Cloudflare、2019年6月の経路漏洩とネットワーク境界を超えた説明責任

概要

• 2019年6月24日、DQE Communications のネットワーク内で生成された最適化されたより具体的な経路が、顧客 AS396531 を通じて Verizon の AS701 に受け入れられた。Verizon はその後、数千のネットワークをカバーする経路を伝播した。ルーターはより具体的な宛先プレフィックスを優先するため、かなりのトラフィックが漏洩経路に流れ込み、それに対応するサイズになっていないリンクに流入した。Cloudflare はインシデント最悪時点でグローバルトラフィックの約15%を失ったと報告した。
• 公開経路記録は、単一原因のスローガンではなく、一連の制御機能不全の連鎖を支持している。経路生成装置は最適化経路をローカルに留めず、マルチホーム顧客がプロバイダから学習した経路を別のプロバイダにエクスポートし、主要トランジットネットワークが顧客の想定経路権限に適合しない経路を受け入れ拡散した。Cloudflare は経路を検知し、伝達し、撤回に貢献できたが、他ネットワークのインポートポリシーを一方的に変更することはできなかった。
• RPKI 経路起点検証は、Cloudflare の経路起点認可がその集約プレフィックスを指定された最大長にのみ許可していたため、このイベントの Cloudflare 部分に異常に適合していた。漏洩したより具体的な経路はその長さを超えており、従って無効であった。これは RPKI が完全な経路漏洩ソリューションであることを意味しない。起点有効な経路も商用的関係を侵害し得るからであり、顧客フィルタリング、プレフィックス制限、BGP ロール、経路制御、監視、連絡可能な運用担当者が必要である。
• 説明責任は制御能力に従う。例外的な経路を生成またはエクスポートする事業者はそれらを封じ込めテストしなければならない。プロバイダは顧客がアナウンスできるものを検証しなければならない。クラウドプラットフォームは経路権限を公開し、外部経路を観測し、迅速に調整し、顧客影響を開示しなければならない。顧客は依存障害に備えなければならない。取締役会と規制当局は、業界のベストプラクティスに従っているという一般的声明ではなく、測定された経路セキュリティ保証を要求すべきである。

サーバーダウンではなく経路障害

2019年6月24日10:34:25 UTC に、公開 BGP コレクターが Cloudflare アドレス空間に対する異常な、より具体的な経路を記録し始めた。調査対象の Cloudflare 経路の最後は12:38:54 UTC に消えた。Cloudflare のアーカイブされた経路詳細分析は、RIPE NCC データからその間隔を再構成し、驚くほど一貫した経路を示している。Cloudflare の AS13335、そのトランジットプロバイダの一つである DQE Communications の AS33154、Allegheny Technologies の AS396531、そして Verizon の AS701 である。その後他のネットワークが Verizon を通じてその経路を学習した。

この経路が重要なのは、障害が Cloudflare のデータセンターの障害やアプリケーションのデプロイから始まったわけではないからだ。Cloudflare のマシンは通常の集約経路をアナウンスし続けた。グローバルルーティングシステムは、同じアドレス空間の小さな断片に対して競合する経路を学習しただけである。それらの小さな断片が多くのネットワークでの転送決定で勝ち、パケットを意図しない経路へと導いた。パケットが Cloudflare のエッジに到達する前に輻輳とパケット損失が発生した。

Cloudflare の同時期のインシデント説明では、最悪時点でグローバルトラフィックの約15%が失われたと報告されている。これは企業の測定値であり、独立した監査済みの普遍的な停止割合ではない。Cloudflare トラフィックを指し、インターネット全体の15%ではない。しかし独立した観測は広範なメカニズムとサービス横断的な影響を支持している。ThousandEyes はそのネットワーク経路分析で、ユーザーが Cloudflare フロントのサービスや一部の AWS サービスに約2時間にわたって到達困難だったと報告し、Catchpoint のインシデントレビューは UTC 10:30頃に特定のオンラインサービス全体でパフォーマンス問題を記録した。

経路可用性とサーバー可用性の区別は説明責任にとって重要である。プラットフォームは多くの国で健全なサーバーを運用していても、ルーティング制御プレーンがトラフィックを別の場所に向ければ到達不能になる可能性がある。顧客は一つの結果を経験する：タイムアウト、エラー、利用不能なアプリケーション。しかし工学的な原因が、どの制御が損失を防止できたか、どの当事者がそれを操作できたかを決定する。

