MANRS案は全経路にROAを要求、レガシー資源が実装の壁に

要約

Andrei RobachevskyがRIPE 93で説明した作業部会案では、ROVをMUSTとし、MANRS参加者が広告する各プレフィックスに有効なROAを求めている。
ARINとの契約がないレガシー資源の保有者はARINのRPKIを使えない。顧客が借りたプレフィックスのROAを作成していない場合も、運用者だけでは証明を用意できない。

分析

BGPの経路広告を出すのは運用者だ。だが、その経路を証明するROAは、資源の登録を管理する側しか作れないことがある。MANRSが掲げる「RPKI 100%」の試金石は、この権限の食い違いだ。

10月27日のRIPE 93で、RobachevskyはMANRSネットワーク運用者プログラムのレビュー作業部会について説明した。2014年の開始以来、Actionsは大きく改定されていない。作業部会は要求事項と実装・監査ガイダンスを分け、IETFで使われるMUST、MUST NOTなどの語で曖昧さを減らそうとしていた。彼が示した案では、ROVはMUST、IRR登録はSHOULD。ルーティング情報に関するActionでは、参加者が広告するすべてのプレフィックスに有効なROAを用意する、100%のRPKIカバレッジが議論されていた。

その時点では、改定案はまだルールではない。Robachevskyによると、まず作業部会内で最終確認を行い、その後にコミュニティ全体へ意見を求める予定だった。現参加者だけでなく、より広いネットワーク運用者の合意を得るためだ。RIPEの公式記録には、提案と未解決の論点が残っている。

3月に公表されたMANRS調査の回答は38件で、主にネットワーク運用者から寄せられた。要件の明確化と監査のしやすさが優先事項に挙がり、回答者の半数がネットワーク運用者プログラムを最優先のレビュー対象に選んだ。招待数は公表されていないため、回答率は算出できない。

RPKIを使えるかどうかは、技術だけで決まらない。ARINの案内では、ARINとの契約を結んでいないレガシー資源保有者は、同機関のRPKIとIRRを利用できない。契約を結べば利用できる。また、ROAの対象にできるのは保有者のリソース証明書に含まれる資源だ。別の組織が持つプレフィックスを広告する運用者が、自分の証明書からそのROAを発行することはできない。

Robachevskyが挙げたのは、ARINでRPKIを利用できない一部のレガシー保有者と、顧客が借りたプレフィックスだった。顧客がROAを作らなければ、BGPでその経路を扱う運用者は広告を出しても証明を持てない。登録操作を握る顧客と、MANRSの適合性を問われる運用者が別人になる。

IRRは廃止対象ではない。案ではIRRをSHOULD、ROVをMUSTとしていた。まだIRRを使う運用者がいて、どのIRRやオブジェクトを認めるかは作業部会でも検討中だった。IRRをRPKIと同じものとして扱えば提案の区別が消える。逆にIRRを無視すれば、フィルター作成や経路情報の公開に使われている現場の仕組みを取り落とす。

Robachevskyによれば、MANRSは2014年の9運用者から、講演時には約1,400参加者へ広がっていた。少数の高得点ネットワークだけを集めるより、多くのネットワークが最低限の基準を採用するほうに価値がある。難しいプレフィックスを抱える運用者が抜ければ、適合率の数字は上がっても、対象網の広がりは縮む。

だから「100%」の前に、対象となる公告、ROAの作成責任、資源保有者が登録を管理するケース、既存参加者の移行期間を明示する必要がある。答えのないまま数値だけを掲げても、欠けた証明書は生まれず、責任だけが移る。