2005年の Cogent・Level 3ピアリング解除が示した到達性の説明責任

要約

Level 3は2005年10月5日、Cogent との直接トラフィック交換を停止した。公開記録によれば、一部の顧客は分断をまたいだ宛先への到達性を失ったが、影響を受けた顧客とプレフィックスの全体像は不明のままである。[1][21][22]
Cogent は交渉を続ける前に接続を復旧するよう Level 3に公に求めた。Level 3が保持していた公開見解によれば、試行形態の取り決めはその条件を満たさなくなっていた。これらは各社の商業上の立場を示すものであり、どちらかが契約に違反した、または違法な行為をしたという認定ではない。[1][22]
登録済みプレフィックスと顧客契約だけでは動作する経路は生まれなかった。到達性は、AS174 と AS3356 が交換・受理・選択した経路と、顧客が実際に持っていた代替トランジットまたはマルチホームの有無に依存していた。
Merit は Cogent の38.0.0.0/8への到達性を調査するため、一部の RouteViews 観測データを使用した。RouteViews と RIPE RIS は参加コレクターからのアナウンスと取り消しを保存できるが、すべての非公開ポリシー、ローカルプリファレンス、顧客経路、商業条件を明らかにすることはできない。[8]-[10]
マルチホーミングは、代替プロバイダー、受理された広告、容量、アプリケーション依存関係が真に独立している場合にのみリスクを低減した。効果的な代替経路のない2本目の契約は継続性ではなかった。
10月28日、両社はトラフィック義務、条件付き支払い、将来関係が失効した場合や違反が是正されない場合に顧客を保護するためのプロセスを含む修正された無償ピアリング契約を発表した。公開リリースは管理設計を示すものであり、将来の相互接続リスクがすべて消えた証拠ではない。[2]
その後の BGP、MANRS、NIST のガイダンスは、明示的なポリシー、経路監視、最大プレフィックス制限、調整、インシデント証拠など、測定可能なコントロールの定義に役立つ。これらは比較資料であり、2005年の事象に遡及適用される法律ではない。[13]-[20]
説明責任の基準は運用上のものである。依存顧客を特定し、終了前に代替到達性を実証し、変更中の経路とトラフィックへの影響を観測し、限定的な是正プロセスを維持し、両方の事業者ネットワークの外部から復旧を検証することである。

インターネットの到達性は、あたかも安定した特性であるかのように販売されることが多い。顧客はアドレスを受け取り、上流事業者に接続し、世界中の宛先への経路を目にする。その視点では、「インターネット」は1つの連続したサービスに見える。しかしコントロールプレーンにおいて、到達性は制度的な約束ではない。それは独立したネットワークがプレフィックスを広告し、それらを受理または拒否し、経路を選択し、自らのポリシーに基づいてトラフィックを転送した現在の結果である。

AS174 を運用する Cogent Communications と、AS3356 を運用する Level 3 Communications の間の2005年10月の紛争は、その違いを露呈させた。10月5日、Level 3は Cogent との直接トラフィック交換を停止した。当時の声明や報道では、両ネットワーク上の顧客が生じた分断をまたいで一部の宛先へのアクセスを失ったと伝えられた。両社はインターネットの他の部分には接続されたままであり、この出来事がグローバルネットワーク全体を分断したわけではない。しかし、Cogent が到達可能な宛先と Level 3が到達可能な送信元の間に許容可能な代替経路が存在しない場合、登録記録や顧客の期待によってパケットを欠落した相互接続を越えさせることはできなかった。

これは意図的なピアリング解除であり、経路漏洩や経路ハイジャック、偶発的な BGP アナウンスではなかった。運用上の障害は、2つの大規模ネットワーク間で以前トラフィックを運んでいた経路が削除されたことから生じた。この区別が、どの証拠が重要かを決定する。調査者は、相互接続の決定、BGP 経路の変更、代替経路、顧客依存、マルチホーミング、コミュニケーション、復旧を調べなければならない。商業上の意見の相違の一般的な説明では、その意見の相違を重大にしたメカニズムを見落とす。

この出来事はまた、特定の種類の説明責任を試すものでもある。ピアリングとトランジットは異なる商業的取り決めであり、公開記録は復旧した関係を有償トランジットではなく無償ピアリングと表現している。しかし両社は、その価値がドメイン間到達性に依存するエコシステムの中で接続性を販売していた。したがって説明責任の問いは、2つの自律システムが無料でピアリングしなければならないかどうかではない。重大な相互接続を管理する事業者が、顧客依存を特定し、運用上の結果を曖昧にせずに終了を管理し、証拠を保存し、復旧を実証できるかどうかである。

到達性は動作中の経路に存在する

IP アドレス割り当てはブロックの保持者を特定できる。自律システム番号はルーティングドメインを特定できる。契約は顧客が何を購入したかを示し、相互接続契約は2つの事業者が互いに何を期待するかを記述できる。しかし、これらの記録のどれも、それだけでルーターの転送テーブルに経路をインストールしない。

AS174 の背後にいる顧客から AS3356 の背後にある宛先へパケットが移動するには、関連するネットワークが両方向で一連の受理された経路を必要とした。その経路は Cogent と Level 3の直接相互接続を使用するかもしれない。あるいは、エクスポートポリシー、商業関係、容量、経路選択が許すならば、別の事業者を経由するかもしれない。許容可能な代替経路を広告するネットワークがなければ、宛先は正しく登録され、正しく発信されていても、反対側からは到達不能のままであり得る。

このため「完全なインターネット到達性」は、すべてのホストが常に応答する絶対的な保証ではなく、運用上の略語となる。ファイアウォール、アプリケーション障害、ローカルポリシーは、ネットワーク経路が存在していても特定のサービスを利用不能にし得る。2005年の紛争で関連する問いはより狭い。実際の接続が AS174 と AS3356 の関係に依存していたプレフィックス間に、通常のドメイン間ルーティングが使用可能な経路を提供したかどうかである。

事業者の市場ラベルはその問いに答えられない。ネットワークを主要バックボーンや Tier 1事業者と表現しても、規模や商業的地位を示すかもしれないが、世界的に強制されるルーティング義務を生み出すわけではない。各自律システムは、エクスポートする経路、受理する経路、優先する経路に対する管理を保持する。インターネットには、2つのネットワークが二国間関係を終了した後にトラフィックを交換するよう命じられる中央ルーターは存在しない。

