摘要

  • RFC 9722 在 RT-4 中携带绝对 Service Carving Time（SCT），让具备 T 能力的对等 PE 围绕同一目标时刻选举；格式有效的 SCT 只证明发送者作出了时间声明。
  • “同步恢复”需要把时钟质量、路由接收、能力集合、定时器、DF/NDF 编程和逐流量观测绑定到同一恢复代次。
  • “无损”是客户数据面的结果，不能从一次成功的 BGP 更新、一次一致的选举或没有告警推导出来。

约定一个时刻，不等于完成一次交接

一台故障后回归的 EVPN PE 发现多归属伙伴，把本地当前时间加上伙伴发现等待期，随后在 Ethernet Segment 路由中通告 SCT。伙伴因此获得了重新选举 DF 的共同目标时刻。但到了那个时刻，一块转发芯片可能仍在写表，另一台设备的时钟可能偏了数毫秒，第三台设备甚至尚未收到路由。控制面记录完全自洽，客户包仍可能丢失、重复，甚至短暂成环。

RFC 9722 于 2025 年 5 月成为标准跟踪 RFC，并更新 RFC 8584 的 DF 选举过程。它解决的是各 PE 独立等待、独立触发所造成的竞态。恢复者用一个将来的绝对时间，把选举变成可协调的事件。它没有把这一时间戳变成跨设备事务，也没有定义客户服务的验收结果。

普通 EVPN 多归属交接有两条危险边界：新 DF 在旧 DF 停止前开始转发，会造成重复或环路；旧 DF 先停而新 DF 尚未就绪，会造成丢包。把发现定时器设得很长能够减少过早动作，却会延长中断。RFC 9722 让交接可排程，并没有让就绪度自动可见。

线路上传递的究竟是什么

SCT 位于 Ethernet Segment Route（RT-4）的 BGP 扩展社区中。IANA 将 Transitive Opaque Extended Community 的 0x0F 子类型分配给 Service Carving Time。其值采用缩短的 NTP 时间戳：32 位秒数加小数秒的高 16 位，表示粒度约为 15 微秒；NTP Era 并不随报文传递。

因此，合法接收一次通告，只能确认发送者声明了一个本地“现在”和一个等待窗口。它不能确认本地时钟正确，不能确认所有伙伴处于同一 Era 或偏差范围，也不能确认 BGP 传播与硬件编程能够在窗口内结束。

T 能力位位于 DF Election Capabilities 的 bit 3。一个 Ethernet Segment 上的所有 PE 都必须宣告支持，才能使用这套过程。一旦发现不支持 T 的伙伴，支持者应立即回退到基础流程，并取消 SCT 延时。这条安全规则也揭示了审计重点：静态资产清单并不等于恢复时的能力集合。证据必须是该 ES、该恢复代次实际观察到的成员和能力。

接收 SCT 也可能意味着丢弃 SCT

接收者要用本地时间检查 SCT。已经过去的值应被丢弃；相对本地当前时间的偏移如果大于接收者配置的 peering timer，同样应被丢弃。在两种情况下，接收者都把对方的选举视为已经发生。这能约束明显陈旧或远期的声明，却也意味着：时钟或配置不同的两个正确实现，可能对同一报文采取不同动作。

事故记录必须保存原始 RT-4、接收时刻、解析后的 SCT、本地计算出的偏移、定时器上限，以及接受或丢弃的决定。“BGP 路由已收到”会抹掉最重要的分支。一个字段可以格式正确却在本地被拒绝；也可以被接受，但所依赖的时钟后来被证明并不可信。

并发恢复还会改变定时器。RFC 9722 要求排列所有已知 SCT，并在最大、也就是最晚的时刻只执行一次选举。较早的待执行动作需要取消或后移。只有当各参与者及时看到了同一个候选集合，这个最大值才具有共同含义。审计应保留候选集合、排序、被替换的定时器、最终最大值和选择理由。只记录最终时间，无法发现迟到的 RT-4 或没有真正取消的旧定时器。

“NTP 正常”不是时钟置信度

RFC 5905 用偏移、时延、离散度、抖动与 root distance 描述时钟质量，而不是给出一个笼统的“已同步”灯号。RFC 8633 建议在需要准确时间时使用至少四个独立且多样的时间源，并持续监测；多个来源仍可能共享同一故障或因 leap smear 策略而分裂。RFC 8915 的 NTS 可以认证服务器与交换、抵抗重放，却不替时间值的客观正确性背书。

对 SCT 声称时钟可信，需要保留恢复窗口内的来源集合、选择状态、偏移、root distance、离散度、抖动、闰秒状态、最近更新时间，以及 step 或 slew 事件。“NTP 进程在运行”只是进程状态，并不是 PE 之间最大误差的界限。

RFC 9722 给出默认 10 毫秒、但可配置的 skew。围绕最终 SCT，从 DF 退为 NDF 的 PE 在 SCT − skew 时应用 NDF 状态，各方在 SCT 应用选举结果。这个小窗口旨在避免重叠转发，但安全取值取决于规模、硬件行为和时钟精度。默认值不是测量结果。运营者需要时钟误差、路由处理、选举计算和数据面写表延迟的真实分布。

DF 结果还要穿过硬件队列

选举算法只产出角色。软件仍要把角色转换为 VLAN 或 Ethernet Tag 的规则，下发过滤与复制状态，并获得硬件确认。设备可能先确认接口调用，实际表项稍后才生效；机框内各线卡也可能不同时完成；数百个 VLAN 很可能排队写入，而不是原子切换。

每项被宣称恢复的服务，至少应保存四个时刻：选举决定、编程提交、硬件确认、首次观察到的转发状态。记录新旧 DF、ES、VLAN 或 Ethernet Tag、恢复代次与错误路径。把所有服务压成一个“DF 已收敛”，会掩盖尾部少数客户仍在黑洞或双发。

最后必须用流量证据闭环。对明确的观测窗口，用带序号和时间戳的双向探针或客户遥测统计间隙、乱序、重复和异常路径；有成环风险时同时保存入、出两个视角。没有投诉不是零丢包，没有告警也不是零重复。采样流只能支持关于该流、该观测点和该时段的有限结论。

一条不会越权的证据阶梯

证据可以逐级陈述：某 PE 通告了带 SCT 与 T 能力的 RT-4；每个伙伴在截止前接收并接受，观察到相同能力集合和最大 SCT；独立时间证据支持一个明确的最大时钟差；定时器被一致安装、取消或重排，并算出相同 DF；相关服务在测得窗口内获得硬件确认；最后，指定探针观察到明确的丢包、重复、乱序与环路结果。只有最后一级能支持流量结论，而且仍受覆盖范围约束。

来源

主要标准与注册表：RFC 9722、RFC Editor 记录、IETF Datatracker、RFC 8584、RFC 7432、RFC 5905、RFC 8633、RFC 8915 与 IANA BGP Extended Communities 注册表。