Roteamento e o plano de controle

Um roteador toma uma decisão local para cada datagrama recebido: qual enlace de saída deve transportá-lo em seguida? O plano de dados realiza essa consulta usando a tabela de encaminhamento. O plano de controle determina o conteúdo da tabela, usando informações sobre destinos e sobre a rede além do roteador.

Duas maneiras de organizar o controle

No controle por roteador, cada roteador executa software de roteamento e troca mensagens com outros roteadores. OSPF e BGP usam essa organização. No controle logicamente centralizado, o software de controle de rede obtém uma visão de toda a rede e usa um controlador para instalar regras de encaminhamento nos dispositivos. Essa é a abordagem da SDN. “Logicamente centralizado” descreve o serviço de controle visto por seus usuários; o serviço pode ser executado em vários servidores físicos.

O encaminhamento é uma operação local rápida, frequentemente implementada em hardware. O roteamento responde em uma escala de tempo mais lenta a mudanças na conectividade, nos custos e nas políticas. Um datagrama não espera um novo cálculo de rota fim a fim em cada salto. Ele segue as entradas já instaladas.

Represente a rede como um grafo ponderado

Em um grafo $G=(N,E)$, os nós são roteadores e as arestas são enlaces. Um par diretamente conectado tem custo de enlace $c(x,y)$. Um enlace direto inexistente tem custo $\mathrm{\infty }$. Nos grafos dos exemplos resolvidos, os custos são simétricos: $c(x,y)=c(y,x)$. O operador escolhe o que o custo representa: velocidade do enlace, atraso, dinheiro ou outra medida útil.

Some os custos ao longo de um caminho. Se A–B custa 3 e A–C e C–B custam 1 cada, o caminho direto custa 3, enquanto A–C–B custa 2. A envia o tráfego para B a C. Contar enlaces levaria à decisão errada aqui; a contagem de saltos é igual ao custo do caminho apenas quando cada enlace tem custo 1.

Classifique o algoritmo pelas informações que usa

Um algoritmo global usa informações completas da topologia. Isso não exige um único computador: o OSPF executa um algoritmo global de estado de enlace independentemente em cada roteador. Um algoritmo descentralizado constrói sua resposta por meio de trocas locais, como faz o roteamento por vetor de distâncias.

Outras classificações descrevem quando as rotas mudam. Rotas estáticas mudam lentamente, muitas vezes por alterações manuais. Protocolos dinâmicos reagem a mudanças na rede. Custos sensíveis à carga acompanham o congestionamento atual; custos insensíveis à carga não o acompanham. OSPF e BGP são protocolos dinâmicos cujas métricas comuns de rota não acompanham a carga a cada momento.

Relacione roteamento e encaminhamento

Um algoritmo é o cálculo; um protocolo fornece formatos de mensagem, temporizadores e regras de troca. O algoritmo de Dijkstra é um cálculo. O OSPF é um protocolo que fornece suas informações de entrada.

A entrada final de encaminhamento associa um prefixo de destino a um enlace de saída. Cada roteador escolhe seu próprio próximo salto, então o caminho completo se forma a partir das tabelas dos roteadores. Durante a convergência, tabelas inconsistentes podem criar loops; o TTL acaba eliminando um datagrama IPv4 em loop. Entre organizações, uma boa rota também deve atender à política: um operador pode rejeitar um caminho de baixo custo porque ele transportaria tráfego que o operador não concordou em transportar.

No roteamento por estado de enlace, cada roteador descreve seus enlaces conectados e envia essa descrição por inundação pela rede. Quando as bases de dados concordam, todos os roteadores têm o mesmo grafo. Cada roteador executa o algoritmo de Dijkstra usando a si mesmo como origem, então a entrada compartilhada produz uma árvore com raiz diferente em cada roteador.

Separe custos provisórios e definitivos

Para a origem $u$, $D(v)$ é o menor custo até $v$ encontrado até então, e $p(v)$ é seu predecessor nesse caminho. O conjunto $N^{\mathrm{\prime }}$ contém os roteadores cujos custos mínimos são definitivos. Comece com a origem nesse conjunto, seus vizinhos diretos com os custos de seus enlaces e todos os outros roteadores com custo infinito.

Em cada iteração, escolha o menor custo provisório fora de $N^{\mathrm{\prime }}$ e adicione esse roteador, $w$, ao conjunto. Para cada vizinho $v$ que ainda está fora, compare a estimativa existente com uma rota por $w$:

Se a segunda rota for mais barata, registre $w$ como predecessor. Custos de enlace não negativos tornam essa definição segura. Um valor que foi apenas atualizado continua provisório até que seu roteador entre em $N^{\mathrm{\prime }}$.

Trabalhe a partir do roteador A

Use estes enlaces: A–B 3, A–C 1, B–C 1, B–D 4, C–D 6, C–E 2, D–E 1, D–F 3 e E–F 5. Inicialmente, B tem custo 3, C tem custo 1 e D, E e F têm custo infinito.

Por exemplo, adicionar E altera D porque $3+1=4$ é menor que 6. D foi atualizado duas vezes antes de se tornar definitivo. Aceitar sua primeira estimativa de 7 como resposta deixaria de considerar as duas melhorias.

Recupere caminhos e primeiros saltos

Siga os predecessores de trás para a frente: F ← D ← E ← C ← A. Inverta essa sequência para obter A–C–E–D–F. Seu custo é $1+2+1+3=7$. Os custos finais a partir de A são B 2, C 1, D 4, E 3 e F 7.

Uma tabela de encaminhamento armazena o primeiro salto, não o predecessor do destino. Todos os caminhos neste exemplo começam por A–C, então o próximo salto de A é C para todos os cinco destinos. O predecessor de F é D, mas D não é o próximo salto de A.

Custos iguais, trabalho e mudança de carga

Se dois candidatos empatam no menor custo, qualquer um pode ser definido primeiro. Os custos mínimos permanecem os mesmos, embora um único caminho escolhido possa ser diferente. O OSPF pode manter vários caminhos de custo igual para compartilhar a carga.

O algoritmo simples examina candidatos em cada uma de suas $n-1$ iterações, resultando em tempo de execução $O(n^2)$; uma fila de prioridade pode melhorar esse tempo. A inundação de estado de enlace também consome mensagens porque informações alteradas de enlaces precisam chegar a todos os roteadores em seu escopo de inundação.

Custos sensíveis à carga podem criar realimentação. Todos os roteadores veem um caminho pouco carregado, transferem tráfego para ele e o tornam caro; o próximo cálculo transfere o tráfego de volta. Custos insensíveis à carga evitam essa realimentação específica. Aleatorizar os tempos de cálculo também pode reduzir mudanças sincronizadas; caso contrário, roteadores que começam em momentos diferentes podem acabar sincronizados.

Um roteador pode aprender caminhos úteis sem conhecer o grafo inteiro. No roteamento por vetor de distâncias, ele conhece os custos de seus enlaces conectados e as estimativas de custo mais recentes recebidas de cada vizinho. Ele usa essas estimativas para construir seu próprio vetor de distâncias, uma lista de custos estimados até todos os destinos.

