Summary

  • Le 18 mars 2021, Nathalie Trenaman a demandé à la communauté si RIPE NCC devait rejeter les annonces RPKI invalides sur AS3333, le réseau qui héberge notamment le LIR Portal. Un ROA mal rempli pouvait alors empêcher son titulaire d'atteindre l'outil nécessaire pour le corriger.
  • Le 19 avril, le rejet est entré en service. Avertissements et prises de contact ont précédé cette date; RIPE NCC n'a ouvert ni accès secret au portail ni droit pour son personnel de modifier les ROA des membres.

Une erreur de formulaire qui verrouille le formulaire

Une route « invalid » au regard du RPKI peut signaler un détournement. Elle peut aussi provenir d'une faute de saisie dans le ROA, par exemple un mauvais numéro d'AS ou une longueur maximale inadaptée. Le filtre ne connaît pas la cause. Sur le réseau principal de RIPE NCC, ce défaut pouvait couper un membre de my.ripe.net, là où il administre précisément ses autorisations.

Dans son message au Routing Working Group, Trenaman décrit deux accès déjà inégaux. Certains fournisseurs en amont rejetaient les invalides; d'autres laissaient passer des annonces qui pouvaient être détournées. Un membre avait signalé une impossibilité d'atteindre le site après un détournement. L'analyse du 10 février recensait 511 annonces de membres ou utilisateurs finaux susceptibles d'être touchées. RIPE NCC mettait donc son propre guichet au milieu du problème.

Le 7 avril, son compte rendu relève 697 routes invalides appartenant à 215 organisations. Ces organisations ont été prévenues. Le tableau de bord a reçu une alerte avant la publication d'un ROA incompatible avec le BGP observé. Une vérification ultérieure, citée au RIPE 82, parle de 597 routes pour les mêmes 215 organisations avant l'activation. Ce sont deux photographies datées, pas une soustraction à expliquer par conjecture.

La solution de secours était volontairement austère: venir d'un autre réseau dont l'annonce était valide ou « unknown ». Trenaman refusait un passage caché vers le portail et toute correction de ROA par RIPE NCC à la place du titulaire. L'annonce de service fixait le 19 avril; les diapositives de mai confirment l'activation et évoquent seulement quelques questions, surtout sur la création de ROA. K-Root, AS25152, ne relevait pas de ce filtre d'AS3333.

Le geste décisif n'a pas été de cocher « rejeter ». Il a consisté à rendre visible, avant la coupure, le chemin de retour de celui qui s'était trompé.

Sources: question de mars; récit de Trenaman; annonce; bilan RIPE 82.