Resumen

  • RFC 9977 publica longitudes de prefijo de sitio final y, cuando hay CGN o proxy, una cifra de sitios finales por longitud declarada.
  • Una firma RPKI puede vincular el archivo a recursos cubiertos; no certifica que la cifra sea cierta ni obliga a un proveedor a cambiar sus límites.

La escena parece sencilla: un /24 comunica que detrás de CGN hay 4.000 sitios. RFC 9977 usa exactamente esa cifra para explicar el tercer campo de un archivo prefixlen. El objetivo es reducir errores de agrupación cuando un servicio bloquea, limita, plantea CAPTCHAs o infiere ubicación desde una IP. Si se agrupa demasiado, se castiga a vecinos; si se agrupa demasiado poco, se llenan las listas. Pero el ejemplo no es una medición, ni una recomendación de producto, ni una autorización de trato distinto.

El alcance de una fila

La fila no comentada contiene prefijo, longitud de sitio final y número de sitios cuando aplica CGN/proxy. Si los dos últimos campos quedan vacíos, el publicador no divulga esa información y el consumidor debe descartar la inferencia de un prefijo más amplio. También debe elegir la coincidencia de prefijo más larga y saltar entradas erróneas o duplicadas. El protocolo evita que una afirmación amplia invada un subrango que eligió no hablar; no decide si el valor declarado describe con fidelidad a las personas tras la dirección.

La referencia vive en prefixlen: de RPSL o, mientras exista migración, en remarks: Prefixlen. Se obtiene por HTTPS. La RFC separa esa protección de transporte de la autenticación de la asignación del espacio IP.

Prueba de recurso no es prueba de población

La autenticación opcional firma el archivo con un certificado RPKI que cubre los rangos publicados. Se valida certificado, manifiesto, firma CMS, tipo de contenido y cobertura. RFC 6481 define que el certificado de recurso enlaza una clave pública con bloques IP y ASN enumerados; el sujeto puede demostrar tenencia de esos recursos mediante una firma.

Es una evidencia importante, pero limitada. Prueba una relación criptográfica definida entre un firmante, un archivo y rangos cubiertos. No prueba cuántas personas usan el rango, si una petición concreta pertenece a un usuario legítimo, si el dato sigue vigente o si un servicio debe reducir fricción. RFC 9977 anticipa el incentivo adverso: un operador podría etiquetar falsamente un prefijo como CGN para esquivar bloqueo o limitación legítimos. También advierte que archivos enormes o excesivamente específicos pueden dañar al consumidor.

Donde vuelve a empezar la decisión

La RFC dice que un proveedor puede ajustar límites según la señal CGN. La decisión sigue siendo del proveedor: debe unir la declaración con vigencia, calidad de datos, señales de abuso, contexto de la petición, política local y resultado observado. Una entrada de prefijo puede justificar que se investigue un agrupamiento; no puede cerrar la discusión diciendo que una excepción era segura.

La disciplina de Heng Lu es pertinente como criterio editorial: el artefacto común hace visible una señal verificable; la autoridad sobre un riesgo y un servicio permanece donde se ejecuta el sistema. Publicar no es mandar.