Some o primeiro enlace à estimativa do vizinho

Para um destino $y\mathrm{\ne }x$, a equação de Bellman–Ford é

Teste cada vizinho $v$. Some o custo de alcançar esse vizinho ao custo do vizinho até o destino e escolha o menor total. O vizinho que fornece o mínimo torna-se o próximo salto. O custo de um roteador até ele mesmo permanece 0; ele não é substituído por uma rota por um vizinho.

Durante a troca, os roteadores usam estimativas $D$ no lugar das distâncias finais $d$. Essas estimativas podem mudar à medida que as informações viajam mais pela rede.

Inicie, receba, recalcule e anuncie

Na inicialização, um roteador registra 0 para si mesmo, custos dos enlaces diretos para os vizinhos e infinito para os outros destinos. Ele envia esse vetor aos vizinhos. Um novo vetor de um vizinho ou uma mudança em um enlace local dispara um recálculo. Se o próprio vetor do roteador mudar, ele anuncia o novo vetor; caso contrário, não tem uma estimativa alterada para repassar.

O processo é distribuído, iterativo e assíncrono. Os roteadores não precisam atualizar em rodadas sincronizadas. Mesmo assim, as informações podem chegar a roteadores distantes porque a estimativa revisada de cada vizinho se torna entrada para outro cálculo.

Calcule um exemplo com três roteadores

Os enlaces A–B 4, B–C 1 e A–C 7 fornecem estes vetores iniciais, ordenados pelos destinos A, B, C:

Depois de receber informações de B, A compara suas duas rotas até C:

Ele escolhe B como próximo salto. C faz o cálculo correspondente para A e obtém 5 por B. Outra troca deixa os vetores inalterados. Com custos de enlace fixos e funcionamento correto, os roteadores convergiram.

As entradas de encaminhamento de A são “B → B, custo 4” e “C → B, custo 5”. A sabe que B anuncia um custo de 1 até C. Ele não precisa do caminho completo de B nem de um desenho dos enlaces além de B.

Como o RIP fornece o protocolo

O Protocolo de Informações de Roteamento (RIP) implementa o roteamento por vetor de distâncias com contagem de saltos. Cada enlace custa 1, o maior caminho utilizável tem 15 saltos e 16 significa inalcançável. O RIP envia atualizações periódicas a cada 30 segundos pela porta UDP 520. Uma rota que não é renovada por 180 segundos expira.

As mensagens periódicas pertencem ao protocolo; a regra de alteração de vetor do algoritmo subjacente descreve quando há novas informações a propagar. O RIP também usa atualizações disparadas por evento para enviar mudanças mais cedo. Confundir esses níveis pode levar à afirmação de que um roteador RIP estável não envia mensagem alguma.

As estimativas de vetor de distâncias não são calculadas uma única vez e depois congeladas. Uma nova informação de um vizinho pode mudar o próximo salto preferido mesmo quando todos os enlaces locais permanecem inalterados. Por outro lado, receber uma mensagem não precisa alterar o próprio vetor do roteador se nenhum dos novos totais melhorar ou substituir suas rotas selecionadas.

Uma atualização de vetor de distâncias pode descrever um caminho que depende do roteador que a recebe. Sem que essa dependência esteja visível, dois roteadores podem acreditar, cada um, que o outro tem uma rota utilizável. Por isso, um aumento no custo de um enlace pode ser mais difícil de propagar do que uma redução.

Um enlace mais barato se propaga rapidamente

Considere A–B com custo 2, B–C com custo 1 e A–C com custo 20. B alcança A diretamente com custo 2; C alcança A por B com custo 3. Se A–B cair para 1, B anuncia 1 e C muda seu custo para 2. Quando C anuncia 2 de volta, B mantém sua rota direta. A melhoria se estabiliza após essas duas atualizações com alterações.

Um enlace caro expõe informações desatualizadas

Agora comece novamente com os custos 2, 1 e 20 e aumente A–B para 40. B ainda tem o anúncio anterior de C de custo 3 até A. Ele escolhe C porque $1+3=4$ é menor que 40. C ainda envia para B. Os datagramas para A passam então de B para C e vice-versa até que seu TTL expire.

C recebe o custo 4 de B e calcula 5. B recebe 5 e calcula 6. As estimativas continuam subindo, embora nenhuma delas descreva um caminho independente até A. Essa é a contagem até o infinito: as más notícias avançam por uma cadeia de estimativas enganosamente pequenas.

Aqui, uma alternativa acaba interrompendo o loop. Quando B anuncia 20, C compara seu custo direto 20 com 21 por B e seleciona seu enlace direto. B então se estabiliza em 21 por C. Sem uma alternativa utilizável ou um valor finito para o infinito, a contagem pode continuar por muito mais tempo.

Anuncie a dependência com reversão envenenada

Com a reversão envenenada, um roteador informa ao vizinho que usa para alcançar um destino que sua distância até esse destino é infinita. Inicialmente, C usa B para alcançar A, então C anuncia infinito a B. B deixa de confundir C com uma alternativa independente.

Após o aumento de custo, B escolhe seu custo direto 40. C recebe 40 e seleciona seu enlace direto com custo 20. C pode então anunciar 20 a B, e B escolhe o custo 21 por C. O valor anunciado depende do destinatário: C pode informar seu custo real a outros vizinhos enquanto envenena a rota em direção a B quando B é seu próximo salto.

O horizonte dividido omite essa rota da atualização em vez de anunciar infinito. A reversão envenenada impede esse loop de dependência entre dois roteadores, mas loops mais longos ainda podem ocorrer. Atualizações disparadas por evento aceleram a propagação de mudanças. O RIP também define infinito como 16, limitando tanto o tempo de contagem quanto o tamanho utilizável da rede.

Compare as duas famílias de roteamento

Uma rodada completa de disseminação de estado de enlace exige uma quantidade de mensagens da ordem de $n\cdot e$ para $n$ roteadores e $e$ enlaces. O cálculo local simples é quadrático. O número de mensagens de vetor de distâncias depende de quantas estimativas sucessivas mudam; comunicar-se apenas com vizinhos não garante convergência rápida.

OSPF e IS-IS usam roteamento por estado de enlace. O RIP usa vetores de distâncias. O BGP é um protocolo relacionado de vetor de caminhos: sua sequência anunciada de ASes expõe dependências e permite que roteadores rejeitem caminhos que contenham o número de seu próprio AS.

A internet é grande demais e tem gerenciamento independente demais para tratar cada roteador como um nó em um único sistema de roteamento plano. Cada organização precisa controlar sua própria rede interna e, ao mesmo tempo, oferecer rotas utilizáveis a outras organizações. Os sistemas autônomos estabelecem essa divisão.

Identifique a fronteira administrativa

Um sistema autônomo, ou AS, é um grupo de roteadores sob uma administração que apresenta uma política de roteamento coerente ao exterior. Números públicos de sistema autônomo, ou ASNs, identificam esses sistemas globalmente. Os registros regionais da internet distribuem recursos de números de AS. O espaço de números original tinha 16 bits, até 65.535; os ASNs atuais usam 32 bits.

