Resumen

  • La sugerencia 2026.10 pidió que los contactos técnicos de recursos concretos gestionaran RPKI e IRR para esos recursos. El 4 de septiembre ARIN aceptó que existe ese caso de uso, lo pasó a su priorización interna y marcó la sugerencia Closed sin fecha de entrega.
  • Las instrucciones actuales de ROA siguen pasando por la pantalla RPKI de un Org ID. El técnico asociado solo al recurso necesita encontrar a alguien con permiso organizativo antes de crear o borrar el ROA; el tiempo de publicación empieza después.

Quien detecta que un prefijo tiene la autorización de origen equivocada puede ser la única persona del equipo que no tiene la llave para corregirla. La sugerencia 2026.10 de ARIN describió precisamente esa escena. Pedía permitir que el contacto técnico de un recurso administrara sus datos RPKI e IRR sin abrirle todos los recursos del Org ID. El expediente público terminó cerrado; el mecanismo de permisos sigue arriba.

Nathanael Jean-Francois presentó la propuesta el 20 de agosto. Según su descripción, algunas organizaciones delegan la operación diaria de ciertos prefijos a personal cercano a esos servicios. La gestión de ROA, en cambio, pasa por el contacto de enrutamiento vinculado a la organización. El solicitante atribuyó a ese paso retrasos en la respuesta a incidentes y en el aprovisionamiento de nuevos servicios. No publicó tiempos medidos ni una serie de incidentes. El hecho verificable es una separación entre responsabilidad por un recurso y autoridad para firmar su origen.

ARIN contestó el 4 de septiembre que reconocía el valor de controles más finos para RPKI e IRR. Dijo que consideraría la sugerencia dentro de su priorización interna de futuras mejoras de administración y permisos, y cambió su estado a Closed. La página no ofrece fecha de implementación ni compromiso de diseño. En la guía vigente de ROA, el usuario todavía elige una organización antes de entrar en Manage RPKI para crear o retirar autorizaciones. La pregunta frecuente de RPKI también remite al Org ID del recurso para consultar lo que cubre su certificado.

La distinción fina es importante. Una persona que ya tiene permiso a nivel de organización puede actuar, sea cual sea la etiqueta interna de su puesto. La documentación de Org ID explica el vínculo entre cuentas, contactos y entidad. El caso de la sugerencia es un técnico vinculado a un recurso que carece de esa autoridad más amplia. Darle la llave de toda la organización evitaría la llamada al compañero autorizado, pero también le abriría prefijos ajenos. Un permiso por recurso acotaría el derecho al trabajo que realmente realiza.

Un ROA es una declaración firmada de qué AS puede originar uno o varios prefijos. Si cambia el AS, se mueve un cliente o hay que corregir un registro, la persona responsable del prefijo puede conocer la necesidad antes que el administrador central. Desplazar el permiso hacia ella puede ahorrar el relevo humano. También obliga a ARIN y a la organización a responder preguntas duras: qué prefijos exactos controla esa persona, cuándo pierde el derecho y cómo se audita una modificación equivocada. Un botón que conceda toda la cartera sería una solución torpe al problema de la espera.

ARIN publica otro reloj, posterior al permiso. Su FAQ dice que un ROA nuevo entra inmediatamente en el repositorio, que este se publica cada cinco minutos y que los usuarios deben esperar entre 30 y 60 minutos desde la creación hasta que el ROA influya en el enrutamiento de Internet. Esa cifra no incluye el tiempo de localizar al titular de la cuenta autorizada. Para retirar un ROA, la guía indica efecto inmediato en la base de ARIN y reflejo en el repositorio público dentro de 24 horas. El recorrido de creación y el de retirada tienen tiempos distintos; ninguno mide el relevo dentro de la empresa.

El proceso ACSP describe una vía en que una propuesta considerada claramente viable permanece abierta hasta su implementación, incluso si todavía no hay estimación. La ficha 2026.10 muestra cierre y prioridad interna. Desde fuera no hay un calendario público que seguir en esa ficha. Cambiaría el juicio una versión de ARIN Online o de la API con un rol limitado al recurso, o un compromiso de producto con fecha.

Hasta entonces, el operador puede hacer algo concreto: documentar quién crea y revoca ROA por cada Org ID, designar un suplente localizable y ensayar la llamada antes de una emergencia. ARIN admitió el desajuste de permisos. La sugerencia quedó cerrada; la llave siguió en otra mesa.

Sugerencia y respuesta de ARIN · Proceso ACSP · Gestión de ROA · FAQ RPKI · Guía Org ID