Zusammenfassung

  • Ein Beitrag im LACNIC Blog unterscheidet Martians, Bogons mit Bezug zum Ressourcenstatus und RPKI-Invalids. Der Autor weist ausdrücklich darauf hin, dass seine Ansichten nicht notwendigerweise LACNICs Ansichten sind.
  • Alle drei Kategorien können in einer Filterkette vorkommen, doch sie beziehen ihre Bedeutung aus unterschiedlichen Datenständen: einem Register für Sonderadressen, einer Ressourcenaufnahme und der validierten ROA-Sicht eines Caches.
  • RFC 6811 bestimmt Invalid anhand validierter Herkunftsautorisierungsdaten, lässt unterschiedliche lokale Caches zu und schreibt keine einzelne Reaktion vor. Herkunftsvalidierung ist keine Pfadvalidierung.
  • Ein datierter, kategorisierter Nachweis kann eine Aggregation überprüfbar machen, ohne Präfixe, Peers, Kunden oder Konfigurationen offenzulegen.

Eine Zahl beschreibt nicht den Zustand, aus dem sie entstand

Ein Filter kann mit wenigen Regeln viel Betriebslast abfangen. Daraus folgt nicht, dass alle gezählten Entscheidungen denselben Tatsachenkern haben. Der LACNIC-Beitrag zu Martians, Bogons und RPKI Invalids ist dafür ein guter Ausgangspunkt: Er trennt drei Begriffe, die in einer Kurzmeldung leicht nebeneinander geraten, aber nicht auf dieselbe Quelle oder denselben Änderungsrhythmus zurückgehen.

Martians beziehen sich in der Darstellung auf Adressraum für besondere Zwecke. Bei Bogons ist der Status von Ressource, Delegierung und Zuweisung entscheidend. RPKI Invalids beschreiben dagegen, ob das beobachtete Paar aus Präfix und Ursprungs-AS zu einer sichtbaren ROA-Autorisierung passt. Dies ist keine Feststellung einer LACNIC-Policy. Sergio Kleiman zeichnet den Beitrag persönlich und erklärt am Ende, dass die Ansichten nicht notwendigerweise die von LACNIC sind. Der Text belegt weder einen regionalen Vorfall noch eine aktuelle Zahl oder eine einheitliche Praxis bestimmter Netze.

Entscheidend ist deshalb die Frage nach der passenden Datenuhr. Für Sonderadressen ist die IANA-Registry für IPv4 Special-Purpose Address Space die relevante Registerfläche. Wer eine Filterentscheidung auf eine solche Eigenschaft stützt, sollte später die verwendete Version oder wenigstens den Abrufzeitpunkt nennen können. Ohne ihn wird eine zu einem bestimmten Zeitpunkt gelesene Registereigenschaft irrtümlich zu einer zeitlosen Aussage über die Adresse.

Für ressourcenstatusbezogene Bogons gilt eine andere Uhr. Der Blog erläutert, dass sich die Datenmenge verändert, wenn Ressourcen verfügbar werden, delegiert oder zugeteilt werden. Ein Ergebnis braucht daher eine identifizierbare Momentaufnahme. Eine spätere Zuteilung kann Anlass sein, eine ältere Liste zu prüfen; sie ersetzt nicht rückwirkend den Datenstand, der damals vorlag. Die Betriebsanalyse muss trennen, ob sich der Ressourcenstatus änderte, die Verteilung einer Liste verzögert war oder die lokale Regel anders wirkte.

Bei RPKI läuft die Uhr mit der validierten Cache-Sicht. Nach RFC 6811 ist eine Route Invalid, wenn sie von validierten ROA-Daten erfasst wird, aber keine Autorisierung zum beobachteten Präfix und Ursprungs-AS passt. Der RFC beschreibt auch, dass lokale Caches wegen ihrer Aktualisierung oder ihres Abrufs voneinander abweichen können. Zwei Grenzen sind dabei unverzichtbar: Welche Aktion auf ein Ergebnis folgt, entscheidet die lokale Policy; und die Herkunftsvalidierung prüft keinen vollständigen AS-Pfad.

Eine Gesamtzahl darf also ein gutes Signal für Arbeit sein und trotzdem zu wenig Beweis für eine Erklärung liefern. Sie zeigt nicht, ob die Fälle eine gemeinsame Ursache, ein gleiches Risiko oder dieselbe Korrekturstelle hatten. Sie belegt weder eine Fehlkonfiguration noch eine abgewehrte Bedrohung. Erst die Verbindung zwischen Kategorie, Quelle, Zeit und lokaler Aktion verhindert, dass die Aggregation mehr behauptet als sie tragen kann.

Der Beleg kann knapp und nicht-invasiv bleiben

Für diese Verbindung müssen weder Routingtabellen noch Präfixe, AS-Nummern, Peer-Namen, Kunden, Geräte, Tickets oder Regeltexte veröffentlicht werden. Pro Kategorie reicht ein Nachweis mit Quelle und Version oder Snapshot, Abrufzeit, Beobachtungszeit, IPv4/IPv6-Bereich, Eingangs- oder Ausgangsrichtung, einer groben Nachbarrolle, lokaler Aktion, Ausnahmeklasse, aggregierter Zahl, Aktualisierungsrhythmus und Korrekturweg.

Das schafft eine überprüfbare Grenze. Eine Sonderadresseneigenschaft verweist zur Registry, ein Ressourcenstatus zur entsprechenden Momentaufnahme, ein RPKI-Ergebnis zur Autorisierungsbeziehung oder lokalen Ausnahme. Nichts davon macht eine Aussage über einen einzelnen Teilnehmer. Gerade weil die Nachweise getrennt bleiben, kann eine spätere Korrektur erfolgen, ohne das Netz hinter der Messung offenlegen zu müssen.

Quellen