Summary

  • Le réseau de RIPE 92 a commencé à rejeter les chemins jugés invalides par ASPA. Ondřej Caletka a ensuite reçu un signalement : CZ.NIC n'était plus joignable en IPv6 depuis la conférence. Son fournisseur unique ne lui annonçait qu'un meilleur chemin, celui que le filtre venait d'écarter.
  • L'opérateur de CZ.NIC a complété sa liste ASPA de fournisseurs et, selon Caletka, la correction a atteint la table de routage en une dizaine de minutes. La discussion publique a porté sur l'endroit où filtrer lorsque le transit restant est le dernier recours.

Une règle de sécurité peut remporter le débat avec le routeur et perdre celui avec l'utilisateur. Ondřej Caletka l'a raconté vendredi à RIPE 92. L'équipe avait signé un objet ASPA pour son ASN et activé le rejet des chemins invalides sur le réseau de la réunion. Puis un autre Ondřej, chez CZ.NIC, lui a signalé une destination inaccessible en IPv6. Caletka a préféré exposer le résultat devant ses pairs, questions embarrassantes comprises.

La transcription officielle donne la pièce manquante. Le réseau de la conférence n'avait qu'un fournisseur en amont. Il recevait la table BGP complète, sans route par défaut. Le meilleur chemin vers CZ.NIC passait par AS6939, Hurricane Electric, fournisseur de transit IPv6 gratuit absent des déclarations ASPA pertinentes. Le validateur y voyait une relation non autorisée et le routeur rejetait le chemin. L'amont, lui, n'avait transmis que son meilleur chemin. Une autre possibilité pouvait exister plus haut, mais elle n'était pas proposée au réseau de la réunion. Ici, « jeter la mauvaise route » revenait à ne plus en avoir.

La réparation a été rapide : CZ.NIC a ajouté AS6939 à sa liste de fournisseurs ASPA; Caletka a évoqué environ dix minutes avant que le changement n'apparaisse dans la base de routage. La documentation du RIPE NCC explique la discipline sous-jacente. Son tableau de bord ne devine pas les vrais fournisseurs d'un ASN. Un pair qui assure aussi du transit doit figurer dans la déclaration, même si le service est gratuit. Et la liste doit suivre les changements réels du réseau.

La salle n'a pas produit de slogan unanime. Job Snijders a soutenu qu'il fallait corriger l'autorisation distante ou la relation de transit; pour lui, accuser la validation risquait de viser le mauvais endroit. Caletka a insisté sur ce que voyait le client à fournisseur unique : jamais le chemin autorisé que son amont n'avait pas exporté. Gert Doering a proposé de conserver le chemin du transit de dernier recours et de filtrer plutôt aux interconnexions entre pairs. Le désaccord enregistré est utile précisément parce qu'il situe les leviers.

Caletka construit les laboratoires de formation du RIPE NCC, d'après sa fiche professionnelle. Son tutoriel de RIPE 93 aborde la configuration et le dépannage d'ASPA. La leçon d'Édimbourg tient en une question à poser avant d'appliquer la règle : combien de chemins mon fournisseur me montre-t-il vraiment ?