この独立性はインターネットの強みの1つである。ネットワークは中央当局の許可を求めることなく、異なるセキュリティ、エンジニアリング、商業上の決定を下せる。同じ独立性が継続性の問題を生む。顧客がその周囲に使用可能な経路を持たない場合、二国間の決定は当事者2社を超えた影響を及ぼし得る。したがって説明責任はラベルではなく実際の管理に従わなければならない。セッションを管理する事業者はそのセッションが利用可能であり続けるかを管理し、接続性を販売する事業者はどのようなレジリエンスを供給または推奨するかを管理し、顧客は技術的・財政的限界の範囲内でのみ自らの冗長性を管理する。

2005年の出来事はこれらの層を結びつけた。両社には商業上の意見の相違があったが、顧客への影響は BGP を通じて現れた。決定的な事実は、当事者が合意に何が求められると考えていたかだけではなかった。どの経路の交換が停止したか、どの代替経路が受理可能なまま残ったか、どの顧客が削除された経路に依存していたか、そして直接関係がどのように復旧したかである。

10月の紛争の限定的な年表

防御可能な年表は2005年10月5日、Level 3が Cogent との直接トラフィック交換を停止した時点から始まる。公開資料はこの行為を両社の直接ピアリング関係の終了と説明している。入手可能な証拠は、その相互接続の完全な物理構成、関与したセッションやポートの数、各拠点の容量を確立していない。したがって「接続」は、1本のケーブルまたは1台のルーターが関係全体を表していた証拠と読むべきではない。

当時の報道はすぐに結果を到達性の問題として捉えた。一方のネットワークを通じて接続していた一部の利用者や企業は、他方に依存する宛先に到達できなかったと伝えられている。これらの報告は、ピアリング解除が実際に顧客に影響を与えたという結論を裏付ける。しかし、影響を受けたプレフィックスの完全なリスト、どちらかの事業者全体にわたる全面的な停止、両側への同等の影響、または到達不能になったインターネットの正確な割合を確立するものではない。

10月7日、Cogent は交渉を続ける前に相互接続を復旧するよう Level 3に公に求めた。この声明は Cogent の立場と提案された順序の証拠である。まず顧客の接続性を回復し、その後紛争に対処する。それはどちらかの当事者の秘密保持義務を独立に確立するものではなく、以前の取り決めが条件を満たしていたかを決定するものでもない。

Level 3は異なる公的説明を提示した。当時の報道に保存された声明は、終了した関係を適用条件を満たさなくなった試行ピアリングの取り決めと説明した。これは Level 3が述べた理由の証拠である。公開記録は完全な合意、それを評価するために使用された測定値、問題となった正確なトラフィック特性、終了に至った内部検討を提供していない。Cogent が特定の非公開条項に違反した、または Level 3の評価が誤っていたという認定を支持することはできない。

NANOG にアーカイブされた事業者間の議論は、経路と到達性に関する当時の疑問を記録している。このようなメッセージは、事象が展開する中でネットワークエンジニアが何を観測し、テストしていたかを示すため価値がある。それらはインターネットの管理された調査ではない。参加者は異なる観測点、商業関係、ルーティング情報へのアクセスを持っていた。あるネットワークからの報告は、他のすべてのネットワークが見たものを確立することなく、そのネットワークの経路を正確に記述できる。

10月28日、Cogent と Level 3は修正された無償ピアリング契約に達したと共同で発表した。リリースは、トラフィック特性と量に関する義務、それらの義務が満たされない場合の支払い、そして将来関係が失効した場合や違反が是正されない場合に顧客への害を減らすことを意図したプロセスを説明した。この発表は、両社が共同で発行したため、是正措置の構造に関する最も強力な共有公開証拠である。

それでもリリースは完全な契約ではなかった。すべての閾値、測定方法、是正期間、運用手順、決定権を公開しなかった。また、その存在はすべての顧客経路が同時に復旧したことや、将来の相互接続リスクがすべて消えたことを証明しない。両社が改訂された条件の下で関係を復旧し、顧客保護手順を解決策の一部として公に特定したことを示す。

その後の FCC の記録は、インターネット相互接続、バックボーン競争、顧客到達性のより広範な分析の中でこの出来事を論じた。これらの記録は、大規模ネットワーク間の紛争がピアリング契約の署名者ではない当事者に影響を与え得る理由を説明するのに役立つ。2005年の行為に関する法的判断に変換すべきではない。引用された資料は、どちらかの事業者が法律、規制、または契約に違反したことを確立していない。

BGP で何が変わったか

BGP は自律システムが到達性情報を交換することを可能にする。経路広告は到達可能なプレフィックスを特定し、受信ネットワークがポリシーを適用し経路を選択するのに役立つ属性を運ぶ。AS パスは広告が伝播してきた自律システムを記録し、他の属性とローカルに設定されたプリファレンスが、ネットワークがどの経路をインストールするかに影響を与える。

決定プロセスは分散化されている。Cogent はエクスポートポリシーの下で顧客および内部プレフィックスを Level 3に広告できた。Level 3はインポートポリシーの下でそれらの広告を受理、フィルタリング、または優先し、選択した経路を適切な顧客やピアに公開できた。逆のプロセスが Cogent に到達する Level 3の経路に適用された。どちらの会社も介在するすべてのネットワークを管理しておらず、第三者に代替経路をエクスポートするよう強制することもできなかった。

直接の外部 BGP 関係が終了すると、その関係を通じてのみ学習された経路は、取り消し、セッション喪失、またはポリシー削除の後に使用できなくなる。ルーターはその後、他の利用可能な経路を再検討する。別の事業者が許容可能な経路を広告すれば、トラフィックはその経路に移る可能性がある。代替手段が存在しない、フィルタリングされている、または商業的に利用できない場合、影響を受けたルーターはその宛先への使用可能な経路を持たない。

これが、同じピアリング解除が異なる顧客に異なる結果をもたらし得る理由である。あるネットワークは、両側の間の経路を運ぶ別の上流を持つかもしれない。別のネットワークは、直接セッションとともに消えた経路しか学習していないかもしれない。さらに別のネットワークは代替経路を見るが、ポリシー、プレフィックス長ルール、関係制約のために拒否するかもしれない。また別のネットワークは、容量や戻り経路が信頼できるアプリケーショントラフィックを支えない代替経路を選択するかもしれない。

