Zusammenfassung

  • Zwei erreichbare RPKI-Validatoren können unterschiedliche validierte Payload-Sätze liefern, weil Sammlung und Prüfung nicht überall gleichzeitig abgeschlossen werden.
  • Die Wahl oder Umschaltung des Router-Caches kann die Evidenz der Ursprungsvalidierung ändern; Verfügbarkeit und Policy-Autorität sind daher getrennte Kontrollen.
  • Ein belastbares Abweichungsprotokoll hält Satz-Fingerprints, Sammlungsergebnisse, Router-Zuordnung, Entscheidungsverantwortung, Umschaltbedingungen und Rollback-Nachweis fest.

In einem Wartungsfenster sind Validator A und B gesund. Die RTR-Sitzungen stehen, kein Alarm ist rot. A hat jedoch einen Repository-Lauf abgeschlossen, der den jüngsten Widerruf einer ROA enthält. B verwendet für einen Publikationspunkt noch das vorige validierte Objekt. Router-Gruppen an A und B können nun dasselbe Präfix-Origin-Paar unterschiedlich klassifizieren.

Dafür muss kein Protokoll defekt sein. RFC 7115 bezeichnet das globale RPKI als lose konsistent: Veröffentlichung, Abruf, Validierung und Auslieferung laufen auf getrennten Uhren. Mehrere Relying Parties erhöhen die Erreichbarkeit, erzeugen aber keine weltweit zeitgleiche Antwort.

Ein validierter Cache ist auch keine passive Kopie. Er sammelt Objekte, prüft ihre Gültigkeit und stellt Routern den resultierenden Payload-Satz bereit. Der Wechsel von A zu B kann eine Verbindung wiederherstellen und zugleich die Ursprungsautorisierungen verändern, auf denen die lokale Policy beruht. Auch automatische Umschaltung trifft damit eine operative Wahl.

RFC 9286 zeigt eine mögliche Ursache: Ein Manifest nach nextUpdate ist veraltet und führt zur Behandlung als fehlgeschlagener Abruf, möglicherweise nur für einen Publikationspunkt. RFC 8182 verlangt getrennte Sitzungs-, Serien- und Hash-Prüfungen für RRDP. Der Abruf eines Snapshots ist ein definierter Wiederherstellungsweg; allein beweist er keinen Fehler.

RFC 8210 fügt die Router-Grenze hinzu. Der Router übernimmt den Cache-Zustand erst nach der vollständigen Antwort, die End of Data markiert. Refresh-, Retry- und Expire-Intervalle steuern weitere Abfragen und Aufbewahrung. Eine grüne Verbindung beweist weder gleiche Validator-Ausgaben noch denselben Abschluss aller Router oder eine policy-neutrale Umschaltung.

Das Dashboard sollte daher Ausgaben und Abhängigkeiten vergleichen. Für jeden Validator gehören ein stabiler Fingerprint des validierten Satzes, der letzte vollständig erfolgreiche Lauf, fehlgeschlagene Publikationspunkte, Trust-Anchor- und Ausnahmekonfiguration sowie die nutzenden Router in die Evidenz. Eine Differenz verlangt Untersuchung, bestimmt aber nicht automatisch die richtige Seite.

Von APNIC veröffentlichte Betriebserfahrungen empfehlen mehrere Validatoren und die Überwachung ihrer Client-Verbindungen, damit Router nicht unbemerkt alte Datenbanken weiterverwenden. Entscheidend ist nicht, zwei Prozesse zu betreiben, sondern zu beobachten, was jeder bereitstellt und wer es nutzt.

Quellen