Zusammenfassung

  • ARIN-Vorschlag 2022.26 fordert einen parallelen Betrieb von Hosted und Delegated RPKI während der Umstellung. Der Antragsteller nannte 515 Präfixe mit jeweils mehreren ROAs und schätzte für seinen eigenen Ablauf 2022 etwa 25 Stunden zur Neuerstellung.
  • ARIN kündigte eine Prüfung an. Die aktuelle Vorschlagsliste führt den Antrag weiterhin als Open; die RPKI-FAQ verlangt für den Modellwechsel Kontakt mit Registration Services.

Wer von einer gehosteten Zertifizierungsstelle auf eine eigene wechselt, tauscht nicht einfach eine Einstellung aus. Er verschiebt die Verantwortung für die Signatur der Route Origin Authorizations. Die entscheidende Frage ist, ob die alten Autorisierungen bis zur nachweisbaren Wirksamkeit der neuen halten.

Michael Drzal beschrieb diese Frage im Oktober 2022 mit Zahlen. Nach seinem Antrag wurden beim Wechsel vom gehosteten zum delegierten RPKI alle bisherigen ROAs ungültig und mussten neu erstellt werden. Seine größte Organisation hielt 515 Präfixe mit mehreren ROAs je Präfix. Das Team begrenzte die Änderungsrate absichtlich, um Fehler im Routing zu vermeiden; für den Neuaufbau veranschlagte es 25 Stunden. Es wollte deshalb beide Betriebsarten vorübergehend für dieselbe Organisation nutzen. Das war die damalige Schätzung eines konkreten Betreibers, keine heutige allgemeine Ausfallzeit.

ARIN antwortete im November 2022, die Funktion könne großen Inhabern helfen, und wollte Anforderungen und Entwicklung prüfen. Im Protokoll von ARIN 52 tauchte die Übergangshilfe 2023 erneut auf. Vier Jahre nach dem Antrag ist die öffentliche Statuszeile weiter offen. Die heutige FAQ schickt wechselwillige Organisationen zum Registrierungsdienst. Sie veröffentlicht an dieser Stelle keinen Ablauf mit parallelen Zertifizierungsstellen und einem Nachweis, dass die ROA-Abdeckung durchgehend stimmt.

Laut ARINs Produktbeschreibung signiert ARIN im Hosted-Modell die ROAs. Im Delegated-Modell betreibt der Ressourceninhaber die Zertifizierungsstelle selbst, während ARIN Vertrauensanker bleibt. Die FAQ nennt außerdem fünf Minuten als Takt der Repository-Veröffentlichung und 30 bis 60 Minuten, bis ein neuer ROA üblicherweise das Routing beeinflusst. Diese Systemzeiten sind kein Umstellungsprotokoll. Ein solches Protokoll müsste die alte und neue ROA-Liste vergleichen, Veröffentlichung und Validator-Sicht festhalten und einen Rückweg bei Fehlern zeigen.

Eine veröffentlichte, heute gültige Hilfsprozedur mit diesen Belegen würde die Bewertung ändern. Im geprüften öffentlichen Material endet der Weg von einer Betriebsart zur anderen vorerst an einer Servicenummer.