Cloudflare の当該イベントに関するステータス記録は、まずネットワークパフォーマンス問題を記述し、その後可能性のある経路漏洩を特定し、後に責任ネットワークが修正したと述べている。ステータス更新の公開コピーは、調査通知を11:02 UTC、特定を11:36 UTC、修正後の監視を12:42 UTC としている。BGP アーカイブは最初のステータス通知より前に異常な経路を示している。その差は Cloudflare が既知のイベントを28分間無視した証拠ではない。これは有用な説明責任の問いである：自動システムはいつ異常トラフィックを検出したか、エンジニアはいつ原因を外部ルーティングと特定したか、そして同社はいつ顧客に通知する確信を持てたか。

このイベントにおいて、悪意ある意図、トラフィック検査、Cloudflare システムの侵害を示す公開証拠はない。経路漏洩は傍受の機会を生み出し得るが、ここで観測されたサービス被害は意図しない経路を通じた輻輳と損失であった。従って本記事はインシデントを可用性とルーティング完全性の障害として扱う。経路漏洩の潜在的なセキュリティ特性を、トラフィックが読まれたという主張に変換するものではない。

ローカルな最適化がグローバル経路に変わった仕組み

インターネットは、中央制御されたネットワークではなく、自律システム間の合意である。各自律システムは Border Gateway Protocol（BGP）を使用して、どの IP プレフィックスに到達可能か、どの AS 経路を通じてかを隣接システムに伝える。RFC 4271のコアプロトコルは、オペレーターにかなりのポリシー自由度を与える。その柔軟性は商用ピアリング、有料トランジット、マルチホーミング、トラフィックエンジニアリング、ローカルプリファレンスをサポートする。また、隣接から受け取った経路には、経路内のすべての AS がそのアナウンスをそこまで伝播させることを意図していたという普遍的な証明が付随しないことも意味する。

インシデント前、DQE は Noction の BGP 最適化製品を使用していた。そのような製品は経路パフォーマンスを測定し、特定のトラフィックを運ぶリンクを選択するために、より具体的な経路を注入することができる。Cloudflare が公開した例では、通常の104.20.0.0/20アナウンスが104.20.0.0/21と104.20.8.0/21に分割された。2つの/21は/20と同じアドレス範囲をカバーするが、それぞれがより小さな宛先ブロックを指定する。

制御されたネットワーク内部では、より具体的な経路は正当なトラフィックエンジニアリング手段となり得る。危険は範囲である。経路は DQE の内部決定に影響を与えることを意図していた。DQE はそれらを AS396531 にアナウンスした。AS396531 は DQE と Verizon の両方に接続されており、学習した経路を Verizon に向けてエクスポートした。Verizon はそれを顧客から受け入れ、さらに伝播させた。ローカルな命令がグローバルな主張となった。

Noction 自身の6月26日のインシデント対応は、自社プラットフォームがより具体的な経路を生成したことを認め、3つの複合条件を説明した：顧客ネットワーク内での生成、下流 ASN から主要プロバイダへの漏洩、そして3つの自律システムすべてにおける不十分なフィルタリング。Noction は、より具体的な経路の作成は固有の欠陥ではなく一般的なプラクティスであると主張し、プロバイダーフィルタリングを強調した。この対応は、単一当事者説に異議を唱えつつ、オプティマイザーの役割を確認するため関連性がある。これは独立した事後分析ではなく、DQE の展開に関する正確な設定、変更記録、テスト証拠を公開するものではない。

Qrator Labs の別のルーティング分析は、開始を AS396531 と Verizon 間の BGP セッション再確立（10:35 UTC 直後）に関連付けた。その説明によれば、AS396531 はフィルターを失い、DQE から学習した経路をエクスポートした。これは状態が始まった理由の妥当な引き金を提供するが、利用可能な公開記録には AS396531、DQE、Verizon のルーター設定やログは含まれていない。安全な結論はより狭い：観測可能な経路は、経路がそれらの AS 境界を越えたことを証明する。オペレーターの説明は、フィルターの欠落または不備を特定する。正確な内部変更シーケンスは非公開のままである。

