Summary

  • El bgpipe de Paweł Foremski puede interponerse en una sesión BGP y encadenar controles de origen y de trayecto. RIPE 92 presentó su trabajo como una vía para incorporar ROA y ASPA a routers existentes.
  • La guía oficial de ASPA exige conocer el rol del vecino. Con --role auto, si el vecino omite la capacidad BGP Role de su mensaje OPEN, bgpipe salta la validación ASPA de la sesión. Para uso de seguridad recomienda fijar el rol.

«Esperamos al fabricante» puede ser una decisión técnica o un cómodo cajón de sastre. Paweł Foremski ofrece otra posibilidad: un programa que habla BGP a ambos lados y procesa los anuncios entre routers que ya están funcionando. bgpipe puede añadir etapas ROV y ASPA sin que cada equipo aprenda de golpe una función nueva.

El programa, sin embargo, necesita que alguien describa correctamente al vecino. ROV comprueba el origen de cada prefijo frente a datos ROA validados. ASPA mira el camino de sistemas autónomos y las relaciones de proveedor. Según la documentación de ROV, sus estados pertenecen a prefijos; la etapa ASPA emite un resultado para el camino completo. UNKNOWN significa que faltan atestaciones para concluir. INVALID tiene otro significado. Mezclar ambos en un único contador de «rutas malas» borraría la distinción que se acaba de instalar.

El rol de la sesión decide cómo se aplica la prueba ASPA. Un operador puede indicar de forma explícita si el vecino es cliente, proveedor, par o servidor de rutas. También puede escoger --role auto y aceptar lo que el vecino declara en su OPEN. Si el vecino no declara la capacidad, la comprobación ASPA se omite para esa sesión y aparece una advertencia. Si se anuncia como proveedor o servidor de rutas, cambian algunas reglas del examen. La propia guía señala que auto confía en el par inspeccionado y pide un rol explícito para proteger la sesión.

Esta es la parte que una compra de software no resuelve. Alguien debe mantener el inventario de interconexiones, decidir qué fuente RPKI alimenta el proxy y elegir la acción ante un trayecto INVALID. bgpipe permite retirar los prefijos alcanzables, descartar el UPDATE completo o conservarlo con una etiqueta. Conservarlo sirve para observar; retirarlo modifica lo que el router recibe. La responsabilidad vuelve a la mesa del operador.

Hasta el orden de las etapas altera la evidencia. Si ROV descarta un mensaje antes de ASPA, ese anuncio no entra en las métricas ASPA. El manual del proyecto aconseja poner ASPA primero cuando se necesitan etiquetas y contadores de todo el flujo. Un panel con números impecables puede estar contando solo lo que sobrevivió a una etapa anterior.

Falta un registro fechado de un despliegue que una el rol configurado, el OPEN del vecino, el estado de los datos ASPA y las rutas que efectivamente pasaron o se retiraron. Eso mostraría el resultado en una red concreta. Lo que ya deja claro Foremski es la apuesta: el router viejo puede recibir un control nuevo, pero el vecino no debería redactar las condiciones de su propio examen.

Fuentes: perfil de RIPE 92 · introducción oficial de bgpipe · guía ASPA · guía ROV.