Summary

  • Dans son intervention originale à RIPE 92, Sebastian Becker réserve l'AS-SET utilisé pour filtrer le cône client à l'AS de l'opérateur et à ses réseaux en aval. Les pairs et les fournisseurs doivent figurer dans des ensembles distincts, clairement nommés.
  • Il décrit un contrôle avant l'activation BGP : confronter les préfixes annoncés par le futur client au filtre généré. Son contraste de 100 préfixes promis et 10 000 autorisés est un exemple pédagogique, pas le bilan d'un incident.

À quoi sert une liste de clients quand le routeur la lit ? À décider quels itinéraires entreront. Sebastian Becker, responsable du peering d'AS3320 chez Deutsche Telekom, a rappelé à RIPE 92 que la qualité d'un AS-SET change de nature dès qu'il alimente un filtre. Une relation commerciale mal classée devient une permission technique.

Becker veut un ensemble simple pour le cône client : l'AS du fournisseur et ses AS ou ensembles en aval. On peut aussi publier ses pairs et ses fournisseurs, à condition d'utiliser d'autres ensembles et d'expliquer leur rôle. Si tout finit dans le même sac, l'expansion récursive produit des préfixes que le voisin ne devait jamais présenter comme ceux d'un client. La conséquence possible va du filtre trop large au risque de fuite de routes.

Le même nom d'AS-SET peut exister dans plusieurs bases IRR. Becker signale qu'une seule copie est parfois tenue à jour. Importer les anciennes versions gonfle la liste sans éclairer la relation actuelle. Il demande de préciser où l'ensemble est entretenu et de confronter le résultat du filtre à l'accord réel entre réseaux.

Son exemple le plus parlant arrive avant la connexion : un client annonce qu'il enverra 100 préfixes, mais l'expansion en donne 10 000. Becker explique que son équipe effectue alors un essai avant d'activer la session ou d'accepter le filtre, puis renvoie l'écart au client. Elle peut préparer la documentation en amont de l'ouverture du port pour que les routes légitimes soient reçues dès le début. La page officielle de la présentation nomme aussi Fedor Vompe ; les statistiques sur les boucles d'AS-SET présentées plus tard sont les siennes.

En février 2024, Becker annonçait que le réseau AS3320 prévoyait de rejeter les origines RPKI invalides tout en acceptant celles de statut inconnu. Cette vérification de l'origine ne décrit pas le lien client-fournisseur utilisé pour construire le filtre. Des écarts de filtres datés, les routes effectivement reçues et les corrections apportées diraient combien d'erreurs la vérification préalable arrête en pratique.

La bataille se joue donc avant la première annonce. Préparer un AS-SET exact permet l'automatisation ; alimenter le filtre avec une relation brouillée donne à une vieille fiche la vitesse d'un routeur.

Sources : transcription primaire de RIPE 92 · page officielle de l'exposé · biographie RIPE NCC · annonce originale de Becker.