この区別は3つのよくある誤りを防ぐ。第一に、DQE は BGP の意味で Cloudflare のアドレス空間の起点と記述されるべきではない。観測された AS 経路は依然として Cloudflare の AS13335 で終わっていた。DQE のオプティマイザーは、正当な起点を保持したまま、より具体的な経路を作成し伝播させた。第二に、Verizon は経路を発明したわけではないが、その受け入れとグローバル伝播が到達範囲を大幅に拡大した。第三に、Cloudflare のネットワークは AS396531 を優先経路として選択しなかった。リモートネットワークが受け取った広告に基づいて転送決定を行った。

なぜより具体的な経路が距離とエニーキャストに打ち勝ったか

非専門家にとって、このイベントはルーターがより短い AS 経路を選択したかのように聞こえるかもしれない。決定的な優先順位はより早い段階で発生した。インターネット転送は最長プレフィックス一致を使用する：最も具体的な宛先ブロックをカバーする経路が、より広いブロックをカバーする経路よりも選択される。RFC 4632（クラスレスドメイン間ルーティング仕様）は、この最長一致動作と集約経路・より具体的な経路との関係を説明している。

ルーターが Cloudflare の104.20.0.0/20が通常のプロバイダーを通じて到達可能であると知っており、かつ Verizon、AS396531、DQE を通じて104.20.0.0/21も学習したとする。最初の/21内の宛先は両方のアナウンスに一致する。/21はより具体的であるため、たとえその AS 経路が長く、運用上不合理であっても勝つ。通常の経路属性は同じプレフィックスへの経路間で決定するものであり、健全な/20が受け入れられた/21に勝つようにはしない。

これが、Cloudflare のエニーキャストフットプリントが自動的に問題を迂回しなかった理由である。エニーキャストは、多くの Cloudflare ロケーションが同じプレフィックスをアナウンスできるようにし、BGP が適切なインスタンスを選択する。地理的分散を提供し、個々のサイトやリンクの障害を吸収できる。しかし、漏洩した/21は Cloudflare の通常の/20広告よりも具体的だった。グローバルルーティングシステムは、どの Cloudflare エニーキャストロケーションが最も近いかを比較する前に/21を優先できた。負けた経路の背後にある冗長性はトラフィックを回復しなかった。

また、望まない経路は負荷を集中させた。AS396531 とその接続は、Cloudflare、Amazon、Linode、その他多くの影響を受けたネットワークのグローバルトランジットとしてプロビジョニングされていなかった。より具体的な広告によって引き寄せられたトラフィックは、それを運ぶ容量もポリシーもない回廊に入った。パケットは遅延または破棄された。経路漏洩は時に非効率な経路でトラフィックを配送できるが、ここでは規模が経路をボトルネックに変えた。

Internet Engineering Task Force のRFC 7908経路漏洩分類は、経路漏洩をアナウンスの意図された範囲を超えた伝播と定義する。2019年6月のイベントは、分類が分析目的で分離する特徴を組み合わせている。マルチホームネットワークが別のプロバイダーに向けてプロバイダー学習経路をエクスポートしたことを含み、これは古典的なヘアピンターンパターンに似ており、また、グローバル伝播を意図されていない内部的に有用なより具体的な経路も含んでいた。ラベルよりも重要なのは侵害された不変条件である：Verizon の顧客が正規の顧客コーンの外のプレフィックスにトランジットを提供しているように見え、Verizon がその外観を受け入れたこと。

時系列と拡大する説明責任の窓

インシデントが予防から検知、回復へと移行するにつれて、説明責任は変化する。以下の時系列は公開経路データと帰属するオペレーターの発言を使用しており、仮定された内部行動でギャップを埋めていない。

最も重大な期間は最初のタイムスタンプより前に始まった。もし取締役会がレビューを10:34に開始すれば、アラートと電話に焦点を当てるだろう。オプティマイザー経路が本番用に認可された時点から始めれば、設計の安全性、経路範囲、フェイルクローズドデフォルト、ピアポリシー、変更レビュー、独立した伝播テストを検討できる。インシデント対応は持続時間を短縮した。予防的管理は、対応すべきインシデントがあったかどうかを決定した。

4つのフィルタリング機会が同じ方向に失敗した

経路はいくつかの境界を越え、それぞれに停止する異なる機会があった。これらの機会を層として扱うことは、すべての当事者が同等の管理権を持っていたと偽ることなく責任を明確にする。

