要約

  • APNICはAPNIC 62で、ホスト型ASPA画面がRIPE RISを基に上流候補を提案すると説明した。候補は確率的で、人による確認が必要であり、不足より過剰になりやすい。
  • 同じ画面は、提出する変更が観測済みBGP経路にどう影響するかも調べる。これは現在を守る検査であり、将来の全経路を試す訓練ではない。
  • 現行IETF草案は、RPKI配布と経路伝播の競争を避けるため、待機・非常用上流を事前にASPAへ含めるよう勧める。だが休止中の上流には、観測器が試せる稼働経路がない。
  • APNICは、観測提案、運用者の申告、除外候補、現用経路検査、未実施の切替シナリオを分けた来歴・シナリオ証跡を残すべきだ。

見えている隣接から始める利点

ASPAは、Customer ASがどのASNを上流として認めるかを署名付きで公開するRPKIオブジェクトである。リスト自体は短くても、誤って一つ消したときの影響は短くない。暗号署名は発行主体と内容を守るが、候補選びの完全性までは保証しない。

APNICの実装は、その入力段階を支援する。APNIC 62の「APNIC RPKI Updates」によれば、ホスト型画面はRIPEstatのasn-neighboursを使い、RIPE Routing Information Serviceで見えた隣接から候補を示す。APNICはこの候補を断定とは呼ばない。確率的で、必ず確認が必要で、不足よりも余分な候補を含みやすいと明記した。

さらに、編集内容が観測済みBGP経路へ与える影響を提出前に検査する。現在使っている上流を誤って外せば、現用経路と新しいASPAが食い違う可能性がある。候補が実はピアや顧客なら、署名前に人が除外できる。観測と権限を隣に置きながら同一視しない、実務的な設計である。

ただし、この検査の射程は現在に限られる。攻撃時だけ使うDDoS緩和事業者、分断区間をつなぐ非常用トランジット、普段は停止しているバックアップ回線は、平常時のAS_PATHに現れないことがある。見えないのは故障ではなく、待機という設計どおりの状態だ。

RISが示すのは隣接であり、役割ではない

RIPEstatの資料はデータの意味を限定している。ASN Neighboursは、RISで観測された隣接ASNを返す。左右の位置、出現したパス数、観測したフルテーブル・ピア数、照会時刻または有効時間帯も取得できる。RISコレクターへの直接接続が隣接を作った可能性がある場合はuncertainと示せる。

この情報は提案の評価に役立つが、契約を分類する台帳ではない。隣接ASNは上流、顧客、横方向のピア、非透過型ルートサーバー、あるいはアドレスファミリーやプレフィックスで役割が変わる複雑な相手かもしれない。RISが観測するのはコレクターから見える経路であり、まだ発動していない契約ではない。

過剰寄りの提案は、ここでは安全側の選択になり得る。現用上流の見落としより、余分な相手を人が削る方がよい。ただし「過剰になりやすい」は統計的な性質であって、すべての正しい上流が含まれるという約束ではない。未来の意図は、どれほど広い現在観測にも自動では現れない。

画面が扱うべき来歴は二つある。「この時間帯のRISで隣接が見えた」という測定と、「現在または非常時に上流として許可する」というASN保有者の判断だ。由来を消して一つのチェック欄にすると、どちらの証拠も弱くなる。

草案は経路が出る前の登録を求める

凍結したIETF文書では、この問題は時間順序として現れる。ASPA Profileの第29版は、Customer ASごとに全上流を含む単一オブジェクトを維持する考えを示す。該当する非透過型ルートサーバーも含まれる。更新競争を避けるために、集合を一つに保つ。

AS_PATH Verification第28版は、待機系を明示する。たとえば一時的なDDoS緩和事業者や、孤立した区間を接続する非常用上流である。経路が広がってから署名オブジェクトを配り始める競争を避けるため、あらかじめASPAへ追加することを勧めている。

ここで現在経路検査の空白が生まれる。切替前には非常用経路がない。切替後では配布開始が遅いかもしれない。権限と運用計画は存在するが、本番観測がまだ存在しない時間に判断しなければならない。