Um AS é um domínio de roteamento, enquanto um ISP é uma empresa. Uma universidade ou um provedor de conteúdo pode operar um AS, e um ISP pode operar vários. Tratar esses termos como intercambiáveis oculta as verdadeiras fronteiras de política.

Use protocolos diferentes para tarefas diferentes

Um protocolo de roteamento interno (IGP) fornece rotas internas. Dentro de um domínio de roteamento, os roteadores usam um IGP comum para que possam trocar as informações necessárias a ele. ASes diferentes podem escolher IGPs diferentes. Um provedor que usa IS-IS pode se conectar a uma universidade que usa OSPF porque sua troca de roteamento externo usa BGP.

A hierarquia atende a duas necessidades. Ela reduz a quantidade de detalhes mundiais que os roteadores internos precisam processar e preserva a autonomia administrativa. Uma mudança em um enlace local não precisa expor a topologia interna completa a todos os outros ASes.

Combine uma escolha de saída com um caminho interno

Um roteador de borda do sistema autônomo se conecta a outro AS. Para um destino externo, o BGP identifica uma rota utilizável e seu endereço de próximo salto no roteador de borda. O protocolo interno fornece o caminho até esse endereço. Essas decisões se combinam para produzir a entrada de encaminhamento usada para um pacote recebido.

Suponha que o roteador R aprenda que 198.51.100.0/24 é alcançável pelo roteador de borda G. O OSPF informa que o caminho de R até G começa pelo vizinho H. A entrada de encaminhamento de R para o prefixo externo usa o enlace até H. G é a saída do AS, enquanto H é o próximo salto imediato de R; essas funções não precisam pertencer ao mesmo roteador.

Reconheça quando uma saída é suficiente

Um pequeno cliente com uma conexão externa não tem escolha de saída. Uma rota IPv4 padrão, 0.0.0.0/0, pode enviar o tráfego externo em direção a essa conexão. Aprender todas as rotas da internet não criaria uma saída alternativa.

Com vários roteadores de borda, as informações de alcançabilidade importam: um roteador pode oferecer um prefixo que outro não oferece, ou a política pode favorecer um provedor. O BGP distribui as opções de rota; o IGP continua transportando pacotes até a saída escolhida.

Dentro de um AS, um operador pode escolher custos de enlace para atender a objetivos internos de desempenho. Entre ASes, o custo concorre com acordos sobre trânsito pago, parceiros de troca direta de tráfego e qual tráfego um operador transportará. Por isso, escolher uma rota na internet envolve mais do que estender um cálculo de caminho mínimo para além da próxima fronteira administrativa.

O Open Shortest Path First (OSPF) é um IGP de estado de enlace. Cada roteador aprende a topologia dentro de sua área, executa o algoritmo de Dijkstra a partir de si mesmo e obtém rotas até as sub-redes. O OSPFv2 atende ao IPv4; o OSPFv3 foi projetado para IPv6.

Escolha custos e descubra vizinhos

O operador define os pesos dos enlaces. Todos os pesos iguais a 1 produzem rotas com o menor número de saltos. Uma regra ilustrativa de velocidade inversa com referência de 10 Gbit/s é

Ela fornece pesos 1, 10 e 100 para enlaces de 10 Gbit/s, 1 Gbit/s e 100 Mbit/s. O peso é uma medida de roteamento configurada, não uma distância em quilômetros.

Pacotes Hello descobrem e mantêm vizinhos. Uma configuração comum de rede local envia pacotes Hello a cada 10 segundos e usa um intervalo de inatividade de 40 segundos. Portanto, perder um único Hello é diferente de declarar o vizinho inativo. Roteadores vizinhos sincronizam bases de dados usando pacotes Database Description, Link State Request, Link State Update e Link State Acknowledgment. Roteadores com bases de dados sincronizadas formam uma adjacência.

Envie descrições atualizadas de enlaces por inundação

Um anúncio de estado de enlace (LSA) descreve informações de roteamento. Um LSA de roteador registra os enlaces e custos de um roteador. Os LSAs trafegam em pacotes Link State Update; um LSA é a informação anunciada, não o nome de todo pacote OSPF.

Enlaces alterados disparam novos anúncios. Os roteadores também renovam seus próprios LSAs pelo menos a cada 30 minutos. Um LSA na idade máxima de uma hora é removido. Informações de sequência e idade permitem que os roteadores distingam descrições recentes das antigas.

O OSPF é transportado diretamente no IP usando o número de protocolo 89. Ele fornece seus próprios reconhecimentos e retransmissões. Em redes de difusão, 224.0.0.5 alcança todos os roteadores OSPF e 224.0.0.6 alcança os roteadores designados.

Reduza as adjacências na rede local

Uma rede local elege um roteador designado (DR) e um roteador designado de reserva (BDR). Os demais roteadores formam adjacências completas com esses dois, em vez de cada par se tornar adjacente. O DR anuncia a rede local compartilhada em um LSA de rede.

Para seis roteadores, uma malha completa exigiria $6\times 5\mathrm{/}2=15$ adjacências. Quatro roteadores comuns se conectam logicamente ao DR e ao BDR, além de uma adjacência entre DR e BDR: $4\times 2+1=9$. Vizinhos podem receber mensagens uns dos outros sem que todos se tornem completamente adjacentes.

Recalcule após uma falha de enlace

Considere os enlaces A–B 3, A–C 1, B–C 1, B–D 4, C–D 6, C–E 2, D–E 1, D–F 3 e E–F 5. Inicialmente, A alcança E com custo 3, D com 4 e F com 7 por C e E.

Quando C–E falha, C e E enviam por inundação novos LSAs de roteador que removem o enlace. O recálculo fornece a A os custos B 2, D 6, E 7 e F 9. Os caminhos até D e F agora usam C–B–D. O primeiro salto de A continua sendo C: uma mudança no caminho completo não exige uma mudança no primeiro salto de encaminhamento.

O OSPF oferece suporte a mensagens de roteamento autenticadas e a roteamento por múltiplos caminhos de custo igual (ECMP). A autenticação criptográfica é mais forte que uma senha em texto claro; ela verifica a origem autorizada e a integridade da mensagem. O ECMP permite que um roteador mantenha vários caminhos de custo igual. Esses recursos operam sobre informações de estado de enlace, não sobre tabelas trocadas de distâncias estimadas até destinos.

Um roteador em um AS grande não precisa processar cada enlace interno como parte de um único grafo detalhado. As áreas OSPF dividem a base de dados de estado de enlace e o trabalho de cálculo de caminhos mínimos. Os roteadores mantêm detalhes locais e aprendem rotas que descrevem destinos além de sua própria área.

Conecte áreas pelo backbone

O backbone é a área 0, também escrita como 0.0.0.0. As outras áreas se conectam a ele. O tráfego entre duas áreas que não são backbone viaja até o backbone e depois entra na área de destino.

Um roteador de borda de área (ABR) conecta áreas, incluindo o backbone. Ele mantém uma base de dados separada para cada área conectada e anuncia rotas entre elas. Informações sobre uma sub-rede remota podem atravessar a fronteira sem expor todos os roteadores e enlaces da área remota. A sumarização também pode combinar prefixos adequados; ela não exige que todas as sub-redes remotas desapareçam em um único agregado.

