Zusammenfassung

  • Der IESG eröffnete am 17. September 2026 den Last Call für Version 21 der SAVNET-Problemanalyse zur interdomänenübergreifenden Quelladressvalidierung. Stellungnahmen sind bis 1. Oktober möglich; ein verabschiedeter RFC liegt noch nicht vor.
  • Der Entwurf untersucht sowohl zu Unrecht blockierte legitime Pakete als auch fälschlich zugelassene Pakete mit vorgetäuschter Quelle. Nach Abschnitt 6 kann der filternde Grenzrouter nicht alle eigenen Fehlentscheidungen selbst erkennen.
  • Eine betroffene Kunden- oder Peering-Nachbarin kann den entscheidenden Hinweis liefern. Ein nachvollziehbares Protokoll von Meldung bis Korrektur ist ein Vorschlag dieses Artikels, kein IETF-Vorgabeformat.

Bei einem verworfenen Paket lässt sich häufig rekonstruieren, welche Tabellenregel der Router angewendet hat. Daraus folgt noch nicht, dass die Tabelle alle gültigen Quellen kannte. Genau zwischen Regelausführung und Sachverhalt liegt die operative Lücke des SAVNET-Papiers, das nun beim IESG zur letzten Kommentierung steht. Es stellt keine bereits eingeführte neue Filtertechnik vor, sondern prüft, wo vorhandene Verfahren bei der Validierung von Quelladressen zwischen autonomen Systemen scheitern können.

Ein Grund ist begrenzte Sicht auf Routing-Informationen. Ein legitimes Präfix kann nur ausgewählten Gegenstellen bekanntgegeben werden. Andere Präfixe dienen als Quelladressen, etwa in bestimmten Anycast-Szenarien mit direktem Rückweg, ohne dem Filter als gewöhnliche BGP-Zielroute vorzuliegen. Das Fehlen einer sichtbaren Route ist deshalb kein Beweis für eine gefälschte Quelle. Eine darauf gegründete SAV-Tabelle kann zulässigen Verkehr fälschlich unterbinden. Werden die erlaubten Eingangsrichtungen aus Sorge vor solchen Sperren zu weit gefasst, steigt umgekehrt die Gefahr, manipulierte Quelladressen durchzulassen.

Auch eine nur teilweise Einführung begrenzt den Schutz. Ein Betreiber kann mit seinem Filter nicht alle Spoofing-Fälle innerhalb eines Kundenverbunds verhindern, wenn dort nicht überall gleichwertige Prüfungen stattfinden. Der Entwurf verlangt für künftige Methoden eine genauere Unterscheidung beider Fehlerarten, weniger manuelle Tabellenpflege, Vorteile für frühe Anwender trotz Teilverbreitung, Schutz zusätzlicher SAV-spezifischer Informationen und effiziente Konvergenz. Das sind Anforderungen an zukünftige Lösungen, keine Messwerte aus einem bestehenden Betrieb.

Besonders aufschlussreich ist Abschnitt 6 über die Fehlersuche. Der AS-Grenzrouter erkennt nicht aus eigener Kraft, ob eine Entscheidung anhand seiner SAV-Tabelle einen rechtmäßigen Sender ausschloss oder einen unzulässigen passieren ließ. Betroffene nachgelagerte Netze oder Peering-Partner können eine Erreichbarkeitsstörung melden. Diese Meldung muss mit der Eingangs-Schnittstelle, der damals aktiven Tabelle und ihren Informationsquellen abgeglichen werden. Eine Beschwerde ist noch kein Beweis für einen Fehlfilter; ein lokaler Zähler ist aber ebenso wenig ein Beweis für seine Korrektheit.

Daniel Kade schlägt daher ein begrenztes betriebliches Untersuchungsprotokoll vor: meldende Gegenstelle und Zeitpunkt, Schnittstelle und Beziehungstyp, betroffene Quellpräfixe und Verkehrsklasse, Tabellen- und Eingangsdatenversion, zuständige Person, Entscheidung über Änderung oder Beibehaltung der Regel sowie überprüfter Abschluss. Paketdetails und wirtschaftlich sensible Topologie sollten nur so weit geteilt werden, wie die Analyse es erfordert. Der Entwurf schreibt weder dieses Protokoll noch eine allgemeine Schnittstelle für Betreiber-Tickets vor.

Es geht darum, die Zuständigkeit für eine lokale Sperre mit der Möglichkeit zur Prüfung externer Gegenbelege zu verbinden.

Die zeitliche Einordnung bleibt wichtig. Version 21 trägt das Datum 19. Juli; neu im September ist der Last Call ab dem 17. September bis zum 1. Oktober. Das Papier ist eine Problem- und Anforderungsbeschreibung, kein fertig standardisiertes Protokoll, kein dokumentierter Vorfall und keine Aussage über reale Verbreitung. Seine überprüfbare Erkenntnis ist enger: Die Stelle mit der Macht über den Filter besitzt möglicherweise nicht die erste Information über dessen Schaden. Ohne geregelten Rückweg für diese Information kann eine präzise ausgeführte lokale Regel zugleich eine unerkannte falsche Regel sein.

Quellen