Resumen

  • Dos validadores RPKI accesibles pueden exponer conjuntos de payloads validados distintos porque la recopilación y la validación no terminan a la vez en todas partes.
  • Elegir o cambiar el caché de un router puede alterar la evidencia usada para validar el origen; disponibilidad y autoridad de política son controles diferentes.
  • Un protocolo de discrepancia debe registrar huellas de los conjuntos validados, resultados de recopilación, asignación de routers, responsable de decisión, condiciones de cambio y prueba de reversión.

Durante una ventana de mantenimiento, los validadores A y B están sanos. Sus sesiones RTR siguen establecidas y ningún indicador aparece en rojo. Sin embargo, A ya completó un ciclo que refleja la retirada reciente de una ROA, mientras B conserva el objeto anterior de un punto de publicación. Dos grupos de routers pueden clasificar de forma distinta el mismo par prefijo-origen.

No hace falta que ningún protocolo esté roto. RFC 7115 describe el RPKI global como débilmente coherente: publicación, descarga, validación y entrega avanzan con relojes distintos. Tener dos relying parties mejora la disponibilidad, pero no produce una respuesta mundial simultánea.

Un caché validado tampoco es una copia pasiva. Recopila objetos, evalúa su validez y presenta un conjunto resultante a los routers. Cambiar de A a B puede recuperar conectividad y, al mismo tiempo, modificar las autorizaciones que alimentan la política local. Incluso una conmutación automática ejerce una elección operativa.

RFC 9286 muestra una causa de divergencia: un manifiesto que supera nextUpdate está obsoleto y se trata como una descarga fallida, quizá solo para un punto de publicación. RFC 8182 aplica controles separados de sesión, serie y hash a RRDP. Recurrir a un snapshot es una recuperación definida; por sí solo no demuestra que el validador esté equivocado.

RFC 8210 añade el límite del router. Este adopta el estado de un caché tras recibir la respuesta completa indicada por End of Data. Los intervalos de refresh, retry y expire gobiernan consultas y conservación. Una conexión verde no demuestra que ambos validadores generen el mismo conjunto, que todos los routers hayan terminado la misma actualización ni que cambiar de caché sea neutral.

Por eso el panel debe comparar salidas y dependencias. Para cada validador conviene guardar una huella estable del conjunto validado, la última recopilación plenamente satisfactoria, los puntos de publicación fallidos, la configuración de anclas y excepciones, y los routers que lo consumen. Una diferencia exige investigación; no prueba automáticamente cuál es correcto.

Los relatos operativos alojados por APNIC recomiendan varios validadores y vigilar las conexiones cliente para evitar que los routers sigan silenciosamente con bases antiguas. La lección no es ejecutar dos procesos, sino observar qué sirve cada uno y quién lo usa.

Fuentes