直接経路の喪失は対称的な症状を生む必要もない。BGP の決定は各ネットワークで別々に行われ、データトラフィックには機能する往路と復路が必要である。パケットは宛先に到達しても、応答が使用可能な経路を戻らないかもしれない。異なるローカルプリファレンスが2方向を異なる自律システムに送り得る。したがって、一方向での経路観測の成功は完全な双方向サービスを証明しない。

公開記録は Cogent と Level 3の完全なローカルプリファレンス設定を公開していない。すべての経路フィルター、コミュニティ処理、プライベートピア、第三者トランジット契約を明らかにしていない。公開 AS パスはトラフィックがどのように移動したかを示唆できるが、経路選択を決定したすべての内部ポリシーを開示できない。

BGP コミュニティは証拠のもう1つの潜在的な層を追加する。事象に先行する RFC 1997は、ポリシー関連のタグを経路に付加する方法を定義している。ネットワークはコミュニティを使用して伝播動作を要求または通知できる。ただし、多くのコミュニティの意味と実装はネットワーク固有である。コミュニティが公開アップデートに現れても、その経路を支配する非公開契約を自動的に開示したり、すべてのルーターが意図したポリシーを適用したことを証明したりはしない。

したがって、この出来事を「経路がどこでも消えた」と単純化することはできない。AS174 と AS3356 は運用を続け、それらに関連するプレフィックスは多くの場所から見え続けたかもしれない。より狭い問題は、以前の関係を横断する経路が他のネットワークを通じて利用可能であり続けたかどうかであった。あるコレクターで見えるプレフィックスが、特定の顧客からは到達不能である可能性がある。逆に、あるコレクターで欠落している経路が、非公開または異なる選択経路を通じて他の場所では到達可能なままであるかもしれない。

経路の正当性が接続性を保証することもできない。正しく発信されたプレフィックスは、特定のネットワークに到達する許容可能な経路がないため到達不能になり得る。現代の起源検証メカニズムは起源が許可されているかを判断するのに役立つが、2つの自律システムにピアリングセッションを維持するよう強制したり、第三のネットワークにそれらの間のトラフィックを運ぶよう要求したりはできない。2005年の障害はアドレス所有権や起源の真正性ではなく、経路の可用性とポリシーに関するものだった。

一部のネットワークが分断を迂回できた理由

マルチホーミングはピアリング解除事象における最も明白なレジリエンスメカニズムである。複数の上流に接続された顧客は、複数のネットワークを通じてプレフィックスを広告し、複数の経路を通じて宛先を学習できる。1つの上流がインターネットの一部への到達性を失った場合、もう1つが使用可能な経路を維持できる。

この説明は技術的には正しいが、説明責任の答えとしては不完全である。マルチホーミングには2本目のアクセス契約への署名以上のものが必要である。顧客は、両方の上流が受理するアドレス空間、自律システム番号、互換性のあるルーティング機器、BGP を運用できるスタッフ、経路フィルター、監視、セキュリティ管理、代替接続上の十分な容量を必要とする場合がある。戻り経路も機能する経路に収束しなければならない。ステートフルファイアウォール、アドレス依存、または経路変更への敏感さを持つアプリケーションは、追加のエンジニアリングを必要とする場合がある。

商業ポリシーも重要である。代替事業者は関連する経路をエクスポートする意思と能力を持っていなければならない。顧客は、任意の2つの接続が上流ネットワーク間のあらゆる紛争をまたぐ経路を生み出すと想定できない。プレフィックス長フィルターは、より具体的な広告の伝播を妨げ得る。緊急管理トラフィック用にサイズ設定された代替回線は、通常の本番負荷を運べないかもしれない。名目上多様な接続が、物理設備や共通の上流依存関係を共有しているかもしれない。

これらの理由から、マルチホーミングの存在はすべてのマルチホーム顧客がサービスを維持したことを証明しない。それは効果をテストしなければならない可能なコントロールを確立する。同様に、マルチホーミングの不在はそれ自体で不注意を確立しない。小規模顧客は、予算、専門知識、アドレス資源、または交渉力が不足しているため、独立してルーティングされた接続を運用できないかもしれない。通常のインターネットアクセスとして販売されたサービスは、顧客が小型バックボーンを構築しなくても合理的に消費され得る。

シングルホームの顧客はより鋭い依存に直面した。唯一の上流が反対側の宛先への許容可能な経路を欠いていた場合、ピアリング解除後にバックボーン相互接続を再現することはできなかった。別の事業者から緊急サービスを求めることはできるが、プロビジョニング、ルーティング受理、機器、契約には時間がかかる。削除された相互接続を管理する当事者は、多くの依存顧客がそれを置き換えるよりもはるかに速く経路の可用性を変更できた。

第三者事業者も経路の一部であった。代替ネットワークが Cogent と Level 3の両方と関係を持っていても、そのエクスポートポリシーが両者の間の仲介者として機能することを許可しないかもしれない。ドメイン間ルーティングは一般に商業的役割を反映する。事業者はピア間の無料トランジットを提供することを断りながら、顧客経路を広く広告するかもしれない。公開 BGP パスはこれらの関係についての推論を支持できるが、CAIDA の文書は基礎となる商業的取り決めが一般に秘密であり、多くの場合推論されなければならないことを強調している。

これは、トポロジー図がレジリエンスを過大評価し得るため重要である。2つのネットワークがどちらも第三の自律システムに接続していても、それを介した使用可能な経路を得られないかもしれない。関連する問いは、地図上に線が存在するかではない。実際のポリシーの下で経路がエクスポートされ、受理され、選択され、結果のトラフィックを運ぶのに十分な転送容量があるかどうかである。

したがって、防御可能な継続性評価は、単純なマルチホームまたはシングルホームのラベルではなく、観測された依存によって顧客を分類する。検証された代替経路を持つプレフィックス、双方向到達性を持つサービス、容量が十分であり続けたか、各顧客コホートがどのくらいの期間障害を経験したかを問う。凍結された公開証拠は2005年10月の完全なマトリックスを提供しないため、影響の分布に関する主張は限定的でなければならない。

