Summary

  • Der RIPE-Labs-Bericht von Nathalie Trenaman aus dem Jahr 2019 schildert die Frage des RIPE 78: Verwirft das Konferenznetz tatsächlich ungültige RPKI-Ankündigungen? Er nennt Emile Aben, Jasper den Hertog und Job Snijders als Mitwirkende.
  • Hinter zwei Präfixen standen Webserver. Für eines war eine gültige ROA vorhanden, das andere war absichtlich ungültig. Das gültige Ziel zu erreichen und das ungültige zu verfehlen, war ein starkes Indiz für die Filterung auf dem Weg des Nutzers. RIPE Labs und die RPKI-Seite des RIPE NCC führen den Check weiterhin auf.

Eine Routerkonfiguration lässt sich auf einer Folie zeigen. Der Laptop im Publikum nimmt trotzdem seinen eigenen Weg durchs Netz. Beim RIPE 78 wollten die Teilnehmer wissen, was auf diesem Weg geschah. Trenaman und ihr Team antworteten mit einem Versuch, der in einen Browser passte.

An jedem von zwei Testpräfixen wartete ein Webserver. Das erste Präfix hatte eine gültige Route Origin Authorisation, das zweite war bewusst ungültig. Der Browser rief beide Ziele ab. Das gültige Ziel war die Kontrollfrage: Wenn schon diese Seite ausfiel, konnte ein gewöhnliches Verbindungsproblem wie erfolgreiche Sicherheitsarbeit aussehen. Erst der Unterschied zwischen den Ergebnissen machte den Versuch aussagekräftig.

Damit wurde eine verborgene Entscheidung im Routing für jemanden sichtbar, der das Netz einfach benutzt. Trenaman bezeichnete das erwartete Muster als starkes Indiz. Es beschreibt einen beobachteten Pfad zu einer bestimmten Zeit. Für die genaue Ursache müssen Betreiber Filter, Routen und andere Gründe für einen fehlgeschlagenen Webabruf prüfen.

Auch der Terminkalender spielte mit. Das Team wollte vor Ende des RIPE 78 fertig werden; die erste Fassung unterstützte nur IPv4. Die drei weiteren Namen im Beitrag stehen für gemeinsame Ingenieursarbeit. Trenaman brachte die Frage in eine Form, die Nutzer ohne Routerzugang selbst stellen konnten: Hält mein Netz seine Zusage zu ungültigen Routen?

Im Werkzeugverzeichnis von RIPE Labs steht der Webtest weiterhin als schneller Check. Die RPKI-Übersicht des RIPE NCC verweist ebenfalls auf eine Prüfung, ob ein Netz ungültige Routen verwirft. Aus einer Frage im Konferenzsaal wurde ein dauerhaft nützlicher Prüfgedanke.

Router melden sich selten freiwillig zur Prüfung. Zwei Webseiten gaben den Nutzern eine Antwort, mit der sie zu den Betreibern gehen konnten. Dort beginnt die eigentliche Fehlersuche.