摘要

  • RFC 9599 把 ECN 能力放在完整的拥塞反馈回路上，而不是放在某个比特或某台设备上。只有当标记能穿过每个必要边界并抵达真正调节负载的节点时，下层才可以用显式标记代替丢包。
  • 封装入口必须保留此前已经积累的拥塞；出口必须根据内外两层状态计算结果。若严重标记的外层包裹着 Not-ECN 内层，丢弃该包不是倒退，而是旧传输唯一能理解的拥塞通知。
  • 升级比例不能证明安全。运营者必须证明所有可能解封装的出口、故障切换路径和服务链分支都能传播或诚实转换信号，并把包存活、标记传播、接收端反馈、发送端降速分别记录。

一次边缘升级通常从一个合理目标开始：用显式标记减少不必要的丢包。团队在入口打开 ECN，在域内的队列启用标记，然后看到吞吐稳定、丢包下降。看板给出绿色结论。

但这个域有四个出口，其中一个只在故障切换时出现，另一个位于旧服务链后方。它们都能删除外层头部，却不能把外层的拥塞状态合并进内层。正常流量经过新出口时，系统似乎正确；一次路由收敛就会把显式标记送入旧出口。包仍被转发，拥塞证据随头部一同消失。

RFC 9599 为隧道和下层协议设计者提供的，不是一张产品功能清单，而是一套信号保管规则。IP 在这里承担可移植层：拥塞可能由不理解 IP 的队列产生，但最终必须让端到端传输和源端负载调节器收到。任何拆除头部的节点，都是事实能否继续存在的边界。

ECN 能力属于整条回路

RFC Editor 条目和 IETF Datatracker 将 RFC 9599 标为 2024 年 8 月发布、属于 BCP 89 的最佳当前实践，并指出它更新了 RFC 3819 的子网设计建议。IP 层的基本 ECN 语义来自 RFC 3168，而 RFC 8311 放宽了后续实验的部分边界。

文档用 ECN-PDU 与 Not-ECN-PDU 区分两类控制条件。ECN-PDU 所在的回路中，每个必要节点都能把拥塞通知送回负载调节器；Not-ECN-PDU 的回路至少有一个环节做不到。能力因此可能由头部字段表达，也可能由标签、每流状态或控制平面绑定表达，但判断标准只有一个：标记之后，真正能减载的主体会不会知道。

这比设备面板上的“支持 ECN”严格得多。交换芯片能写两个比特，不代表出口会合并；出口会合并，不代表接收端会反馈；接收端会反馈，也不代表发送端真的降速。把这些状态压成一个绿色勾号，会把组件能力冒充为系统能力。

下层不应标记一个最终由旧 L4 接收的流，也不应在任一可能出口无法向上转移通知时标记。域内可以同时存在标记节点与丢包节点；不能存在会产生显式证据、却允许证据在边界上无声消失的组合。

入口继承历史，出口合并事实

在 feed-forward-and-up 模式中，拥塞节点给下层 PDU 加标，标记沿正向路径抵达子网出口，出口在移除外层前把意义转入较高层头部。接收端的传输协议随后把它反馈给源端。RFC 6040 将这一模式用于 IP 隧道，RFC 5129 将其用于 MPLS；RFC 9600 和 RFC 9601 分别处理 TRILL，以及被 shim 头部分隔的 IP 头部。

封装入口不能把历史清零。外层状态应继承此前累积的拥塞，使它代表从负载调节器开始的路径事实。这样，观测者既可读取总量，也可用外层与内层的差异估计本子网新增的拥塞。这个差值不能定位具体队列，更不能自动分配责任；它的价值在于测量口径没有被入口悄悄改写。

出口同样不能盲目复制某一个字段。它要按照有序规则组合内外状态：两者都具备 ECN 能力而严重程度不同时，较强信号必须保留；外层没有通知能力但内层已有标记时，内层事实不能被清掉。

最能暴露边界责任的是外层严重标记、内层 Not-ECN 的情况。内层传输无法理解显式通知。出口若无标记转发，就声称路径没有拥塞；若强行写入标记，又向不具备语义的端点发送无效信息。正确动作是丢包，因为损失是这个旧传输仍然理解的反馈语言。

多级标记与重组改变了计量单位

有些下层不是简单的 CE/非 CE 二值，而是表达多个拥塞等级。出口可能需要把量化等级转换为一段时间内的 IP 标记频率。转换不是把一个数复制到另一个字段，而是把一个采样体系映射到另一个采样体系。