Um roteador de fronteira de sistema autônomo (ASBR) introduz rotas de fora do domínio OSPF, como rotas aprendidas de outro AS. Um ABR atravessa uma fronteira de área; um ASBR introduz informações de roteamento externas. Um dispositivo pode exercer ambas as funções.

Relacione anúncios às suas finalidades

Os tipos 1 e 2 descrevem o grafo detalhado da área. Os tipos 3 e 4 transportam informações de alcançabilidade interáreas. O tipo 5 normalmente se propaga pelo AS, com tipos especiais de área restringindo anúncios externos.

Acompanhe um pacote entre áreas

O pacote de um hospedeiro começa na área 7 e se destina à área 9. Primeiro, ele segue rotas dentro da área 7 até um ABR, atravessa a área 0 até um ABR conectado à área 9 e depois segue rotas dentro da área 9. Essa é uma hierarquia dentro de um AS; atravessar uma fronteira de área não transforma o pacote em tráfego inter-AS.

Um roteador interno tem todas as interfaces em uma área. Um roteador de backbone tem pelo menos uma interface na área 0. Um ABR também é um roteador de backbone, então os nomes das funções não são mutuamente exclusivos.

Entenda o que uma falha local altera em outros lugares

Dividir cerca de 400 roteadores em quatro áreas de aproximadamente 100 pode reduzir bastante o grafo detalhado de cada roteador, ao mesmo tempo que acrescenta rotas interáreas. O tamanho exato da base de dados também depende dos roteadores de borda e das redes anunciadas.

Se um enlace falhar repetidamente dentro de uma área, seus LSAs detalhados e o recálculo completo de caminhos mínimos permanecem nessa área. Se a mudança também alterar o custo anunciado ou a alcançabilidade de um destino, o ABR envia resumos alterados. Os roteadores em outros lugares atualizam as rotas interáreas afetadas. Portanto, as áreas limitam os detalhes e os cálculos que se propagam; elas não ocultam todos os efeitos de uma falha.

Menos detalhes têm um custo. Uma rota interáreas segue a hierarquia de áreas e pode diferir da rota de menor custo global em um grafo plano de todo o AS. O operador ganha bases de dados menores e mudanças mais contidas, abrindo mão de alguma liberdade na escolha do caminho.

O BGP-4 troca informações de alcançabilidade para prefixos de destino. Um anúncio informa que a rede anunciante oferece uma rota em direção àquele prefixo. Outras redes podem aceitá-lo, classificá-lo em relação a alternativas ou recusá-lo conforme a política.

Estabeleça uma sessão

Roteadores BGP trocam mensagens por uma conexão TCP de longa duração usando a porta 179. O eBGP une roteadores em ASes diferentes; o iBGP une roteadores no mesmo AS. Sessões internas distribuem a alcançabilidade externa dentro do AS e não precisam corresponder a enlaces físicos diretos.

O projeto básico de iBGP usa uma malha completa entre roteadores BGP. Redes maiores podem usar refletores de rotas para reduzir o número de sessões. O iBGP não substitui o IGP: o IGP continua fornecendo os caminhos internos necessários para alcançar os próximos saltos BGP.

Acrescente o número do AS conforme uma rota se propaga para fora

O AS 64503 origina 203.0.113.0/24. Seu anúncio ao AS 64502 tem AS-PATH “64503”. O AS 64502 distribui a rota internamente por iBGP e depois a anuncia ao AS 64501 com AS-PATH “64502 64503”. A propagação externa acrescenta o número do AS anunciante no início; a distribuição interna comum não acrescenta outra cópia desse número.

Uma rota BGP associa o prefixo a atributos. O AS-PATH registra a sequência de ASes, com o mais recente primeiro. O NEXT-HOP identifica o endereço do roteador para o qual o tráfego deve ser enviado, normalmente uma interface no roteador de borda vizinho. Um roteador interno usa o IGP para determinar um caminho até esse endereço.

Rejeite um loop no nível de AS

Um roteador rejeita uma rota cujo AS-PATH contenha o número de seu próprio AS. Se o AS 64501 receber “64502 64501 64503”, aceitá-lo enviaria tráfego por uma sequência de ASes que retorna a 64501. Transportar essa dependência torna o BGP um protocolo de vetor de caminhos e evita o problema da contagem até o infinito do vetor de distâncias simples.

Um caminho de ASes não é uma lista de todos os roteadores no caminho do pacote. Dois saltos entre ASes podem incluir muitos enlaces físicos, e políticas podem selecionar um caminho de ASes mais longo. Seu comprimento, por si só, diz pouco sobre o atraso medido.

Interprete as mensagens básicas

O padrão sugere um tempo de espera de 90 segundos e mensagens KEEPALIVE a cada 30 segundos. As configurações negociadas podem ser diferentes. Um roteador retira as rotas aprendidas por uma sessão quando ela falha; manter uma conexão TCP aberta é diferente de provar que cada destino anunciado funciona.

Após a troca inicial, o BGP envia mudanças incrementais em vez de enviar periodicamente a tabela completa. A limitação de taxa pode reduzir anúncios repetidos de um prefixo; o padrão sugere 30 segundos entre esses anúncios eBGP.

O TCP fornece entrega ordenada entre os dois roteadores. Os próprios atributos, regras de política e processamento de atualizações do BGP determinam quais rotas são mantidas e propagadas. O transporte confiável, por si só, não fornece prova de que um vizinho tem direito de originar o prefixo anunciado.

Vários roteadores de borda podem oferecer uma rota para o mesmo prefixo. Um roteador BGP primeiro aplica a política de importação e depois compara as rotas aceitas e utilizáveis em uma ordem definida. Ele para na primeira diferença decisiva; uma vantagem posterior não pode desfazer uma preferência anterior.

Compare atributos em ordem

1. Prefira o maior LOCAL_PREF, definido pelo operador local.
2. Prefira o menor AS-PATH.
3. Prefira o menor valor de ORIGIN: IGP, depois EGP, depois INCOMPLETE.
4. Prefira o menor MED entre rotas do mesmo AS vizinho.
5. Prefira uma rota aprendida por eBGP a uma aprendida por iBGP.
6. Prefira o menor custo IGP até o NEXT-HOP.
7. Prefira o menor identificador BGP anunciante quando as comparações anteriores empatarem.

Implementações de roteadores podem acrescentar etapas como peso local específico do fabricante. O LOCAL_PREF é distribuído dentro do AS e permanece nele. O MED permite que um AS vizinho sugira um ponto de entrada preferido; valores MED de ASes vizinhos sem relação entre si não são comparados pela regra comum.

Compare duas saídas

R no AS 64501 aprende duas rotas por iBGP para 203.0.113.0/24. G1 oferece AS-PATH “64502 64503” com custo IGP 3; G2 oferece “64504 64503” com custo IGP 5. Ambas têm LOCAL_PREF 100 e ORIGIN igual. Os caminhos contêm dois ASes cada. O MED não escolhe entre esses ASes vizinhos diferentes, e ambas as rotas são anúncios internos.

