任人、失败行为和测量方法。域内仍可选择适合的 VPN、TE 与 OAM 实现。这样既保留本地演进空间，也避免把未来变化偷偷塞进一个看似稳定的切片名称。

这一原则也解释了为什么运行状态比设计图更有权威。图纸可以显示一条专用通道，控制器可以保存一次成功请求，合同可以写入保证值；只有设备配置、转发表、队列计数、链路负载与端到端测量，才能说明当时具体发生了什么。它们彼此也不能替代：配置快照不是历史流量，平均时延不能证明所有高优先级报文都被正确分类，一次成功测试更不能覆盖故障拓扑。治理的任务不是选出一个“真相字段”，而是保留这些事实之间可复核的连接。

带宽承诺未必对应逐链路预留

RFC 9889 的第一种容量方案使用最短路径和容量规划，没有显式端到端带宽预留。运营商仍可提供带宽保证，因为它依据需求预测、负载分布和冗余余量避免超售。但流量突变或网络故障可能破坏假设。这种模式并非无效；关键是不能把工程规划说成物理预留。

其他方案使用固定或动态带宽约束的流量工程路径。RFC 9522提供 Enhanced VPN 与 TE 的相关框架。在 SR-TE 场景，控制器可以维护“预留”账本，而网络层本身并没有像 RSVP-TE 那样完成预留。控制器账本、算出的路径、设备安装状态与实测负载是四种不同记录。

出口仍受简单算术约束：承诺速率之和必须容纳于物理电路，除非明确抢占较低优先级服务。正确的 S-NSSAI 不会扩展链路。准入决定必须绑定时间、拓扑与可用容量。

测量为承诺收口

RFC 9889 要求发现控制面视图与实际配置之间的不一致，报告服务目标指标，并向客户暴露运行状态。意图说明“应该有什么”，设备状态说明“安装了什么”，遥测说明“发生了什么”，客户观测说明“收到什么”。把这些折叠成一个绿色状态，会删除最关键的事实。

安全边界同样不能折叠。控制接口需要安全传输、双向认证和最小权限；映射与分类表必须限制写入，因为一次未授权修改就可能重定向流量或占用其他切片资源。地理约束依赖底层路径证据，VPN 名称本身不能证明绕开了某个地区。

最后要尊重范围：RFC 9889 是信息性文件，只讨论单一 NRP，不是 BCP，不规定唯一机制，也没有记录任何具名部署或性能结果。它提供实现模型，不提供部署证书。

来源