8.1. SR-MPLS

8.1. SR-MPLS

当应用于 MPLS 数据平面时, SR 不会引入任何新行为或改变 MPLS 数据平面的工作方式。因此, 从安全角度来看, 本文档不定义 MPLS 数据平面中的任何额外机制。

SR 允许使用单个段 (Binding SID, 绑定段标识符) 表达源路由路径。与同样提供显式路由功能的 RSVP-TE 相比, 在提供的信息方面没有根本区别。RSVP-TE 和 Segment Routing (段路由) 都可以使用单个段表达源路由路径。

当路径使用单个标签表达时, RSVP-TE [RFC3209] 和 SR 之间的元数据语法是等效的。

当源路由路径使用段列表表达时, 会向数据包添加额外的元数据, 包括数据包必须遵循的源路由路径, 表示为段列表。

当路径使用标签栈表达时, 如果能够访问标签的含义 (即, 转发等价类, Forwarding Equivalence Class), 就能了解显式路径。对于 MPLS 数据平面, 由于不需要修改数据平面, 因此功能没有根本变化。然而, 标签堆叠 (label stacking) 的出现会增加。

SR 域边界路由器必须过滤任何目的地为受信任域内段关联标签的外部流量。这包括受信任域 SRGB 内的标签、特定边界路由器 SRLB 内的标签, 以及这些块之外的标签。外部流量是指从连接到信任域外节点的接口接收的任何流量。

从网络保护的角度来看, 存在一个假定的信任模型, 即假定任何在数据包上施加标签栈的节点都被允许这样做。与提供最短路径路由的普通 IP 相比, 这是一个重大变化, 但与提供显式路由功能的现有技术 (如 RSVP-TE) 相比, 没有根本不同。默认情况下, 显式路由信息绝对不能通过管理域的边界泄露。在各种协议中定义的 Segment Routing 扩展利用了这些协议的安全机制, 如加密、认证、过滤等。

在一般情况下, 具有段路由能力的路由器仅在标签先前由可信源通告的情况下才接受和安装标签。接收到的信息使用提供认证和安全机制的现有控制平面协议进行验证。Segment Routing 不在现有控制平面协议中定义任何额外的安全机制。

SR 不引入源和源路由路径中间点之间的信令。使用 SR, 源路由路径是使用先前在 IP 控制平面中通告的 SID 计算的。因此, 除了在 SR 域边界处对 SID 进行过滤和受控通告外, 还需要在数据平面进行过滤。必须在 SR 域边界的转发平面上执行过滤, 并可能需要查看多个标签/指令。

对于 MPLS 数据平面, 没有新的要求, 因为现有的 MPLS 架构已经允许通过堆叠多个标签进行这种源路由。而且, 对于安全保护, [RFC4381] 和 [RFC5920] 已经要求在信任边界上过滤 MPLS 数据包。