これは「ASPAの記載だけで現用トランジットを証明できない」という既存の注意の裏側である。記載は観測ではない。同様に、観測がないことは不要な権限の証明ではない。

APNICがこの限界を隠したと読むべきではない。資料は提案の確認を求め、提案・検査機能への意見も募集している。公開スライドから非公開の保存項目を断定することもできない。IETF文書も改訂され得るInternet-Draftで、最終RFCではない。確認できるのは、説明された検査が観測経路を対象とし、草案が未観測であり得る権限を事前登録の対象にしているという差である。

「現時点で矛盾なし」は切替試験ではない

Customer ASが通常AとBを使い、緊急時だけCを使うとする。RISにはAとBが見え、別の隣接Dも候補に入った。運用者はDを外し、Cを手入力する。

画面は、Aを外すと現用経路が影響を受けること、BがIPv6でしか見えないこと、Dが不確実な観測から来たことを示せる。最終集合と照合し、検査した現行パスには矛盾がなかったとも言える。

一方、Cが正しいプレフィックスを広告するか、想定したAS_PATHを保つか、緊急時の容量を持つか、新しいASPAが各検証者へ届いてから起動するかは分からない。研究室での再現にも本番災害との違いは残る。

したがって「観測集合に現在の矛盾なし」は十分に有用な結果である。「フェイルオーバー検証済み」は別の主張だ。緑色の表示だけがチケットへ移ると、構文確認、現用パス互換性、非常時訓練という三つの意味が混ざってしまう。

存在しない経路のための証跡

必要なのは契約や防御手順の公開ではない。MyAPNICや会員側の変更記録に置く、小さな非公開証跡で足りる。

各候補には由来を付ける。RIS提案、手動の現用上流、待機上流、非常用上流、非透過型ルートサーバーのいずれかである。提案には照会時刻、API版または応答ダイジェスト、位置、不確実性、パス数、ピア数を結び付ける。除外時は、顧客、ピア、透過型ルートサーバー、観測由来のノイズ、要調査といった限定理由だけでよい。

未稼働の上流には、発動条件の種類、IPv4・IPv6の対象、担当役割、最終机上演習またはラボ確認、次回見直し日を持たせる。契約価格、認証情報、保護すべきトポロジーは不要だ。

現用経路検査には、観測時間帯、調べたパス集合のダイジェスト、提案集合、結果を残す。そして、許可済みだが観測されず、今回の検査で演習されなかったASNを明記する。この欄が「矛盾を見つけなかった」と「全シナリオが通った」の混同を止める。

最後に確認時刻、最終集合、ASPAオブジェクト識別子、リポジトリ公開時刻、独立した検証側で最初に見えた時刻を接続する。緊急事象が先に来たなら、時計を後から合わせず、その順序を残す。

APNIC 62時点の資料は、APNIC配下で293個のASPA、うちホスト型CAで257個、委任型CAで36個と報告した。これは作成数のスナップショットであり、検証ネットワーク数、集合の完全性、待機系の演習数ではない。DASHの新しいASPA状態面は、「公開済み」「観測あり」「シナリオ確認済み」「見直し期限」を分ける場所になり得る。

最後の判断は受信ネットワークに残す

IETF草案はASNの順序対に対する認可結果を使い、AS_PATHを評価する。有効ASPAに上流があれば肯定、なければ否定、有効なオブジェクトがなければ証明なしとなる。InvalidとUnknownの扱いも勧告するが、緩和方針の設定主体はネットワーク運用者である。

役割の鎖は短縮できない。RIPE RISは観測する。APNICは提案し、警告し、会員のオブジェクトを公開する。ASN保有者は許可する。検証者は計算する。受信ネットワークは経路を選ぶ。

待機上流は、トラフィックより先に権限の価値が生まれる例だ。APNICの現用経路検査は通常時を安全にする。そこへシナリオ証跡を加えれば、例外についても「許可済み、未観測、計画確認済み、必要になる前に公開確認済み」と、過不足なく言える。

情報源