ASPA dans BIRD : l'ASN local aide chez un client, gêne chez un pair

Un ASN de plus démasque l'oubli. Chez un pair, il sabote le contrôle

Pourquoi c'est important

Un chiffre ajouté au chemin examiné peut révéler un fournisseur oublié dans une attestation ASPA. Ondřej Caletka l'a montré à RIPE 93. Mais sur une session de peering, la même recette fait trébucher la vérification. Le voisin commercial change la réponse avant même que l'algorithme commence.

Daniel Kade26 octobre 2026 à 21:24 UTCTemps de lecture 3 minDernière mise à jour: 26 octobre 2026

Le dernier saut ne répond pas à la même question chez tous les voisins.

Résumé

Au tutoriel ASPA de RIPE 93, le 26 octobre, Ondřej Caletka de RIPE NCC a présenté un filtre BIRD qui ajoute l'ASN local au chemin soumis au contrôle.
Sa diapositive 57 réserve une surprise au copier-coller : sur une session avec un pair latéral, cet ajout casse la vérification ascendante.

Le petit ASN supplémentaire a l'air serviable. Chez un client, il permet de demander si celui-ci vous a bien déclaré comme fournisseur. Avec un fournisseur de transit, il permet de vérifier votre propre déclaration. Invitez-le chez un pair et il devient l'invité qui change le plan de table : la relation de voisinage n'est pas devenue du transit parce que le filtre l'a dessinée ainsi.

Le tutoriel officiel de RIPE 93 a eu lieu le 26 octobre. Dans ses diapositives originales, Caletka montre pour une session de transit aspa_check(aspas, bgp_path.prepend(2121), false). Le dernier paramètre choisit la vérification descendante. Le filtre illustré rejette le résultat invalide ; un commentaire propose d'afficher ce résultat pour observer avant de rejeter.

Le chemin reçu s'arrête normalement au voisin BGP. L'AS local n'y figure pas encore, alors qu'il apparaîtra lors de la réexportation. La diapositive 57 décrit ce que cette limite peut masquer : un client ne vous a pas inscrit parmi ses fournisseurs, ou vous avez oublié votre propre fournisseur de transit. Ajouter l'ASN local au chemin testé soumet enfin ce dernier lien à l'épreuve. Cela ne modifie pas rétroactivement l'annonce reçue.

Pour un pair, l'histoire change. Le voisin est latéral ; le présenter à l'algorithme comme un maillon d'une montée vers un fournisseur fausse la vérification ascendante. L'explication publiée par l'équipe BIRD trace précisément la frontière : ajout chez les clients et les fournisseurs, pas chez les pairs. Elle précise aussi que le projet IETF de vérification ASPA ne prescrit pas cette astuce ; il prévoit le contrôle de la relation locale séparément.

Le guide de RIPE NCC distingue lui aussi vrais fournisseurs et simples pairs dans les attestations. Une bibliothèque de filtres doit savoir faire la même chose. Une ligne de configuration parfaitement standardisée, posée sur la mauvaise classe de session, industrialise l'erreur avec une élégance dont le réseau se passerait volontiers.