Summary

  • Nathalie Trenaman fragte die Routing Working Group am 18. März 2021, ob RIPE NCC auf AS3333 RPKI-ungültige Routen verwerfen solle. Dort lagen auch LIR Portal und weitere Dienste; ein Mitglied mit falschem ROA könnte den Ort seiner Korrektur nicht erreichen.
  • Am 19. April ging die Regel in Betrieb. RIPE NCC kontaktierte betroffene Organisationen und warnte vor unpassenden ROAs im Dashboard, ohne Hintertür zum Portal oder Änderungen an ROAs durch Mitarbeiter.

Wenn der Fehler den Reparaturweg sperrt

Ein ROA legt fest, welcher AS eine Adresse ankündigen darf und wie spezifisch die Ankündigung sein kann. Ein Zahlendreher oder eine falsche maximale Präfixlänge macht auch eine rechtmäßige Route aus Sicht der RPKI ungültig. Der Filter sieht den Widerspruch, nicht seine Ursache. Auf AS3333 traf die Folge den Betreiber des Registers selbst: Dort betrieb RIPE NCC die Oberfläche, mit der Mitglieder ihre ROAs verwalten.

Trenamans März-Mail beschrieb bereits uneinheitliche vorgelagerte Netze. Einige verwarfen ungültige Routen, andere nicht. Ein Mitglied mit fehlerhaftem ROA konnte über die einen scheitern; ein Mitglied mit gekaperter Route hatte über die anderen keinen Zugang zur Website gemeldet. Die Prüfung vom 10. Februar ergab 511 möglicherweise betroffene Ankündigungen von Mitgliedern und Endnutzern.

In ihrem RIPE-Labs-Text nannte sie für den 7. April 697 ungültige Routen aus 215 Organisationen. RIPE NCC informierte die Organisationen und ergänzte eine Warnung, bevor jemand einen ROA veröffentlichte, der nicht zum beobachteten BGP passte. Der RIPE-82-Bericht verzeichnet für eine andere Prüfung vor der Umstellung 597 Routen derselben 215 Organisationen. Zwei Zeitpunkte, keine Zahl der tatsächlich ausgesperrten Nutzer.

Den bequemen Ausweg lehnte Trenaman ab. Es gab keinen verborgenen Zugang zu my.ripe.net; RIPE NCC änderte auch keinen ROA für ein Mitglied. Wer betroffen war, sollte ein anderes Netz mit gültiger oder unbekannter RPKI-Bewertung benutzen. Die Dienstankündigung setzte den 19. April fest. Im Mai bestätigte Trenaman die Aktivierung und berichtete von nur wenigen Fragen, überwiegend zur Erstellung von ROAs. K-Root mit AS25152 gehörte nicht zu AS3333.

Die Regel war erst vollständig, als der Betreiber auch den unbequemen Rückweg für einen Irrtum erklärte.

Quellen: März-Mail; RIPE Labs; Dienstankündigung; RIPE 82.