Resumen

  • ASPA publica proveedores ascendentes autorizados y añade evidencia sobre AS_PATH más allá de la autorización de origen.
  • Publicar, validar, clasificar y rechazar son estados operativos separados.
  • Unknown conserva la incertidumbre durante el despliegue parcial y no debe presentarse como Valid.

La firma está; el rechazo no

El operador observa su nuevo ASPA en el panel RPKI. Después anuncia al borde de producción el mismo camino de cliente deliberadamente inválido. La ruta permanece instalada porque la política de importación de producción no consume el resultado ASPA del validador. El objeto no falló: la prueba aísla la ausencia de una acción en esa política.

APNIC define ASPA como una lista firmada de proveedores autorizados creada por el titular del ASN. Una ROA confirma el origen permitido de un prefijo, pero no la coherencia del camino. El trabajo IETF distingue rutas recibidas de clientes, pares, proveedores, clientes de route server y siblings porque la misma secuencia requiere contexto.

La cobertura incompleta produce Unknown. RIPE explica por qué aceptarlo durante el despliegue parcial evita que la ausencia de evidencia se convierta en una interrupción. Invalid exige una contradicción; Unknown expresa que no hay datos suficientes.

ASPA tampoco impide toda fuga iniciada por el AS local. El borrador IETF recomienda OTC como complemento. Y ninguna clasificación criptográfica certifica entrega de paquetes, capacidad o intención comercial.