Zusammenfassung

  • Nach Invalid→Valid erreichten Messpunkte mit mehreren Upstreams die Hälfte der Vantage Points in median 9 Minuten; mit einem Upstream dauerte es 12 Minuten.
  • Nach Valid→Invalid brauchte es 42 Minuten mit mehreren Upstreams und 30 Minuten mit einem, bis die Hälfte der Messpunkte die Erreichbarkeit verlor.

Zwei Upstreams können dieselbe Route schneller zurückbringen und sie später verschwinden lassen. Das klingt nach einem Routing-Paradox. Es ist eher ein Protokoll dafür, dass nicht jede Seite dieselbe Nachricht zur selben Zeit liest.

Die Zahlen stammen aus einem Vortrag auf der RIPE 93 über RPKI-Änderungen und ihre Wirkung auf die Erreichbarkeit im Datenpfad. Das Team verfolgte rund 25.000 Änderungen im RIPE-Repository, die validierte Payloads veränderten, und isolierte etwa 1.500 Ereignisse mit einem einzelnen Übergang. Nach einem erkannten VRP-Wechsel starteten Traceroutes von mehr als 300 CAIDA-Ark-Knoten; sie liefen ungefähr alle drei Minuten über eine Stunde.

Gemessen wurde nicht die Zeit zwischen ROA-Bearbeitung und erstem Validator-Download. Die Uhr endete, wenn die Hälfte der Messpunkte ein Präfix wieder erreichen konnte oder die Erreichbarkeit verloren hatte. Wer Veröffentlichung, Validierung und Weiterleitung in ein einziges Feld „aktualisiert“ presst, wirft die operative Frage gleich mit weg.

Der Rückweg profitiert vom zweiten Anschluss

Nach Invalid→Valid lag der Median bis zur Erreichbarkeit an der Hälfte der Vantage Points bei neun Minuten für multihomed Netze und zwölf Minuten für Netze mit nur einem Upstream. Jeder Provider betreibt eigene Relying-Party-Software und aktualisiert sie nach eigenem Zeitplan. Zwei unabhängige Zuleitungen verdoppeln nicht die Wahrheit, aber sie geben ihr zwei Chancen, zuerst anzukommen.

Auch der langsame Verteilungsschwanz war bei mehreren Upstreams kürzer. Der Mechanismus ist nüchtern: Ein Validator kann das neue Objekt früher holen als der andere. Sobald ein Pfad die aktualisierte Autorisierung verarbeitet, kann das Netz die Route darüber wieder sehen, während der zweite Pfad noch auf seinen nächsten Abruf wartet.

Die zusätzliche Leitung macht die ROA nicht gültig. Eine ROA autorisiert einen Ursprung; Validatoren berechnen den Zustand aus den veröffentlichten Objekten. Der gemessene Unterschied entsteht danach, wenn Upstreams, Router und lokale Richtlinien den neuen Zustand verarbeiten.

Für den Abgang bleibt die Tür länger offen

Bei Valid→Invalid drehte sich die Reihenfolge um: Bis die Hälfte der Messpunkte Erreichbarkeit verlor, vergingen im Median 30 Minuten bei einem Upstream und 42 Minuten bei mehreren. Hat ein Provider sein RPKI-Bild schon aktualisiert und behandelt die Route anders, kann ein zweiter mit altem Stand sie weiterhin ankündigen. Die Ausweichroute wird zum Nachzügler mit Sendeberechtigung.

In einem Vorfall ist Invalid kein globaler Ausschalter. Jedes Netz entscheidet lokal, wie es ungültige Ankündigungen behandelt. Validatoren aktualisieren sich nicht synchron; solange noch Pfade angekündigt werden, kann BGP sie auswählen. Der Status im Kontrollsystem kann daher bereits gewechselt sein, während Traceroutes das Präfix noch erreichen.

Die untersuchten Fälle hatten einen einzelnen Ursprung; Fälle mit einer überdeckenden spezifischeren Ankündigung blieben außen vor. Die Traceroutes endeten nach einer Stunde. Neun, zwölf, 30 und 42 Minuten sind Mediane dieser beobachteten Fälle. Für den Betrieb zählt deshalb die Frage, welcher Upstream den neuen Zustand bereits kennt und welcher die Route noch verbreitet.

Eine ROA-Änderung, mehrere Uhren

Zwischen der ROA-Änderung und einem anderen Weiterleitungsergebnis liegen Veröffentlichung, Abruf, Validierung, Verteilung an Router, lokale Richtlinie und Konvergenz im Datenpfad. Der Vortrag zerlegte damit ein Statuswort, das in Betriebsdashboards gern so klingt, als hätte die ganze Welt gemeinsam auf „Speichern“ geklickt.

Das Team überwachte den RIPE-Repository-Ursprung und setzte einen optimierten Validator ein. Laut Vortragendem kam dieses Signal mindestens 57 Sekunden früher als bei den verglichenen öffentlichen Validatoren und im Median fünf Minuten früher. So konnten die Traceroutes anlaufen, bevor ein großer Teil des Netzes reagierte. Das war ein Messvorteil, keine Fernbedienung für fremde Abrufpläne.

Der Vortragende empfahl, ROAs vor dem Ernstfall vorzubereiten, Abrufintervalle zu prüfen und RRDP zu aktivieren, sofern die Software es unterstützt. Als Ziel nannte er fünf bis zehn Minuten. Wer die Wirkung einer Korrektur nachweisen will, braucht dennoch ein Protokoll mit Veröffentlichungszeit, Validator-Beobachtungen, Upstream-Status und unabhängigen Erreichbarkeitstests. Ein grüner Statuspunkt ersetzt diese vier Uhren nicht.

Quellen: offizielle RIPE-93-Sitzung und Abstract; offizielles Plenarprotokoll der RIPE 93; RFC 6811: BGP Prefix Origin Validation.