O custo IGP, portanto, decide: R escolhe G1 porque $3<5$. Esse é o roteamento da batata quente: enviar tráfego pela saída interna de menor custo entre rotas iguais nos demais critérios.

Se rotas pelo AS 64504 receberem LOCAL_PREF 200, G2 vence imediatamente. Seu custo interno mais alto deixa de importar. Com LOCAL_PREF igual, um caminho contendo apenas “64503” venceria ambos os caminhos com dois ASes antes de o roteamento da batata quente ser considerado.

Determine o caminho até o próximo salto vencedor

O BGP escolheu uma rota por G1, mas R pode não ter um enlace direto até G1. O OSPF fornece o caminho interno de menor custo até esse endereço de próximo salto. Se o caminho começar na interface I, a entrada de encaminhamento será “203.0.113.0/24 → I”. A decisão precisa dos dois protocolos: o BGP seleciona a alcançabilidade externa, e o IGP determina a entrega interna em sua direção.

Roteadores internos diferentes podem ter custos diferentes até G1 e G2, então escolhas BGP iguais nos demais critérios podem levá-los a usar saídas diferentes. Políticas independentes na outra extremidade também podem tornar o caminho de retorno do pacote diferente do caminho de ida. O roteamento da internet é frequentemente assimétrico.

Aplique a mesma seleção ao anycast

Com anycast IP, vários locais de serviço anunciam o mesmo prefixo. Os roteadores escolhem entre os anúncios por meio da seleção BGP comum. Um cliente alcança a instância preferida pela política de roteamento, pelo caminho de ASes e pelos custos internos, que não precisa ser a instância geograficamente mais próxima.

Isso funciona bem para trocas curtas, como consultas DNS. Uma mudança de roteamento durante uma conexão TCP longa pode enviar pacotes posteriores a outra instância que não tenha o estado da conexão.

Anunciar uma rota é um convite para enviar tráfego em sua direção. A política de exportação de um operador, portanto, determina qual tráfego a rede se oferece para transportar. As relações entre clientes, provedores e parceiros de troca direta de tráfego explicam as regras usuais.

Diferencie trânsito de troca direta de tráfego

Um cliente paga a um provedor pelo trânsito de e para o restante da internet. Dois parceiros trocam tráfego para si mesmos e seus clientes, muitas vezes sem pagamentos de compensação. As redes frequentemente estabelecem trocas diretas em um ponto de troca de tráfego (PTT ou IXP).

A troca direta de tráfego geralmente não fornece uma rota para tudo que o parceiro pode alcançar por seus próprios provedores. Esse serviço mais amplo é o trânsito IP. Uma relação de troca direta descreve um acordo sobre tráfego, não apenas um cabo físico entre roteadores.

Separe decisões de importação e exportação

A política de importação de rotas escolhe quais anúncios recebidos aceitar e qual preferência atribuir a eles. A política de exportação de rotas escolhe quais rotas anunciar a cada vizinho. Uma rota pode ser aceita e usada localmente sem ser oferecida a todos os outros vizinhos.

As preferências usuais de importação favorecem rotas de clientes, depois rotas de parceiros e, por fim, rotas de provedores. O LOCAL_PREF pode codificar essa ordem. O tráfego de clientes gera receita, o tráfego de parceiros geralmente evita cobranças de trânsito e o tráfego de provedores gera custo de trânsito. Essa preferência pode prevalecer sobre o comprimento do AS-PATH.

Aplique as regras usuais de exportação

Um AS também anuncia seus próprios destinos de acordo com seus acordos. A tabela descreve o padrão comercial comum; os operadores implementam políticas por meio de filtros e preferências explícitos.

Anunciar amplamente uma rota de cliente atrai tráfego para o cliente pagante. Restringir rotas aprendidas de parceiros e provedores aos clientes evita oferecer trânsito não pago entre redes externas. A direção relevante é de onde a rota foi aprendida e a quem ela será anunciada, não a direção em que um pacote específico trafega.

Acompanhe um cliente conectado a múltiplos provedores

O cliente X, AS 64510, tem os provedores B e C. X anuncia seu próprio prefixo a ambos para obter alcançabilidade e resiliência. Ele aceita rotas de ambos, mas mantém uma rota aprendida de B fora dos anúncios a C. Também mantém as rotas de C fora dos anúncios a B. Caso contrário, um provedor poderia enviar tráfego por X a destinos atrás do outro provedor.

Em um exemplo de parceiros, A e B são parceiros e W é cliente de A. B pode usar a rota “A W” e exportá-la aos clientes de B. B não fornece essa rota aprendida de um parceiro a outro parceiro C. Exportá-la a C ofereceria trânsito entre parceiros por B.

Dentro de um AS, um único operador pode otimizar custos internos. Entre ASes, operadores independentes controlam preços, obrigações de tráfego e parceiros aceitáveis. Um anúncio ausente pode ser uma recusa intencional de transportar tráfego, mesmo quando existe um caminho físico.

Anúncios BGP básicos não provam a posse de prefixos nem autenticam o AS-PATH completo. Um anúncio incorreto pode se espalhar por muitas redes, a menos que a política e a validação o impeçam. Duas falhas importantes são sequestros de prefixo e vazamentos de rotas.

Reconheça o que dá errado

Um sequestro de prefixo anuncia um prefixo não autorizado ou uma parte mais específica do prefixo de outra organização. Roteadores que aceitam a rota podem enviar tráfego para a origem errada. Depois que rotas para prefixos de comprimentos diferentes são instaladas, o encaminhamento usa a correspondência pelo prefixo mais longo. Uma rota /24 dentro de um /22 vence para os endereços correspondentes, mesmo que o /22 tenha um AS-PATH mais curto. Comparações BGP entre rotas para um prefixo e comparações de encaminhamento entre prefixos diferentes são decisões separadas.

Um vazamento de rotas exporta uma rota além de sua fronteira de política pretendida. Por exemplo, um cliente repassa rotas aprendidas de um provedor a outro provedor e se torna uma rede de trânsito não intencional. A origem do prefixo pode ser legítima enquanto a propagação está errada.

Aprenda com um incidente real

Em 24 de fevereiro de 2008, a Pakistan Telecom, AS 17557, anunciou 208.65.153.0/24 como parte de um bloqueio do YouTube em seu país. Seu provedor propagou internacionalmente essa rota mais específica. Grande parte do tráfego para esses endereços do YouTube foi atraída para o Paquistão.

O incidente, amplamente visível, ocorreu das 18:47 às 21:01 UTC, pouco mais de duas horas. O próprio YouTube anunciou o /24 e depois dois prefixos /25 enquanto tentava recuperar o tráfego. O incidente terminou quando o provedor retirou a rota falsa. Uma mudança pretendida localmente havia se tornado uma falha internacional de alcançabilidade porque a filtragem de exportação falhou.

Filtre antes que um erro se espalhe

Um provedor pode aceitar apenas os prefixos que um cliente está autorizado a originar. Um limite máximo de prefixos pode encerrar uma sessão que anuncia de repente muito mais rotas que o combinado. Muitas redes também filtram prefixos IPv4 mais longos que /24 e prefixos IPv6 mais longos que /48. Esses filtros limitam quais anúncios se propagam; uma rota tecnicamente mais específica só tem efeito onde é aceita.