公開経路証拠からの事象の再構築

公開経路コレクターはインシデントへの重要だが部分的な窓を提供する。RouteViews は2005年10月の BGP アップデートをアーカイブし、調査者が参加ピアから受信したアナウンスと取り消しを検査できるようにした。RIPE RIS は分散コレクターの同等の役割を説明している。それらは、ピアリングすることを選択したネットワークから見えるルーティング情報を記録する。

Merit の BGP 検査ケーススタディは、Cogent と Level 3の事象を経路分析の演習として扱い、選択された RouteViews ピアから Cogent の38.0.0.0/8を含む到達性を調査する。これは有用で範囲を限定した調査である。1つの集約と選択された観測点のセットを、Cogent 顧客、Level 3顧客、または世界的に影響を受けた経路の完全な目録に変換するものではない。

厳密な再構築は、事象のアンカーを経路観測から分離することから始まる。会社の声明は直接関係が意図的に終了され、後に復旧したことを確立する。コレクターデータは、それらの変更の前、最中、後に特定の経路が参加ピアにどのように見えたかを示すことができる。当時の事業者メッセージ、traceroute、顧客報告は、観測されたコントロールプレーンの変更が転送またはアプリケーション障害に対応したかをテストできる。

タイムスタンプの整合が重要である。BGP アップデートストリームには、通常のルーティングの変化とインシデント関連の変化が含まれる。セッションは多くの理由でリセットされ、プレフィックスはピアリング紛争とは無関係に取り消され再広告され得る。調査者は10月5日付近のすべてのアップデートをピアリング解除に起因するとラベル付けすべきではない。より強い推論は、関連経路を含む繰り返しの変化、独立した観測点間での一貫したタイミング、運用観測による裏付けから得られる。

コレクターの多様性も同様に重要である。RouteViews ピアは、選択しコレクターにエクスポートすることを選んだ経路を供給する。そのピアが検討したすべての経路、ポリシーによって拒否されたすべての経路、ネットワーク内部のすべての転送テーブルエントリを公開しない。RIS コレクターにも同じ基本的な制約がある。コレクターを追加すると可視性は高まるが、有限のセットではすべての非公開相互接続とすべてのルーターの神の視点は得られない。

AS パス証拠も抑制を必要とする。可視のパスは、選択された広告にリストされた自律システムを特定する。内部のルーターホップ、ポート使用率、契約価格、その経路に沿って実際に転送されたすべてのトラフィックを明らかにしない。ローカルプリファレンスは通常自律システム間を伝播しないため、外部の観測者はなぜある経路が勝ったかを知らないかもしれない。プライベートピアリングは公開コレクターデータに存在しないままかもしれない。

取り消しも文脈なしでは同様に曖昧である。それは、経路がアナウンスしているピアにもはや利用できないこと、エクスポートポリシーが変更されたこと、またはセッションが失敗したことを意味し得る。それ自体では変更の背後にあるビジネス上の決定を特定しない。この場合、生のアップデートができない意図を会社の声明が供給する。相互接続は意図的に終了された。

traceroute は転送の手がかりを追加するが、全知ではない。ルーターは応答を抑制したり、見かけの経路と無関係なアドレスを使用したり、トラフィックを非対称に転送したりするかもしれない。停止する traceroute は必ずしも障害の正確な地点を特定しない。ある場所からの成功した traceroute はすべての場所からの到達性を確立しない。それでも、独立したネットワークからの反復トレースは、ローカルなアプリケーション問題とドメイン間経路のより広範な欠如を区別するのに役立つ。

顧客報告は別の層を供給する。分断をまたいでサイトに到達できない企業は、実際の害の証拠を提供する。ただし、報告だけではどの上流、経路ポリシー、戻り経路が障害を引き起こしたかを特定できないかもしれない。最も防御可能な説明は、苦情を送信元と宛先のプレフィックス、タイムスタンプ、BGP 観測、利用可能な場合は往路と復路の経路テストと整合させる。

結果として得られる証拠は信頼度で述べられるべきである。直接の会社発表は関係が終了または復旧したことを確立できる。コレクターは参加ピアが特定の経路を特定の時間に広告したことを確立できる。複数の独立した経路および転送観測はより広範な推論を支持できる。これらのどれも、それだけで完全な顧客リスト、非公開契約、正確な世界的影響を供給しない。

FCC 資料はパケットレベルの証明ではなく市場の文脈を追加する。バックボーン相互接続とネットワーク効果に関する議論は、顧客が自らの事業者の外の宛先へのアクセスを重視する理由を説明するのに役立つ。Cogent と Level 3の紛争への後の規制上の言及は、相互接続政策への関連性を示す。それらは経路証拠を置き換えず、個々の顧客損失に対する法的責任を決定しない。

これが経路漏洩やハイジャックではなかった理由

経路漏洩は一般に、関連する関係が意図した範囲を超えたルーティング情報の伝播を伴う。結果として生じる問題は、多くの場合、意図しない経路の存在または選択である。ハイジャックは一般に、トラフィックを迂回または傍受する不正な起源または他の虚偽のルーティング主張を伴う。どちらも到達性とセキュリティの障害を生み得るが、そのメカニズムは意図的なピアリング解除とは異なる。

Cogent と Level 3の事象は、直接経路交換の削除に関するものであった。公開声明は意図的な相互接続の決定を説明している。中心的な障害は、一部の経路がもはや利用できなくなったことであり、一方の事業者が他方のプレフィックスを虚偽に発信した、または伝播すべきでない経路のトランジットとして偶発的に自分自身を広告したことではない。

この違いが適切なコントロールを変える。プレフィックスフィルタリングと起源検証は、不正な広告の受理を減らすことができる。関係を認識したエクスポートポリシーは経路漏洩を減らすことができる。これらのメカニズムは、事業者に有効なピアリング関係を継続するよう強制しない。完全にフィルタリングされたルーターでも、意図的なセッション終了後には宛先への経路を持たないかもしれない。

生の BGP データは、それだけでは常にその区別を明らかにできない。コレクターは取り消し、代替経路、可視性の喪失を見るかもしれない。意図は、それらの観測が会社の公開説明と組み合わされたときにのみ明らかになる。この出来事を漏洩やハイジャックと呼ぶことは、証拠とコントロール面の両方を誤って述べることになる。

