要約

  • ARINは/rest/net/NETHANDLE/routesについて、直接NETのrouteオブジェクトを返し、サブネットは含めないと明記している。
  • reassignments=trueは下位の再割り当てNETまで登録上の範囲を広げるが、どちらもライブBGP観測でもRPKI判定でもない。

空の親レコード

誤読は、整った空欄から始まる。運用者がNET handleを指定してrouteオブジェクトを取得し、空のcollectionを受け取る。ダッシュボードでは、それが「経路なし」「origin ASなし」、さらには「ネットワークなし」という表示へ変わりやすい。

しかし、問い合わせはアドレス階層全体を検索していない。ARINのRESTガイドによれば、/rest/net/NETHANDLE/routesが返すのは、直接NETに対してprefixとoriginの組で識別されるrouteオブジェクトである。サブネットは対象外だ。これは一つの登録箱を開ける操作であり、その下にある全登録を再帰的に調べる操作ではない。

直接割り当ての保有者が顧客向けに再割り当てを登録するのは通常の構造である。子登録は固有のhandleを持ち、別の組織やIRRオブジェクトに結び付くことがある。親の一覧が空であることと、検索外の子階層に情報が存在することは矛盾しない。

検索対象を変える一つの指定

下位登録を含めるには、ARINは/rest/net/NETHANDLE/routes?reassignments=trueを用意している。この指定はオブジェクトの真偽を強めるものではない。回答に入り得る登録範囲を変える。

両方のcollectionには、IRRシステム内でvisibleかつauthorizedであることという条件がある。このvisibleは、世界中のBGPから観測できるという意味ではない。あらゆる接続元から到達できることや、トラフィックが流れていることも示さない。authorizedも、法的所有、設備の支配、あるいは暗号学的な起源検証と同義ではない。

返却項目はentry種別、組織handle、origin AS、prefixである。collector、AS path、観測時刻、伝播範囲、トラフィック、RPKI状態は含まれない。これは欠落ではなく、APIが答える問いの範囲である。

登録階層と経路階層を分ける

RDAPのIP networkオブジェクトは独自handleを持ち、parentHandleで親登録を示せる。したがって、直接割り当てと下位の再割り当ては、アドレス空間が包含関係にあっても別々の登録である。ARINの二つの問い合わせは、この行政的な区切りに従う。

RPSLは別の構造を持つ。RFC 2622では、routeオブジェクトのキーはprefixとorigin ASの組である。この宣言はフィルター生成に利用できるが、パケットを運ばず、ルーターを設定せず、現在の広告を証明しない。

ROAはさらに別の証拠だ。ARINとRFC 9582は、特定ASがprefixを起源としてよいことを示す暗号署名オブジェクトとしてROAを定義する。有効なROAは起源認可の判断を強めるが、現在その経路が広告されている証明にはならない。IRR一覧もライブBGPフィードにはならない。

問い合わせ条件を結論から落とさない

検証可能な調査は、NET handle、エンドポイント、パラメーター、取得時刻を保存する。直接一覧は直接登録に付く対象オブジェクトを答える。再割り当て付き一覧は登録階層を広げる。WhoisやRDAPは親子関係を示し、RPKIは暗号学的認可を示す。時刻を持つルーティングコレクターは、特定観測点で実際に見えた経路を示す。

直接一覧が空なら、まず問うべきは下位階層を検索したかどうかだ。拡張一覧にオブジェクトがあっても、直ちに支配者を断定してはいけない。どの登録とprefix–originの組がIRRに入ったのか、現在の利用をどの独立証拠が裏付けるのかを確認する必要がある。

出典