Verifique a origem autorizada com RPKI

A Infraestrutura de chaves públicas de recursos (RPKI) permite que detentores de endereços publiquem autorizações de origem de rota (ROAs) assinadas. Uma ROA informa o ASN de origem permitido, um prefixo e o comprimento máximo permitido do prefixo.

Suponha que o AS 64503 esteja autorizado para 203.0.113.0/24 com comprimento máximo /24:

Se várias autorizações validadas cobrirem uma rota, uma autorização que corresponda à origem e ao comprimento a torna válida. Se houver autorizações que a cubram, mas nenhuma corresponder, a rota será inválida. As redes escolhem como agir diante desses estados; rejeitar rotas inválidas bloqueia muitas origens não autorizadas. “Não encontrado” significa que uma autorização está ausente, não que uma origem incorreta foi demonstrada.

A validação da origem verifica o ASN de origem final, não cada AS de trânsito nem a relação de exportação. Portanto, falsificar um caminho que termina com uma origem autorizada pode passar nessa verificação, e um vazamento pode manter uma origem válida. O BGPsec acrescenta mecanismos de assinatura de caminho, mas a validação da origem, os filtros de rotas e o monitoramento continuam sendo defesas distintas.

As redes definidas por software (SDN) separam o encaminhamento de pacotes do software que decide o comportamento da rede. Os comutadores aplicam regras de fluxo, enquanto as aplicações usam um controlador para ler o estado da rede e instalar as regras necessárias. Essa organização torna o controle programável.

Identifique os três componentes

Os comutadores do plano de dados realizam encaminhamento por correspondência e ação. Um fluxo pode corresponder a campos de várias camadas, incluindo endereços Ethernet, endereços IP e portas de transporte. As ações podem encaminhar, descartar, modificar ou enviar um pacote ao controlador.

O controlador mantém o estado da rede e se comunica com os dispositivos. As aplicações de controle de rede tomam decisões, como calcular uma rota ou escolher uma regra de balanceamento de carga. Uma aplicação de roteamento ainda pode usar o algoritmo de Dijkstra. A SDN muda o local e as interfaces do controle, sem exigir um novo método de caminhos mínimos.

As características que a definem funcionam em conjunto: encaminhamento baseado em fluxos, planos de controle e dados separados, funções de controle fora dos comutadores e aplicações de software que programam o comportamento da rede.

Acompanhe as camadas do controlador

A interface sul conecta o controlador aos dispositivos. O OpenFlow é um exemplo conhecido; protocolos de gerenciamento como SNMP e NETCONF também podem dar suporte à comunicação com dispositivos. A interface norte conecta as aplicações ao controlador, frequentemente por uma API REST. “Norte” e “sul” descrevem funções de software, não posições físicas em um rack de rede.

Diferencie centralização lógica e física

As aplicações veem um serviço de controlador coerente com uma visão de toda a rede. Esse serviço pode ser executado em um servidor ou em um cluster replicado. Um cluster pode compartilhar a carga e continuar após a falha de um servidor, desde que seu compartilhamento de estado e sua recuperação automática funcionem corretamente. A centralização lógica não exige uma única máquina física.

Um controlador em um único servidor é um ponto único de falha para seu serviço de controle. A replicação reduz essa exposição, mas mantém o controlador como uma parte crítica da rede. As aplicações dependem de uma visão precisa da topologia para produzir regras úteis.

Acompanhe uma solicitação de roteamento

Suponha que um controlador registre os enlaces disponíveis entre quatro comutadores. Uma aplicação de roteamento lê essa topologia pela API norte e calcula um caminho de menor custo. Ela pede ao controlador que instale as entradas de encaminhamento correspondentes. O controlador traduz a solicitação em mensagens pela interface sul para os comutadores afetados. Os pacotes posteriores seguem localmente essas entradas instaladas.

Alterar uma aplicação de roteamento pode, portanto, mudar o comportamento da rede sem alterar o software de roteamento interno de cada comutador. O mesmo hardware de encaminhamento pode oferecer suporte a roteamento, controle de acesso ou balanceamento de carga conforme as regras instaladas.

A SDN é usada dentro de redes organizacionais, como centros de dados e redes geograficamente distribuídas privadas. A B4 do Google é um exemplo de controle centralizado para uma rede privada que conecta centros de dados. ONOS e OpenDaylight são exemplos de plataformas de controlador de código aberto. Nas fronteiras entre redes independentes, o BGP continua trocando informações de alcançabilidade; o controle SDN dentro de um AS e o BGP entre ASes podem operar em conjunto.

O OpenFlow transporta comandos e eventos entre um controlador e comutadores. Ele usa TCP, com a porta registrada 6653, e pode proteger a conexão com TLS. O controlador precisa dos dois sentidos de comunicação: ele altera o estado de encaminhamento e recebe evidências de que o estado ou a topologia mudou.

Leia uma entrada de fluxo

Uma entrada de fluxo tem campos de correspondência, uma prioridade, contadores, ações e tempos limite. Em uma tabela, a entrada correspondente de maior prioridade controla o tratamento do pacote. Portanto, uma correspondência ampla pode perder para uma regra mais específica com prioridade maior.

No OpenFlow 1.3, uma entrada para ausência de correspondência de prioridade mais baixa pode tratar um pacote que não corresponde a nenhuma entrada comum. Sua ação pode enviar o pacote ao controlador. Sem uma entrada para ausência de correspondência, um pacote sem correspondência é descartado por padrão. A ausência de correspondência, por si só, não exige uma mensagem packet-in.

Relacione mensagens às suas funções

Flow-mod e port-mod são maneiras de modificar o estado do comutador, mas apenas flow-mod edita entradas de encaminhamento. Packet-out trata um pacote específico; ela não instala, por si só, uma regra para pacotes posteriores.

Repare caminhos após uma falha

Considere os comutadores S1 a S4. O enlace S1–S2 falha enquanto outra rota por S3 e S4 permanece disponível.

1. S1 detecta que sua porta ficou inativa e envia port-status.
2. O controlador remove o enlace com falha de sua visão do estado da rede.
3. A aplicação de roteamento recebe o evento por sua inscrição na interface norte.
4. A aplicação recalcula caminhos na topologia revisada.
5. Um componente de cálculo de tabelas de fluxos transforma esses caminhos em regras para os comutadores.
6. O controlador envia mensagens flow-mod aos comutadores cujas entradas precisam mudar, como S1, S3 e S4.

O comutador que informa a falha fornece um evento; ele não calcula por conta própria um reparo para toda a rede. A aplicação também precisa que regras sejam instaladas nos comutadores afetados, não apenas de um novo caminho armazenado no controlador.

Instale antes do tráfego ou reaja ao primeiro pacote

Com a instalação proativa, as entradas ficam prontas antes da chegada dos pacotes. Com a instalação reativa, uma ação configurada envia o primeiro pacote de um novo fluxo ao controlador em uma mensagem packet-in. O controlador pode providenciar uma regra e usar packet-out quando precisar liberar um pacote.