この区別はまた、歴史的比較を後知恵から保護する。後の経路漏洩分類法と関係役割メカニズムは、今日の事業者がルーティング意図を表現し確認するのに役立つ。それらは2005年の終了が偶発的なポリシー脱出であったことを証明せず、会社の商業的決定を支配する遡及的な義務を生み出さない。

商業的立場と運用上の説明責任

非公開のピアリング条件は契約紛争には重要だが、顧客継続性の問題を特定するのに必要ではない。両社は、試行関係が条件を満たし続けたかについて公に意見が異なった。完全な合意と基礎となる測定がなければ、外部の説明はどちらの商業的解釈が正しかったかを判断できない。

運用上の説明責任は異なる地点から始まる。事業者が相互接続の終了が一部の顧客にとって唯一の実行可能な経路を削除し得ることを知ったら、その決定は測定可能な継続性の結果を持つ。それらの結果は、事業者が終了する契約上の権利を欠いていたと宣言せずに調査できる。

この分離は2つの反対の誤りを避ける。1つ目は、顧客への影響があれば不正行為が証明されると想定することである。ネットワークは合意を執行し、インフラを保護し、関係を終了する能力を保持しなければならない。無期限の無償ピアリングを事実上義務付ける継続性基準は、正当な運用上および商業上の自律性を消し去る。

2つ目の誤りは、二国間契約紛争を二国間の影響しか持たないものとして扱うことである。顧客はピアリング関係の当事者ではなかったが、一部はそれを介して交換される経路に依存していた。どちらの事業者もその依存を特定せず、代替手段をテストせず、限定的な終了手順を確立していなければ、終了が契約上許可されていても、それらのコントロールの欠如は依然として重要である。

したがって説明責任は非難と同義ではない。それは、各決定を誰が管理したか、各当事者が合理的に何を観察できたか、どのような保護措置が存在したか、結果が検証されたかを問う証拠の規律である。法的責任には追加の事実と準拠法が必要である。ここでの公開記録は、契約違反、過失、悪意、独占的行為、または規制違反を確立しない。

トラフィック不均衡の主張は、帰属が不可欠である理由を示している。Level 3の公的説明は試行取り決めの条件に言及し、後の共同リリースはトラフィック特性、量の義務、条件付き支払いを説明した。これらの声明は、トラフィック関連の商業基準が公開紛争と是正措置の一部であったことを示す。正確な比率、閾値、測定期間、価格を開示しない。

経路コレクターはそのギャップを埋められない。AS パスは広告された到達性を示し、トラフィック量を示さない。インターフェースカウンターでさえ、場所、方向、集約、契約上の測定に関する文脈を必要とする。公開 BGP データから非公開のピアリング閾値を推論することは、ルーティングコントロールプレーンを商業会計と混同する。

適切な結論は限定的である。商業上の意見の相違が直接経路交換の意図的な削除につながり、一部の顧客が到達性を失ったと報告され、当事者は公に異なる説明を提示し、後に顧客保護手順を含む改訂条件の下で相互接続を復旧した。証拠は非公開の契約上の是非を決定しない。

障害のコントロールマップ

Level 3は直接ピアリング関係を終了する決定と、関連する BGP セッションの自社側を管理した。また、受理およびエクスポートする経路、内部エスカレーション、顧客とのコミュニケーション、使用した段階的または即時の終了手順も管理した。これらの領域は、終了が商業的に正当化されたかを解決せずに、運用上の説明責任を定義する。

Cogent は自社のセッション、経路広告、インポートおよびエクスポートポリシー、顧客コミュニケーション、レジリエンス提供を管理した。10月7日の声明はさらなる交渉の前に即時復旧を提案したが、公の主張は自社の責任を消し去らない。Cogent は、どの顧客が上流およびピア関係に依存しているか、どのような代替手段を供給できるか、販売した接続性にどのような制限が伴うかを理解する立場にあった。

両方の事業者が二国間復旧に対する管理を共有した。一方がセッションの復旧を申し出ることはできたが、機能する相互接続には両側の互換性のある行動が必要だった。アクティブなセッション、受理された経路、実行可能なポリシー、機能する転送である。共同発表は、関係が一方的なルーティング行動ではなく合意を通じて復旧したことを示す。

他の事業者は潜在的な代替経路を管理した。彼らのポリシーが、両側の間の経路を運ぶかどうか、どのような商業関係の下で運ぶかを決定した。また、容量、フィルタリング、自社ネットワーク内のインシデントコミュニケーションも管理した。トポロジーにおける彼らの存在は、許容可能な経路を提供することを保証しなかった。

顧客は多様な接続の購入、BGP の運用、サービスをネットワーク間に分散させるか、外部到達性を監視するかなど、いくつかのレジリエンス選択を管理した。その管理はコスト、技術的能力、アドレス資源、契約の可用性、プロビジョニング時間によって制約された。影響を受けたすべての顧客を即時のマルチホーミングが可能であるかのように扱うのは不正確である。

レジストリは自律システム番号とアドレス資源に関する記録を管理した。それらの記録は識別とルーティング管理を支えたが、AS174 と AS3356 の間の動作する経路を強制しなかった。正しいレジストリエントリは、事業者が誰がプレフィックスを発信したか、誰に連絡すべきかを知るのに役立つかもしれない。終了した BGP 関係を復旧することはできなかった。

経路コレクター事業者は本番経路ではなく測定インフラを管理した。彼らのアーカイブは後の分析を可能にするが、コレクターは事業者に経路を受理させることはできない。測定は説明責任の台帳である。参加ネットワークが公開したものの一部を記録する。運用上の継続性の代替ではない。

規制当局は市場構造を調査し、法律で付与された権限を行使できたが、ルーターを運用しなかった。FCC の記録は相互接続のインセンティブとネットワーク効果に関する文脈を提供する。規制当局が2005年の復旧を指示した、またはどちらかの会社に法的過失があると判断したことを確立しない。

このマップは、責任が1つの都合の良い主体に崩れ落ちるのを防ぐ。終了決定、商業紛争、代替経路の目録、顧客レジリエンス、復旧は異なる当事者によって管理された。効果的な説明責任は、1つの主体の役割が他のすべてを打ち消すと想定するのではなく、それらの区分を記録する。

