Summary

  • Ondřej Caletka berichtete auf der RIPE 92, dass das Konferenznetz ASPA-ungültige Pfade verwarf und danach CZ.NIC über IPv6 nicht mehr erreichte. Sein einziger Upstream hatte ausgerechnet den verworfenen Pfad als beste Route geliefert.
  • Eine Ergänzung der ASPA-Providerliste bei CZ.NIC machte das Ziel nach Caletkas Darstellung binnen ungefähr zehn Minuten wieder erreichbar. Die anschließende Debatte drehte sich um den richtigen Ort der Filterung am letzten Transitanschluss.

„Filter arbeitet wie vorgesehen“ ist im NOC kein besonders beruhigender Satz, wenn daneben „Ziel nicht erreichbar“ steht. Ondřej Caletka stellte genau diese Kombination im Plenum der RIPE 92 vor. Das Konferenzteam hatte für seine ASN ein ASPA-Objekt signiert und begann, ungültige AS-Pfade abzuweisen. Kurz darauf meldete ein Kollege von CZ.NIC ein IPv6-Ziel, das vom Tagungsnetz aus nicht mehr erreichbar war. Caletka erzählte den Fehlschlag öffentlich, bevor jemand daraus eine glatte Erfolgsgeschichte machen konnte.

Die offizielle Mitschrift zeigt den Engpass: ein Upstream, eine vollständige BGP-Tabelle, keine Default-Route. Der als bester Weg zu CZ.NIC angekündigte Pfad führte über AS6939, Hurricane Electric. Dessen kostenloser IPv6-Transit stand in den maßgeblichen ASPA-Providerlisten nicht. Die Validierung stufte den Pfad als ungültig ein, der Konferenzrouter verwarf ihn. Der Upstream hatte aber nur diesen besten Pfad weitergegeben. Eine andere, autorisierte Strecke konnte weiter oben vorhanden sein; bei Caletka kam sie nicht an. Der Filter nahm die einzige Route weg, die er überhaupt prüfen durfte.

CZ.NICs Betreiber ergänzte AS6939 in seinem ASPA-Objekt. Caletka sagte, die Änderung sei nach rund zehn Minuten in der Routing-Informationsbasis angekommen. Die ASPA-Anleitung des RIPE NCC macht klar, warum solche Einträge Pflege brauchen: Das Dashboard kennt die tatsächlichen Providerbeziehungen eines Netzes nicht. Ein Peeringpartner, der zugleich Transit bietet, gehört auf die Liste. „Kostenlos“ ist eine Preisangabe, keine Topologiebeschreibung.

Im Saal begann die interessantere Prüfung. Job Snijders sah die Korrektur bei der entfernten Autorisierung oder der Transitbeziehung und warnte davor, die Validierung zum Sündenbock zu machen. Caletka hielt dagegen, dass ein einfach angebundenes Netz die vom Upstream nicht exportierte Alternative gar nicht wählen kann. Gert Doering schlug vor, den letzten Upstream-Pfad anzunehmen und stattdessen an Peerings zu filtern. Die protokollierte Diskussion lässt den Dissens stehen. Genau dadurch wird sichtbar, wer welche Stellschraube in der Hand hält.

Laut Mitarbeiterprofil baut Caletka beim RIPE NCC Trainingslabore. Sein RIPE-93-Tutorial behandelt ASPA-Konfiguration und Fehlersuche. Für die erste Übung braucht es keine spektakuläre Attacke: Ein Betreiber sollte wissen, welche Wege sein Upstream tatsächlich exportiert, bevor er einen davon löscht.