Resumen

  • Un Internet-Draft individual propone añadir un RegionIdentifier a la ROA y compararlo con la región inferida para cada anuncio entrante.
  • La discrepancia puede ser una señal útil. No prueba por sí sola ubicación física, anuncio no autorizado, secuestro ni seguridad de descartar la ruta.

ROV resuelve una pregunta pequeña y valiosa: si el titular autorizó a un AS a originar un prefijo. El borrador draft-geng-sidrops-regionalized-roa-00, publicado el 20 de septiembre, observa que un atacante puede falsificar el AS legítimo o usar un borde no autorizado y seguir obteniendo Valid. Propone una segunda comprobación, R-ROV, que devuelve RegionMismatch cuando el alcance firmado y el contexto observado no coinciden.

Datatracker lo presenta como borrador individual sin respaldo formal del IETF. Esa condición importa: estamos evaluando una idea y sus fronteras, no una norma aprobada ni un sistema desplegado.

Un código administrativo no es una frontera de encaminamiento

El esquema admite código RIR, país ISO o región UN M49. Son categorías distintas. RFC 7020 describe al RIR como parte de la distribución administrativa del registro y reconoce LIR con operaciones en varias regiones. Un país identifica jurisdicción; M49, agrupación estadística. Ninguno identifica automáticamente el punto de entrada permitido de una ruta.

El titular puede declarar un alcance operativo más estrecho. La firma autenticaría esa declaración, no la convertiría en geografía observada. Redes anycast, peering remoto, tránsito internacional y recuperación ante desastres pueden producir anuncios legítimos fuera de la región que sugiere el certificado de recursos.

Region_Ctx también es una afirmación

El borrador deriva el otro lado de la comparación desde la configuración del peer, comunidades BGP o telemetría/topología. Una sesión puede estar configurada con una etiqueta antigua. Una Large Community transporta información opaca definida por operadores. Un punto de interconexión físico no tiene por qué coincidir con el mercado o el origen de aprendizaje remoto.

Por eso el propio texto admite falsos positivos y negativos. La bitácora debe conservar declaración regional, vocabulario, regla de mapeo, versión, interfaz, UPDATE, AS-PATH, acción local y resultado de alcance. Sin esa cadena, un icono rojo borrará la diferencia entre ataque, etiqueta obsoleta y conmutación de respaldo.

La geofeed firmada no mide el terreno

La alternativa fuera de banda permite sintetizar una tabla con estadísticas delegadas y geolocalización. RFC 9632 autentica opcionalmente una geofeed con RPKI, pero también aconseja contrastar otras fuentes. La firma demuestra que una autoridad sobre el rango publicó los datos; no que cada fila sea físicamente exacta.

Una tabla sintetizada debe seguir llamándose política local. Necesita procedencia, caducidad y retirada propias. Si un dato equivocado provoca un drop, el operador debe poder revertirlo sin esperar a que cambie la cadena mundial de certificación.

El cable RTR aún necesita diseño

El borrador menciona un nuevo PDU o ampliar el PDU de prefijo y afirma compatibilidad total. RFC 8210 negocia versión y clasifica un tipo de PDU desconocido como error fatal. La revisión 00 no define aún la negociación, el downgrade ni la convivencia de cachés y routers. Eso es trabajo pendiente legítimo, no compatibilidad probada.

Mantener local la consecuencia

Las acciones sugeridas —drop, penalización de LOCAL_PREF o alarma— quedan bajo política local. Esa es la salvaguarda central. Conviene empezar por alarmas trazables, clasificar mismatches reales y medir anycast, peering remoto, failover y errores de configuración. Penalizar o descartar debe requerir una decisión adicional y una ruta de reversión.

El borrador puede aportar un testigo nuevo donde ROV no ve. Para que el testigo no se convierta en juez, debe separar quién declara la región, quién observa la entrada, quién compara y quién asume la pérdida de alcance. Una firma acredita una voz; no reemplaza el hecho operativo.

Fuentes