分片、聚合和重组进一步改变分母。一个 IP 包可能横跨多个帧或信元，一个聚合帧也可能承载多个 IP PDU。按包统计、按字节统计、按帧统计得到的百分比不能直接比较。如果看板只写“标记率 2%”，却不说明观测单位、窗口和边界，它没有为跨层判断提供证据。

RFC 7567 的 AQM 建议说明队列何时应主动管理，RFC 8087 说明 ECN 为什么能够在等待损失前传递压力。RFC 9599 补上的是跨层的保管责任：队列作出的通知，不能因为下一台设备使用不同封装就失去意义。

从二层向上找 IP 必须有停止规则

若下层头部没有拥塞字段，但设备能够识别载荷里的 IP 头部，可以采用 feed-up-and-forward。一个按 MAC 转发的交换设备可检查封装中的 IP ECN 字段并直接标记。无线接入系统也可能有类似需要。

这是一种受约束的有益越层，不是无限深解析的许可证。载荷可能已加密，下一层协议可能不是 IP，硬件解析器可能没有相应能力，嵌套栈也可能使“找到哪个 IP 头部”变得含糊。设备必须规定搜索深度。若在界限内找不到可识别头部，就应使用下层自带机制或丢包，不能一路猜测字节，直到看见两个像 ECN 的位。

找到第一个 IP 头部通常已经足够。以后真正拆除该头部的出口，可以继续把信号向更内层传播。这个分工让每个节点只处理自己能够证明的结构，也避免把加密或未知载荷误当成可写协议。

渐进部署的单位是出口覆盖率

MPLS 展示了一种受控域内的迁移办法：不必在每个 PDU 中花费稀缺空间声明能力，但当任何内部节点开始标记时，运营者先升级所有可能解封装的出口。出口看到 CE 外层包裹 Not-ECN 内层时，代表原拥塞点执行丢包。

这项保证来自运营者能控制完整的出口集合，而不是来自 MPLS 这个名字。即插即用环境没有同样的前提，必须设计故障安全的协商或把标记限制在明确管理的配置档中。否则一个旧出口就足以成为信号黑洞。

因此，“90% 设备已升级”是错误的上线指标。真正的分母是所有可能移除被标记头部的节点，包括备用隧道终点、灾备路径、服务链旁路和维护期间的临时出口。入口和内部节点的升级数量无法抵消一个遗漏的出口，因为每个包只需要遇到一次无声清除就会失去证据。

部署顺序也应服从这一结构。先发现并验证出口，再打开内部标记；先用影子计数器比较内外状态，再把显式通知当作低损失路径。回滚开关应以域或隧道配置档为单位关闭新增标记，而不重启无关转发或破坏原有路由。

只向后反馈会把队列搬到别处

feed-backward 模式把下层控制消息送回子网入口。若入口本身就是原始源端，它可以有效调节一个独立子网。若真正的 IP 源位于更远处，入口降速只会让到达流量堆积在入口缓冲区，直到那里再次出现拥塞并由另一套机制向前发信号。

这不是闭合原来的端到端回路，而是把压力迁移到另一个队列。因此，面向 IP 互联的技术不应只依赖向后模式，除非有受限的特殊场景。RFC 6633 废弃 ICMP Source Quench 的历史也提示真实性问题：源端很难判断一个向后消息来自真实路径还是伪造者。

可变字段必须被认证机制承认为可变

给下层头部加入拥塞字段，会同时创建安全契约。域内节点被允许修改该字段；若认证配置把整段头部都视为不可变，每次合法标记都会使认证失败。完整性设计必须明确排除或规范化这个可变部分，而不是上线后把所有失败归因于攻击。

允许修改不等于相信每个标记。节点仍可能压制或伪造拥塞。RFC 9599 更倾向于端到端检测信号抑制和响应不足，而不是为每种封装发明完全不同的逐跳信任体系。关键是把允许发生的变化写进契约，并使收到反馈与实际减载能够审计。

Lu Heng 关于运行代码优先的论述，把抽象支持转换为收据：入口内层状态、封装后的外层状态、域内标记、出口合并结果、出站 IP 状态、接收端反馈、源端速率变化必须能串成同一条证据链。

最小初始规范提供的协调方式，是只固定不可丢失的边界条件：没有完整回路就不产生显式标记，移除头部也不得抹掉拥塞；具体编码仍可由不同技术演进。关于现实层级的区分则阻止团队把队列压力、外层标记、出站标记、反馈、降速和最终服务合并成一个“健康”状态。

域边缘的治理问题由此变得清楚：谁有权删除头部，谁就必须为其中事实的后续去向负责。能转发一个包，不代表已经履行这项责任。

来源