Résumé

  • Deux validateurs RPKI joignables peuvent exposer des ensembles de charges utiles différents, car collecte et validation ne s’achèvent pas partout au même instant.
  • Choisir ou remplacer le cache d’un routeur peut modifier la preuve utilisée pour la validation d’origine; disponibilité et autorité de politique sont donc deux contrôles distincts.
  • Un protocole de divergence utile conserve les empreintes des ensembles validés, les résultats de collecte, l’affectation des routeurs, le décideur, les conditions de bascule et la preuve du retour arrière.

Pendant une maintenance, les validateurs A et B répondent normalement. Leurs sessions RTR sont établies et aucun voyant n’est rouge. Pourtant, A a terminé un cycle qui tient compte du retrait récent d’une ROA, tandis que B conserve encore l’objet précédent pour un point de publication. Deux groupes de routeurs peuvent alors classer différemment le même couple préfixe–origine.

Cette situation ne suppose aucune rupture du protocole. RFC 7115 décrit un RPKI mondial faiblement cohérent: publication, récupération, validation et livraison avancent selon des horloges distinctes. La redondance donne accès à plusieurs relying parties; elle ne crée pas une réponse mondiale instantanée.

Un cache validé n’est pas une copie passive. Il collecte des objets, vérifie leur validité puis présente un ensemble de charges utiles aux routeurs. Passer de A à B peut rétablir la disponibilité tout en modifiant les autorisations d’origine prises en compte par la politique locale. Même automatique, cette bascule exerce donc un choix.

RFC 9286 explique une source de divergence: un manifeste au-delà de nextUpdate est périmé et déclenche le traitement d’un échec de récupération, éventuellement limité à un seul point de publication. RFC 8182 impose séparément les contrôles de session, de série et de hachage RRDP. Le recours à un snapshot est une procédure de reprise normale; il ne prouve pas, à lui seul, que le validateur est fautif.

À la frontière du routeur, RFC 8210 précise que l’état n’est adopté qu’après la réponse complète signalée par End of Data. Les intervalles de refresh, retry et expire règlent les requêtes et la conservation des données. Une connexion verte ne prouve ni l’égalité des ensembles validés, ni la réception du même état par tous les routeurs, ni la neutralité d’une bascule.

Le tableau de bord doit donc comparer les sorties et les dépendances. Pour chaque validateur, il faut conserver une empreinte stable de l’ensemble validé, l’heure du dernier cycle entièrement réussi, les points de publication en échec, la configuration des ancres et des exceptions, ainsi que la liste des routeurs clients. Une différence appelle une enquête; elle ne désigne pas automatiquement le bon côté.

Les retours d’expérience hébergés par APNIC recommandent plusieurs validateurs et le suivi des connexions clientes afin d’éviter que des routeurs ne restent silencieusement sur une base ancienne. La leçon n’est pas seulement d’exécuter deux processus, mais d’observer ce que chacun sert et qui le consomme.

Sources