RIPE: el 37 % de definiciones ROA no aparece en BGP

Resumen

En RIPE 93, RIPE NCC contrastó dos medidas: casi el 100 % de los anuncios observados que ya tenían ROA eran válidos, pero alrededor del 37 % de las definiciones ASN-prefijo de los ROA no se veían en BGP.
Algunas autorizaciones ausentes del tráfico actual protegen rutas de respaldo. Otras pueden quedar activas después de retirar un anuncio y hacer que un origen falsificado parezca válido para RPKI.

El permiso que sobrevive a la ruta

Una ruta puede desaparecer y dejar atrás su permiso firmado. Crear el ROA suele acompañar el arranque de una ruta; retirarlo después rara vez interrumpe una operación visible. La limpieza queda en la lista de tareas mientras la autorización continúa en el repositorio.

El 28 de octubre, durante RIPE 93, Tim Bruijnzeels, responsable de RPKI en RIPE NCC, describió dos lados de esa misma situación. A escala mundial, dijo, cerca del 73 % de los prefijos contaba con ROA al sumar IPv4 e IPv6. Entre los prefijos anunciados y cubiertos por un ROA, casi el 100 % era válido según ROV. Los operadores corrigen o filtran con rapidez los anuncios Invalid, explicó; por eso las rutas que sí se observan mejoran pronto.

Después miró desde el lado de las autorizaciones. Aproximadamente el 37 % de las definiciones ASN-prefijo contenidas en los ROA no aparecía en BGP. Esa cifra cuenta definiciones de origen y prefijo, no rutas, tráfico, espacio de direcciones ni objetos ROA. Un ROA puede incluir varias definiciones de prefijo.

La transcripción no indica numerador, componentes del denominador, fecha de la muestra, período de observación ni método de cálculo. Esos datos permitirían separar permisos realmente abandonados de rutas silenciosas que aún cumplen una función.

Algunas rutas silenciosas son deliberadas. Un titular puede autorizar una ruta antes de activarla o conservar un origen alternativo para una avería. Bruijnzeels citó expresamente las rutas de respaldo entre las explicaciones posibles. El panel de RIPE NCC compara los ROA con los anuncios captados por sus colectores RIS; la documentación de la API dice que esas observaciones se actualizan cada ocho horas. Que un prefijo no aparezca en la vista actual describe lo que vieron los colectores, no la intención del titular a lo largo del tiempo.

Otras definiciones quizá quedaron atrás. Bruijnzeels resumió el incentivo: hay un motivo claro para crear el ROA cuando empieza el anuncio y mucha menos presión para borrarlo cuando el anuncio termina. El beneficio de retirarlo es menos visible que el de crearlo, así que el objeto puede seguir publicado.

Ese residuo tiene una consecuencia técnica. La validación de origen BGP compara el prefijo y el ASN de origen con un ROA que los autoriza. No autentica toda la ruta AS. Si alguien anuncia el prefijo suplantando un origen que sigue autorizado en un ROA antiguo, los validadores pueden marcar el anuncio como válido. Una firma que describía una ruta real puede seguir avalando el mismo origen cuando ya no existe la razón operativa para hacerlo.

La respuesta fácil sería mostrar una alerta por cada ROA que no aparezca en BGP. RIPE NCC afirma que la señal ya está en la interfaz, aunque cuesta encontrarla, y quiere hacerla más clara y ampliar las alertas. Bruijnzeels también propuso que el titular pueda marcar un respaldo intencional para dejar de recibir avisos repetidos. Ese control importa tanto como la alerta. Borrar de golpe todas las definiciones silenciosas podría eliminar justo la ruta que un operador reservó para una emergencia.

Hace falta una cola de revisión, no un contador rojo con botón de borrado. Cada discrepancia debería mostrar el prefijo, el ASN de origen, la hora de la última observación y la antigüedad de los datos RIS. Luego el titular puede elegir entre activo, planificado, respaldo o retirado. Así actualiza una ruta, conserva un permiso de respaldo con motivo o elimina una autorización que ya no corresponde. «No observado» se convierte en una pregunta para el operador, no en una sentencia del panel.

La cifra de RIPE NCC muestra un hueco real de gestión. Una tasa excelente de validez entre las rutas observadas puede convivir con un inventario de permisos sin seguimiento. La próxima cifra útil no es bajar el 37 % borrándolo todo. Es saber qué proporción de las definiciones no observadas se clasifica como respaldo, planificada, activa o retirada, y cuántos permisos retirados se eliminan de verdad.