是正設計としての10月28日の合意

10月28日の共同発表は、競合する公開声明を超えたため重要である。Cogent と Level 3は、修正された無償ピアリングの取り決めに達したと述べた。リリースは、トラフィック特性と量に関連する義務、義務が満たされない場合の支払い、関係が満了した場合や違反が未解決のままの場合に顧客の接続性を保護することを意図したプロセスを説明した。

これらの要素は、いくつかの異なる障害圧力に対処する。測定可能なトラフィック義務は、当事者間の商業基準の曖昧さを減らすことができる。条件付き支払いは、商業的不均衡にもかかわらず運用サービスが継続する場合に、即時終了に代わる選択肢を提供できる。定義された満了または未是正違反の手順は、顧客に通知し代替経路を手配する時間を作り出すことができる。

公開された説明は、これらのメカニズムが正確にどのように機能したかを示さない。閾値、計算式、期限、エスカレーションの責任者、コンプライアンスを確立するために必要な証拠を明らかにしない。条件付き支払いがすべての状況で利用可能であったことを証明しない。より強い説明は、公開されたことのない非公開条件を再構築することになる。

それでも顧客保護条項は重要である。その含意は、当事者が接続性への影響を相互接続契約が手続き的に対処できるものとして扱ったことを示す。それは、合意が中断のない世界的到達性を保証したと言うこととは異なる。手順はリスクを減らすことができるが、予見されない条件、不十分な容量、不完全な実装の下では依然として失敗し得る。

復旧には、条件への署名や BGP セッションを確立状態に戻すこと以上のものも必要である。経路は交換され、受理され、選択されなければならない。転送は両方向で機能しなければならない。中断中にアクティブになった代替経路は、新たな不安定性を生じさせずに戻るように収束する必要があるかもしれない。顧客エンドポイントは関連するネットワークから到達可能にならなければならない。

公開発表は復旧した取り決めを確立するが、顧客ごとの完全な復旧記録を提供しない。したがって限定的な説明は、両社が改訂条件の下で直接相互接続を復旧したと言うべきであり、影響を受けたすべてのアプリケーションが同時に回復した、またはすべての結果が1つの普遍的な時間に終了したとは言うべきでない。

遡及法ではなく比較としての後のガイダンス

RFC 4271は BGP-4 の経路交換と決定フレームワークを正式化する。2005年10月の紛争後に公開されたが、インターネット上で既に運用されていたプロトコルファミリーを文書化している。経路がどのように広告、取り消し、選択されるかを説明するのに役立つ。2つの自律システムに無償ピアリングを維持する商業的義務を課すものではない。

はるかに後に公開された RFC 7454は、BGP セッションの運用セキュリティ慣行をまとめている。フィルタリング、セッション保護、プレフィックス制限、ポリシー管理を論じている。これらの慣行は、事業者が相互接続の動作をより予測可能で観測可能にする方法を評価するのに有用である。どちらの会社が2005年に合理的に適用可能な基準を満たしたかを決定せず、意図的なセッションシャットダウン後の継続性を保証しない。

RFC 8212は、外部 BGP のより安全なデフォルトとして明示的なインポートおよびエクスポートポリシーを確立する。このアプローチは、ポリシーの欠落によって引き起こされる偶発的な伝播を減らす。Cogent と Level 3の事象は、空の設定が許可的な動作にデフォルトしたために経路が偶発的にエクスポートされた例ではなかった。明示的なポリシーは意図を文書化できるが、それでも経路を交換しないという意図的な決定を許可する。

RFC 7908は経路漏洩を分類する。その分類法は、意図しない伝播を正当な顧客、ピア、トランジット関係から区別するのに役立つ。2005年の事象は、証拠が意図的なピアリング解除に関するものであるため、その分類法の中心的な障害モードの外にある。用語を注意深く適用することで、欠落した経路が過剰または不正な経路と誤ってラベル付けされるのを防ぐ。

RFC 9234は後に BGP Roles と、隣接する自律システム間の関係意図を表現するメカニズムを導入した。役割のより良い表現は、互換性のない設定を特定し、経路伝播を制約するのに役立つ。すべての非公開の商業条件をエンコードできず、関係終了後に2つのネットワークが相互接続を維持することを強制しない。

RFC 1997は、BGP コミュニティが紛争前に既に標準化されていたため、歴史的に異なる。コミュニティはネットワークが経路処理の選好を通知するのに役立つ。その可用性は、AS174 または AS3356 が2005年10月にそれらをどのように使用したかを証明しない。コレクターで観測されたコミュニティ値を契約上の意図の完全な声明に変えることもない。

MANRS ガイダンスは後に、フィルタリング、調整、グローバル検証、アンチスプーフィングを含む事業者の行動を明確にした。NIST の後のドメイン間ルーティングガイダンスも同様に、レジリエントな設定、監視、インシデント対応を強調している。これらの資料は有用な現代的比較点を提供する。事業者は連絡先情報を維持し、経路変更を観測し、ポリシーを検証し、対応手順を準備できる。

どれも遡及法ではない。どれも欠落した2005年の契約、トラフィック測定、内部エスカレーション記録を供給しない。事業者の歴史的行為が後の推奨と異なるというだけで過失を証明しない。適切な使用法は将来に向けたものである。それらは、この出来事を現在のネットワークが測定できるコントロールに変換するのに役立つ。

現代の RPKI ベースの起源検証にも同じ注意が必要である。ネットワークが無効な起源アナウンスを拒否するのに役立つ。ピアが有効な経路を運ぶべきか、容量が存在するか、商業関係が継続しなければならないかを確立しない。経路は暗号的に許可された起源と一致していても、関連するネットワーク境界を横断する許容可能な経路がないために到達不能であり得る。

したがって、最も転用可能な後の教訓は、1つのセキュリティメカニズムが紛争を解決したであろうということではない。関係意図、経路ポリシー、監視、調整、継続性計画が接続されなければならないということである。ネットワークは、何を交換するつもりか、実際に何を交換しているか、どの顧客がその状態に依存しているか、管理された退出をどのように検証するかを知る必要がある。

測定可能な終了・復旧基準

有用な説明責任基準は、商業的結果について中立でなければならない。無期限のピアリングを要求したり、決済条件を指示したり、どちらかの参加者が無料トランジットを受ける権利があると推定したりすべきではない。事業者に、計画された終了の継続性の結果を観測可能で限定的にすることを要求すべきである。