A configuração reativa acrescenta atraso ao primeiro pacote e trabalho para o controlador. Quando a entrada já existe, os pacotes posteriores correspondentes permanecem no plano de dados. O controlador trata eventos e pacotes selecionados, não todos os pacotes de todos os fluxos. Entradas que expiram podem posteriormente gerar notificações flow-removed, permitindo que as aplicações acompanhem mudanças no estado instalado.

O ICMP transporta relatórios e testes da camada de rede dentro de datagramas IP. O ICMPv4 usa o número de protocolo IPv4 1. Suas mensagens têm tipo, código e soma de verificação. O tipo indica a finalidade geral; o código a detalha.

Relacione um erro ao pacote que o causou

Um erro ICMPv4 inclui o cabeçalho IP original e pelo menos os primeiros 8 bytes da carga útil original. Esse trecho geralmente fornece as informações de transporte necessárias para identificar o fluxo afetado. O erro segue em direção ao remetente original, que pode então relacionar o relatório a um pacote que enviou.

O tipo 4, redução de fluxo na origem, está obsoleto e não é um mecanismo moderno de controle de congestionamento.

Relacione a falha ao relatório

Um roteador que reduz o TTL a 0 descarta o datagrama e informa tempo excedido. Um roteador sem rota pode informar rede inalcançável. Um hospedeiro de destino que recebe UDP para uma porta não utilizada pode informar porta inalcançável. São falhas diferentes: alcançar o hospedeiro não garante que se alcance uma aplicação que esteja escutando.

Erros ICMP não são confirmações confiáveis de entrega. Filtragem, perda de mensagens ou limitação de taxa podem impedir que um relatório chegue ao remetente. Um teste sem resposta, portanto, deixa várias explicações possíveis.

O IPv4 não envia erros em resposta a outro erro ICMP, a tráfego de difusão ou multicast nem a fragmentos que não sejam o primeiro. Essas regras evitam cascatas de erros e respostas excessivas. Os dispositivos também limitam a taxa de geração de erros.

Diferencie o ICMPv6

O ICMPv6 usa o valor de próximo cabeçalho IPv6 58. Seus tipos de erro são 1, destino inalcançável; 2, pacote grande demais; 3, tempo excedido; e 4, problema de parâmetro. Solicitação e resposta de eco são os tipos 128 e 129. A descoberta de vizinhos também usa ICMPv6 e assume no IPv6 a função de resolução de vizinhos que era do ARP.

As regras de erro do IPv6 incluem exceções para multicast: pacote grande demais pode ser enviado em resposta a um pacote multicast, assim como certos erros de opção desconhecida. Aplicar ao ICMPv6 a supressão geral de respostas a multicast do IPv4 prejudicaria um comportamento obrigatório.

Acompanhe a descoberta da MTU do caminho

Na descoberta clássica da MTU do caminho no IPv4, o remetente ativa Não fragmentar. Um roteador que encontra uma MTU menor no enlace de saída descarta um datagrama grande demais e retorna uma mensagem de tipo 3, código 4, informando a MTU do próximo enlace. O remetente pode reduzir o tamanho dos pacotes posteriores.

Por exemplo, um datagrama IPv4 de 1.500 bytes chega a um enlace com MTU de 1.400 bytes enquanto Não fragmentar está ativado. O roteador o descarta e informa que a fragmentação é necessária, com MTU de 1.400. O remetente ajusta o tamanho de seu pacote IP; o valor de 1.400 bytes inclui o cabeçalho IP, então ele não é a carga útil máxima da aplicação.

Roteadores IPv6 nunca fragmentam pacotes encaminhados. Eles retornam pacote grande demais para que a origem possa se ajustar. Bloquear todo o ICMP remove esse retorno e pode criar um buraco negro na descoberta da MTU do caminho: pacotes pequenos funcionam enquanto os maiores desaparecem. A filtragem seletiva preserva as mensagens necessárias ao funcionamento da rede.

O ping solicita uma resposta a um destino. O traceroute usa sondagens que expiram em saltos sucessivos para encontrar roteadores que respondem ao longo do caminho de ida. Ambos informam medições de ida e volta, que combinam a viagem de ida, a geração da resposta e a viagem de volta.

Leia um resultado de ping

No IPv4, o ping envia solicitações de eco, tipo 8 código 0, e recebe respostas de eco, tipo 0. Cada troca bem-sucedida fornece um RTT. Se três de quatro sondagens receberem respostas, uma de quatro ficará sem resposta: a perda observada será de 25%.

Uma resposta estabelece que uma troca com o destino funcionou naquele momento. A ausência de resposta pode significar uma falha no destino ou no caminho, mas também pode significar que as mensagens de eco foram filtradas ou tiveram sua taxa limitada. O ping testa essas mensagens, não todos os protocolos de aplicação que podem usar o hospedeiro.

Revele saltos sucessivos com TTL limitado

O traceroute envia primeiro uma sondagem com TTL 1. O primeiro roteador o reduz a 0, descarta a sondagem e pode retornar uma mensagem ICMP de tempo excedido. TTL 2 alcança o próximo roteador antes de expirar. Aumentar o TTL repete esse processo mais adiante no caminho. A origem registra o endereço e o tempo decorrido para cada resposta.

O traceroute clássico do Unix usa sondagens UDP para portas de destino improváveis, a partir de 33434. No destino, porta inalcançável sinaliza a chegada. O tracert do Windows usa solicitações de eco e reconhece uma resposta de eco no destino. É comum usar três sondagens em cada TTL; sondagens diferentes podem seguir caminhos distintos devido ao balanceamento de carga.

Interprete um rastreamento completo

O destino responde no salto 5. O RTT medido aumenta $95-12=83$ ms do salto 3 para o salto 4 e permanece alto depois disso. Isso é compatível com um trecho mais lento ou mais longo próximo desse ponto, mas a subtração não é o atraso em um sentido do enlace entre eles. As respostas são pacotes diferentes, podem usar caminhos de retorno diferentes e incluem atrasos de processamento e de fila diferentes. Esses RTTs, por si só, não permitem determinar o comprimento de nenhum enlace.

Explique o silêncio e RTTs incomumente altos em saltos intermediários

Uma linha com “* * *” significa que as sondagens naquele TTL não receberam resposta a tempo. Se saltos posteriores responderem, os pacotes estão avançando pela rede. O roteador silencioso pode encaminhar normalmente enquanto suprime suas próprias respostas ICMP.

Um roteador intermediário também pode mostrar um RTT maior que o de roteadores posteriores. A criação de uma resposta ICMP pode receber prioridade menor que o encaminhamento de tráfego, então uma resposta lenta do plano de controle não comprova que um enlace de encaminhamento seja lento. Aumentos persistentes que continuam nos saltos posteriores merecem atenção diferente de um pico isolado.

Mantenha em vista os limites do caminho observado

O traceroute revela interfaces de roteadores que respondem, não uma lista de números de AS. Associar esses endereços às redes que os anunciam é uma etapa adicional. O rastreamento também deixa de mostrar o caminho de retorno, embora ele contribua para cada RTT. Políticas de roteamento e escolhas de batata quente podem fazer a direção de volta seguir redes diferentes, então um rastreamento separado no sentido inverso pode contar outra história.

