摘要

  • RFC 3609 把顶层 IP 跳点与隧道内的低层跳点定义为不同证据对象，因此外层追踪可以既正确又不完整。
  • 隧道详情取决于逐跳探针、返回条件、协议支持、报文等价性和授权；它不自动证明真实业务流的内部路径、所有权、交付或用户结果。

一跳之内还有一个转发世界

传统路径图很容易制造完成感：源地址之后是一串响应地址，最后抵达目的地，所有节点依次排列。问题在于，一个可见的 IP 跳点可能只是 GRE、MPLS、IPsec、GMPLS、IP-in-IP 或 L2TP 隧道的入口。隧道还可能异构嵌套。外层地址没有说谎，却没有说明支撑这次跨越的内部设备和低层路径。

RFC 3609 于 2003 年 9 月以 Informational RFC 发布。它列出通用路径追踪应用及其支撑协议应满足的要求，并没有把某个通用协议直接确立为已部署标准。这个身份必须保留：文件证明当时存在怎样的可观测性需求，不证明某个运营商实现了它，也不证明列出的隧道技术出现在任何特定网络。

文件作出的关键区分是：一次响应可以代表顶层 IP 跳点，也可以代表被隧道包含的低层跳点。两者不是同一事实的详细版和简略版。顶层回答“IP 抽象看起来怎样连接”，低层试图回答“这个抽象由哪些转发动作承载”。只看到入口和出口，不能推出内部路线；得到控制平面的内部描述，也不能推出某个生产报文确实经过每一项。

展开详情是一项受治理的能力

RFC 3609 允许用户要求把隧道显示成单个 IP 跳点，或展开其类型、名称、标识符、端点、组件和分段往返时延。但用户的要求还要服从权限。请求中的安全令牌表示追踪者的权限，网络元素据此决定是否返回相关信息；安全部分还要求可配置的身份识别、授权和资源约束。

因此，可见性不是人人相同的客观常量，而是观察者与网络权威之间的一次受限响应。公开观察者得到折叠视图，内部运维得到展开视图，两者未必冲突。证据记录必须保留请求者、授权等级、所请求深度、实际披露深度和时间。若把这些条件删掉，特权视图会被误写成普遍知识，受限视图则会被误写成“没有隧道”。

细节字段也各有边界。名称不能单独证明所有权，标识符不能证明配置仍然有效，往返时延不能分别描述两个方向，组件清单不能证明下一条流仍走同一路径。字段越具体，越需要明确它由谁报告、何时报告、通过哪个平面报告。具体不等于全知。

路径坏掉时，证据不能一起消失

这份 RFC 要求应用能够穿过损坏的路径或隧道给出部分追踪结果。由此提出的协议模型很重要：每个探针只对应一个响应，每个响应只代表一个顶层或低层跳点。如果只用一个报文沿路累积所有信息，正在调查的故障可能让报文在抵达终点之前丢失，也让前面已经发生的观察无法形成独立回执。

逐跳回执保留了最后一个已知边界，却让“无响应”的解释更复杂。沉默可能来自转发失败、过滤、限速、协议未实现、披露被拒绝、回程不可用或实现错误。RFC 3609 要求遇到不支持协议的设备时告知用户，并尝试继续发现下游接口。这意味着系统必须分别表示“不支持”“无权限”“无法返回”“未观察到”和“已确认失败”，不能把它们合并成一个红叉。

回程条件尤其容易被遗漏。发起追踪的设备需要能到达被测路径入口，也要能到达每个被请求详情的隧道入口。隧道内部设备需要能返回到隧道入口，却不一定需要直接返回到追踪主机。生产流量可能仍然向前，而观测结果无法按设计回送。此时坏掉的是证据通道，不一定是业务转发。

探针可能为自己选择另一条路

RFC 3609 拒绝了一种使用单个 IP Router Alert 选项报文的方案。理由并不是格式偏好，而是许多网络会不同地处理带 IP 选项和不带选项的报文。诊断报文一旦触发特殊处理，就可能测到一条由诊断本身创造的路径，而不是用户真正关心的普通转发路径。

这个原则不限于 Router Alert。报文大小、地址族、流键、DSCP、封装和发送时机都可能改变哈希、策略或队列选择。可辩护的测试要保存精确的流量样本，并解释它为何能代表目标业务。目的地址相同并不足以建立等价性。关于错误报文类别的高分辨率地图，仍然是错误实验的高分辨率结果。

文件偏好无状态、由 UDP 承载的请求与响应，以控制扩展成本和拒绝服务风险。“无状态”只限定节点无需在连续消息之间保留会话，它不会自动验证响应内容，不会证明拓扑归属，也不会把追踪成功变成业务成功。

控制平面与转发平面是两位证人

RFC 3609 要求应用可以追踪控制平面、转发平面或同时追踪两者。控制平面追踪由跳点入口设备报告；转发平面追踪则在隧道具备 TTL 递减或类似机制时，由跳点出口设备报告。证词来源随着平面发生变化。

控制平面可以拥有一套合理的意图，而实际下发的转发状态已经陈旧或不完整。转发平面可以证明一个探针遇到了哪些处理，却不能独自解释为什么策略选择了它。两者一致会增强信心，但不能互相吞并。成熟的事故记录应分别保存设计意图、程序化状态、实际观察和应用结果。

TTL 还有另一层边界。文件希望在存在递减机制时进行转发平面追踪，无论隧道入口是否把内部 TTL 复制到外部头部。TTL 传播策略与是否存在可观察递减并非同一属性。某个内部跳点被显示或隐藏，不能单独证明配置对错。

后续 RFC 给出了更具体的工具。GRE 与 MPLS 说明封装和标签转发为何会改变 IP 层可见性；RFC 3443 讨论 MPLS TTL 处理。RFC 4379 以及取代它的 RFC 8029 为 MPLS LSP ping 和 traceroute 定义了独立校验与应答语义。RFC 4884 扩展 ICMP 多部分消息，RFC 4950 定义 MPLS 标签栈对象。这些机制增加证据来源，却不证明 RFC 3609 所设想的通用协议曾经普遍部署，也不把一条返回的标签信息升级成端到端结果证明。

从一条线升级为一组有边界的回执

最小证据链先记录业务样本：源、目的、流字段、大小、选项、服务标记和时间。随后记录外层追踪的观察点、方法与逐跳结果。若推断或披露了隧道，则增加入口、出口、类型、请求深度、授权依据和回答平面。内部每一跳要保留探针、响应、时间、回程条件与负面状态。最终交付、服务执行和用户结果必须另行举证。

这套结构不要求所有网络公开所有本地信息。最小公共层负责让请求和回执可比较，运营者仍可在自身权限范围内决定敏感详情。运行中的代码产生现实，路径图只是从有限观察中生成的投影。RFC 3609 最持久的价值，正是要求投影把自己的缺口画出来。

来源