最初の尺度は依存カバレッジである。重大な相互接続を終了する前に、各事業者は、直接関係が唯一の検証済み経路である顧客プレフィックス、宛先グループ、またはサービスクラスを特定すべきである。測定可能な結果は、インターネット全体を知っているという主張ではない。事業者の対象顧客目録のうち、依存が評価されタイムスタンプが付された割合である。

依存記録は直接観測と推論を区別すべきである。相互接続を通じて見える経路は、別の許容可能な経路が存在する場合、必ずしもそれに依存しない。トポロジーに示された代替経路は、事業者がそれがエクスポートされ、受理され、使用可能であるかをテストしたことがなければ検証されない。したがって記録は、各分類を支持する観測点、経路ポリシー、転送テストを述べるべきである。

2番目の尺度は代替経路の検証である。各依存グループについて、事業者は、少なくとも1つのテスト済み代替経路が存在するか、往路と復路が機能するか、経路が意図されたサービスに十分な運用容量を持つかを記録すべきである。関連する指標は検証済みカバレッジである。代替手段を必要とすると予想されるすべての単位で割った、テスト済みの到達可能な単位である。

この比率は範囲情報を伴わなければならない。事業者自身のルーターからのみ測定された高い結果は、外部到達性を確立しない。テストには、実質的に異なる経路を代表する独立したネットワークを含めるべきである。基準は普遍的な観測点の数を1つ規定する必要はない。事業者に、選択したセットがリスクにさらされている顧客と地域を代表する理由を宣言することを要求すべきである。

3番目の尺度はポリシーの準備である。事業者は、終了前、終了中、終了後に意図されたインポートおよびエクスポートポリシーを、責任者と有効化時刻とともに保存すべきである。この証拠により、計画された取り消しを偶発的な漏洩、設定エラー、無関係なセッション障害と区別できる。

ポリシーの準備には、可能な場合はシミュレーションまたは制御されたテストも含まれる。事業者は、関係を終了する前に、直接経路のプリファレンスを下げるか、選択した顧客プレフィックスを代替手段を通じてテストできる。このようなテストはすべてのアーキテクチャで可能ではなく、それ自体がリスクを生み得る。説明責任のある要件は、それが実行されたか、何をカバーしたか、テストされていない依存がなぜ受け入れられたかを文書化することである。

4番目の尺度は容量の準備である。代替 BGP 経路は、通常のリダイレクトされたトラフィックの下で崩壊する場合、継続性コントロールではない。事業者は、関連する代替手段のテスト済み容量、含まれるトラフィッククラス、テストの時刻を記録すべきである。これは非公開の量を公開することを要求しない。相互接続を迂回するルーティングが理論的可能性以上のものであることを確立するのに十分な内部証拠を要求する。

5番目の尺度は通知とエスカレーションである。終了計画は、決定の責任者、ネットワーク運用の責任者、顧客コミュニケーションの責任者、相手方の連絡先を特定すべきである。各人がいつ通知され、特定された依存グループの顧客がいつ実行可能な情報を受け取ったかを記録すべきである。

実行可能な通知は、単に商業紛争を説明するのではなく、運用上のリスクを説明しなければならない。顧客は、どのサービスが到達性を失う可能性があるか、どのような代替接続が利用可能か、どのようなテストを実行すべきか、障害をどこに報告すべきかを知る必要がある。指標はカバレッジと経過時間である。特定された依存顧客の何人が通知を受け、ルーティング変更の前後どれだけの時間で通知が行われたか。

基準は緊急時の例外を認めるべきである。セキュリティインシデント、制御不能な障害、即時の契約リスクは事前通知を不可能にするかもしれない。例外は証拠を消し去るべきではない。即時行動の理由、それを許可した人、検討された保護措置、顧客と相手方に通知された最も早い時刻を記録すべきである。

6番目の尺度は事象の観測可能性である。終了時に、両方の事業者はセッション状態、経路数、関連するアナウンスと取り消し、受理された経路の変更、転送テストの結果を保存すべきである。単一の「セッションダウン」エントリは不十分である。顧客への影響は、それとともに消える経路とパスに依存するからである。

観測可能性は、1つのグローバルな割合ではなく到達性マトリックスを生み出すべきである。行はテストされた送信元ネットワークまたは顧客コホートを表し、列は関連する宛先プレフィックスまたはサービスを表す。各セルは、到達可能、到達不能、劣化、未検証をタイムスタンプと観測点とともに記録できる。これにより、測定されていない空間を想定された成功に変換するのではなく、不確実性が明らかになる。

7番目の尺度は検出性能である。事業者は、ルーティング変更後に監視が到達性の喪失を特定するのにかかった時間を知るべきである。時計は BGP セッションが状態を変えたときに止まるべきではない。システムが行動のための十分な特異性を持って顧客向けの結果を特定したときに止まるべきである。

検出はコントロールプレーンとデータプレーンの信号を分離すべきである。経路の取り消しは害を予測するかもしれないが、アクティブプローブはパケットが代替経路を通って依然として移動するかを確立する。アプリケーションチェックは、ルーティングが収束した後にサービスが機能するかを示すことができる。これらの尺度を分離しておくことで、経路テーブルエントリが完了した顧客サービスと誤認されるのを防ぐ。

8番目の尺度はインシデントコミュニケーションである。中断中、ステータス声明は検証された事実と仮説、帰属された商業的立場を区別すべきである。事業者は、何が変わったか、どの範囲を測定したか、何が未知のままか、次のアップデートをいつ提供するかを報告すべきである。「インターネットは利用可能なままです」のような声明は、顧客グループ間の既知の分断を隠す場合、不十分である。

9番目の尺度は限定的な復旧である。復旧は当事者が是正措置を取ったときに始まるが、セッションが確立状態に戻ったというだけでは完了しない。事業者は、期待されるプレフィックスが交換されていること、ポリシーがそれらを受理していること、選択された経路が安定していること、代表的な外部ネットワークから転送が成功していることを検証すべきである。

復旧記録は、セッション確立、経路受理、最初の成功したデータプレーンテスト、各顧客コホートの回復、未解決の苦情のクローズについて別々のタイムスタンプを保存すべきである。これらのタイムスタンプは、最初の BGP キープアライブのような技術的に都合の良い事象が顧客の害の普遍的な終わりとして提示されるのを防ぐ。