O gerenciamento de redes conecta os objetivos de um operador a observações e alterações nos dispositivos. Sua estrutura tem cinco partes: um servidor de gerenciamento, dispositivos gerenciados, os dados dos dispositivos, agentes que disponibilizam esses dados e um protocolo que conecta os agentes ao servidor.

Identifique os objetos e as mensagens

O SNMP, Protocolo Simples de Gerenciamento de Redes, geralmente usa UDP. Os agentes escutam na porta 161; os gerenciadores recebem notificações na porta 162. GetRequest lê objetos, GetNextRequest percorre sua ordem de nomes e GetBulkRequest lê muitos valores de forma eficiente. SetRequest altera objetos graváveis. Response transporta o resultado.

Uma notificação não confirmada (trap) é uma notificação não solicitada sem reconhecimento na camada de aplicação. Uma InformRequest é confirmada pelo receptor. Um agente pode, portanto, informar um evento sem esperar a próxima consulta de monitoramento.

Uma base de informações de gerenciamento (MIB) define objetos gerenciados em módulos usando a linguagem de definição de dados SMI. Cada objeto tem um identificador de objeto (OID) em uma árvore mundial de nomes. O OID identifica um objeto definido; o agente fornece seu valor atual.

Por exemplo, sysUpTime, OID 1.3.6.1.2.1.1.3, mede o tempo desde que o sistema de gerenciamento do dispositivo foi reiniciado. ifInOctets, OID 1.3.6.1.2.1.2.2.1.10, define contadores de bytes recebidos por interface. Uma entrada de tabela também precisa da instância da interface para identificar o valor de qual interface está sendo lido.

Calcule a utilização a partir de duas consultas

O contador de uma interface de 100 Mbit/s sobe de 1.250.000.000 para 1.475.000.000 bytes em 60 segundos. Primeiro, determine a quantidade recebida:

Converta bytes em bits e divida pelo tempo decorrido:

A utilização de entrada é $30\mathrm{/}100=\mathrm{0,30}$, ou 30%. Um contador é um total acumulado, não uma taxa; tanto a diferença quanto o tempo decorrido são necessários. Distinguir bytes de bits evita um erro de oito vezes.

Reconheça o retorno cíclico e a reinicialização

ifInOctets tem 32 bits e retorna ao início após $2^{32}$ bytes. A 1 Gbit/s, isso leva cerca de $2^{32}\times 8\mathrm{/}{10}^9\approx 34$ segundos. Um intervalo de 60 segundos pode ocultar vários retornos, então os dois valores, por si só, não permitem recuperar o total de tráfego. O ifHCInOctets de 64 bits é adequado para interfaces rápidas.

Quando ocorreu no máximo um retorno e nenhuma reinicialização, some $2^{32}$ a uma diferença negativa. A reinicialização de um dispositivo ou contador precisa de tratamento separado; tratar toda diminuição como um retorno cíclico pode criar um falso pico de tráfego.

Escolha monitoramento seguro e alterações estruturadas

O SNMPv1 e o SNMPv2c usam strings de comunidade em texto claro. O SNMPv3 oferece autenticação, criptografia e controle de acesso no nível dos objetos; selecione as configurações de segurança que fornecem essas proteções.

O SNMP é amplamente usado para monitoramento. Uma SetRequest valida as alterações solicitadas antes de aplicá-las como um grupo em um dispositivo. Se a atribuição falhar, o agente tenta desfazer as alterações; uma resposta undoFailed informa que a própria recuperação falhou. Ela não cria uma transação em vários dispositivos. Editar objetos MIB individuais também é trabalhoso para configurações grandes. Uma CLI pode ser usada com comandos digitados ou scripts, mas comandos de texto dispositivo por dispositivo tornam-se mais difíceis de coordenar em escala; o NETCONF oferece operações estruturadas de configuração.

O NETCONF lê e altera configurações estruturadas de dispositivos. O YANG define a estrutura, os tipos e as restrições dos dados gerenciados. O protocolo transporta e aplica dados; o modelo descreve o que esses dados significam e quais valores são permitidos.

Abra uma sessão segura e examine as capacidades

O NETCONF normalmente é executado sobre SSH usando a porta 830; o transporte seguro também pode usar TLS. Cliente e servidor trocam mensagens hello que anunciam as capacidades suportadas. As solicitações e respostas são chamadas de procedimento remoto (RPCs) codificadas em XML.

As capacidades importam. Um gerenciador precisa descobrir se há suporte à configuração candidata, à validação ou à efetivação com confirmação antes de depender desses recursos.

Separe as configurações ativa, preparada e de inicialização

O repositório de configuração em execução (running) está ativo. Um repositório de configuração candidata (candidate), quando suportado, é uma cópia de trabalho para alterações propostas, e um repositório de configuração de inicialização (startup), quando suportado, mantém a configuração carregada na inicialização. Editar apenas a configuração candidata deixa a configuração em execução inalterada. Uma efetivação copia a configuração candidata preparada para uso ativo.

Um bloqueio impede edições conflitantes enquanto o gerenciador trabalha. A validação verifica as regras da configuração candidata; ela não estabelece que o tráfego continuará se comportando como desejado após a ativação.

Coordene dois dispositivos sem presumir uma única efetivação atômica

Para alterar a MTU em um enlace entre R1 e R2, o gerenciador bloqueia ambas as configurações candidatas, envia edit-config a cada um e valida ambas. Se qualquer validação falhar, ele descarta as duas alterações preparadas e libera os bloqueios antes da ativação.

Se a validação for bem-sucedida, ele efetiva em cada dispositivo e verifica as respostas. As efetivações são separadas: R1 pode mudar antes de R2, ou uma efetivação pode ser bem-sucedida enquanto a outra falha. O gerenciador precisa detectar esse resultado parcial e se recuperar, por exemplo, restaurando a configuração anterior.

Com a efetivação com confirmação, um dispositivo reverte automaticamente a alteração a menos que o gerenciador a confirme dentro de um tempo definido. Isso ajuda quando uma nova configuração interrompe o acesso de gerenciamento. Cada dispositivo ainda tem sua própria operação e seu próprio temporizador; a efetivação com confirmação não transforma o par em uma única transação em toda a rede.

Use um modelo para rejeitar um valor inválido

Um módulo YANG organiza dados em contêineres, listas e folhas. Uma folha chamada mtu pode ter o tipo uint16 e o intervalo permitido de 68–65535. O valor 40 viola o intervalo, embora caiba no tipo inteiro sem sinal. A validação do modelo verifica tanto o tipo quanto as restrições.

Ferramentas podem usar modelos YANG para verificar XML do NETCONF ou JSON do RESTCONF. Modelos padrão de interfaces da IETF, modelos de fabricantes e modelos OpenConfig oferecem definições de dados diferentes. A telemetria contínua pode enviar o estado modelado em intervalos, complementando as consultas.

O SNMP continua útil para monitorar objetos individuais. O NETCONF fornece operações de configuração baseadas em sessão e recursos de coordenação no nível do dispositivo. Nenhum dos protocolos garante, por si só, que dispositivos separados ativem simultaneamente uma alteração em toda a rede.