10番目の尺度は経路状態の調整である。中断中に使用された経路は、直接ピアリングが戻った後も優先され続けるかもしれないし、ポリシーが再収束する間にトラフィックが振動するかもしれない。事業者は、意図された復旧後の状態を観測された経路と比較し、重要な相違を調査すべきである。目標はすべての経路を以前の経路に強制的に戻すことではない。結果としての状態が理解され使用可能であることを確実にすることである。

11番目の尺度は未検証のエクスポージャーである。すべての終了記録は、対象プレフィックス、顧客グループ、外部地域のうちテストされなかった数を述べるべきである。未知のカバレッジは説明責任の事実であり、空のフィールドではない。それを報告することで、限られた成功したサンプルが普遍的回復の根拠のない主張になるのを防ぐ。

12番目の尺度は証拠の保持である。経路観測、設定変更、通知、インシデントメッセージ、復旧テストは、一貫したタイムラインの下で保持されるべきである。公開コレクターは貴重な独立した参照であり続けるが、事業者自身の証拠は、ローカルプリファレンス、拒否された経路、内部トポロジー、顧客関連付けを見ることができるため、より完全であるべきである。

これらの尺度は継続性チェーンとして要約できる。

誰が相互接続に依存しているかを特定する。
どの代替経路が実際に機能するかを検証する。
ポリシー、容量、決定の責任者を記録する。
宣言された手順の下で相手方と影響を受ける顧客に通知する。
変更中に経路状態とパケット配信の両方を観測する。
限定的なコホートと独立した観測点によって害を測定する。
セッション、受理された経路、転送を復旧する。
結果としての状態を調整し、未解決の不確実性を保存する。

2005年のどちらの事業者にもこの完全なチェーンが存在したことを示す公開証拠はない。この基準は、両社が必然的に違反した歴史的義務として提示すべきではない。この出来事で実証された障害圧力を測定可能な現在の慣行に変換する方法である。

また、不可能な保証を課すことも避ける。どの事業者も、あらゆる瞬間にすべてのネットワークからすべてのエンドポイントへの到達性を証明できない。事業者が証明できるのは、評価した範囲、テストした代替手段、保持した観測、警告した顧客、復旧を宣言した条件である。

公開記録が依然として確立できないもの

完全なピアリング契約は依然として入手できない。公開声明はすべてのトラフィック比率、測定ウィンドウ、ポート容量、価格、是正期間、終了権を明らかにしていない。これらの事実がなければ、外部の説明はどちらの会社が非公開の義務を満たしたか違反したかを判断できない。

完全なルーティング状態も未知である。RouteViews、RIPE RIS、Merit は貴重な観測を提供するが、すべてのプライベートピア、ローカルプリファレンス、拒否された経路、転送決定を公開しない。生き残った公開データは、影響を受けたすべてのプレフィックスや顧客を特定できない。

顧客の害は凍結された記録から正確に定量化できない。当時の報道は、一部の企業と利用者が到達性障害を経験したという結論を支持する。総損失収入、各顧客の継続時間、すべてのサービスにわたるアプリケーションレベルの結果、両ネットワークへの同等の影響を確立しない。

内部の決定責任者は公開されていない。Level 3は終了行動を管理したが、入手可能な資料はすべての経営者または運用承認者、エスカレーション順序、変更前に実行された内部テストを特定しない。Cogent の内部対応プロセスとレジリエンス評価も同様に不完全である。

改訂された合意は是正設計の証拠であり、実装の完全な証明ではない。その公開説明はトラフィック義務、条件付き支払い、顧客保護プロセスを示す。各コントロールがその後どのようにテストされたか、または将来のすべての障害シナリオに対処したかを示さない。

法的な帰属はここでは未解決である。後の FCC の議論は規制上の文脈を提供するが、引用された記録はこの事象における違法性、契約違反、過失、悪意の認定を確立しない。運用上の管理と測定可能な説明責任は、法的結論に変換せずに分析できる。

継続性は機能する経路によって証明される

2005年の Cogent と Level 3のピアリング解除は、大規模ネットワークの地位が普遍的な到達性を保証するという前提を剥ぎ取ったため、依然として示唆に富む。AS174 と AS3356 はそれぞれ、登録された資源、顧客、他への接続を持つ識別可能なネットワークであり続けた。しかし、以前の関係を横断する一部の経路は機能しなくなり、一部の顧客は分断を迂回できなかったと報告されている。

この出来事の中心的な事実は、単に2つの会社が意見を異にしたことではなかった。二国間の商業的決定がドメイン間経路の可用性を変えたことである。BGP の取り消し、代替伝播、インポートおよびエクスポートポリシー、マルチホーミング、復旧が実際の結果を決定した。

公開証拠は慎重な結論を支持する。Level 3は10月5日に意図的に直接ピアリングを終了した。Cogent はさらなる交渉の前に復旧を公に求めた。Level 3は試行取り決めが条件を満たさなくなったと述べた。一部の顧客の到達性は中断されたが、完全な範囲は不明である。10月28日、両社は将来の満了や未解決の違反の際に顧客を保護することを意図したプロセスを含む改訂条件の下で、無償ピアリングの復旧を発表した。

この結論のどこにも、非公開の契約上の是非を決定する必要はない。義務的ピアリングを要求する必要もない。自律的な管理が依存顧客を孤立させ得る場合に、その行使が証拠上の義務を伴うことを認識する必要がある。

レジストリは誰がアドレスブロックを保持するかを記録できる。契約は商業的義務を記録できる。ステータス声明は当事者の立場を記録できる。完全なインターネット到達性は別の場所で証明される。実際に広告され、受理され、選択され、転送される経路において、直接関係が終了したときの観測可能な代替手段とともに。

これが永続的な説明責任のテストである。重大な相互接続を終了する前に、どの顧客がそれに依存しているかを知る。変更中は、インターネットの残りがそれを迂回すると想定するのではなく、何が消えるかを測定する。復旧後は、契約署名や BGP セッション状態で止まるのではなく、顧客の経路を検証する。記録は動作中の経路に対応する場合にのみ有用である。

2005年の Cogent・Level 3ピアリング解除は、完全なインターネット到達性をトランジット説明責任の試金石にした

要約