オプティマイザーと発信ネットワークの封じ込め。DQE は Noction の製品がより具体的な経路を生成した環境を管理していた。ローカルな決定のみを意図した経路は、すべての下流が正しく動作することに依存しないエクスポート障壁を必要とした。選択肢には、厳密に範囲指定されたエクスポートポリシー、専用のルーティングコンテキスト、すべての出口で解釈される明示的なコミュニティ、外部コレクターからの自動チェック、予期しない伝播に結びついたキルスイッチが含まれる。Noction は展開テストを実施し、NO_EXPORTの使用について議論しているが、すべてのマルチ AS 設計でNO_EXPORTが適切ではないとも主張している。この既知のコミュニティはRFC 1997で定義されている：それを運ぶ経路は連合境界外に広告されるべきではない。このイベントでそれが使用されたか、保存されたか、削除されたか、またはまったく付与されなかったかは公的に確立されていない。

マルチホーム顧客のエクスポート管理。AS396531 は、意図的にトランジットとして運用していない限り、あるプロバイダの完全なまたは最適化された経路を別のプロバイダに提供すべきではなかった。リーフまたはエンタープライズネットワークは、単純なアウトバウンドルールを適用できる：自身の認可されたプレフィックスと明示的に承認された顧客プレフィックスのみを広告する。デフォルト拒否は、離れてはならないすべての経路を特定しようとするよりも信頼性が高い。RFC 8212（2017年公開）は、明示的なインポートまたはエクスポートポリシーが設定されていない場合のデフォルトの外部 BGP 拒否を成文化した。これはオペレーターが誤った許容ポリシーを付けることを防げないが、ポリシー不在による偶発的な伝播の一種を除去する。

プロバイダー顧客イングレス管理。Verizon は最も高いレバレッジのある停止点を持っていた。トランジットプロバイダーはどのセッションが顧客セッションかを知っており、その顧客が起点またはトランジットを許可されているものを知っているべきである。Cloudflare の詳細調査は、顧客に関連付けられた経路レジストリ情報に Cloudflare の ASN や他の漏洩ネットワークが含まれていなかったことを発見した。従って、顧客固有のプレフィックスおよび AS 経路フィルターはアナウンスを拒否できたはずである。RFC 7454の BGP 運用およびセキュリティガイダンス（2015年公開）は、すべての境界で受信および広告される経路のポリシー、顧客プレフィックス管理、AS 経路フィルタリング、最大プレフィックス制限を推奨している。

下流およびピアの拒否。Verizon から経路を受け取ったネットワークもそれらを拒否する機会があった。Verizon は大規模なトランジットネットワークであるため、多くの受信側はその広告にかなりの信頼を置いた。経路起点検証を使用している一部のネットワークは、影響を受けた Cloudflare のより具体的な経路を RPKI 無効として拒否しただろう。他は経路漏洩ヒューリスティックやピアポリシーを使用できた。しかし、主要プロバイダが配布した後にすべてのリモートネットワークにエラーをキャッチさせることは、元の顧客セッションで拒否するよりも効率が悪い。ポリシー違反の最も近くでの予防は、グローバルな収束が設定エラーを分散した停止に変える前に伝播を制限する。

これらの層は十分に独立していなかった。DQE の最適化、AS396531 のエクスポート、Verizon のインポートはすべて、正しい経路ポリシー設定に依存していた。各層が手動で許容的であるか、不完全な顧客レコードから構築されている場合、3つの管理が一緒に失敗する可能性がある。従って成熟した保証プログラムは、管理ドメインの外部から結果をテストする。設定レビューだけでは経路がローカルに留まったことの証明として受け入れない。

RPKI はこれらの経路をブロックできたが、それだけでは完全な答えではない

Cloudflare は2018年にRPKI 展開アカウントで説明されているように、経路署名と検証の展開を開始していた。Route Origin Authorization（ROA）は、どの自律システムがプレフィックスを起点できるか、オプションでアナウンスできる最も具体的なプレフィックス長を記述する。Cloudflare によれば、その関連経路は AS13335 を最大長/20で認可していた。漏洩した/21は AS13335 を起点として保持していたが、認可された最大長を超えていた。従って、それらは経路起点検証の下では無効であった。

論理はRFC 6811で形式化されている。受信経路は、検証済み ROA ペイロードがプレフィックスをカバーし、起点 ASN が一致し、経路のプレフィックス長が ROA の最大値を超えない場合に有効である。カバーする認可が存在するが、すべての必要なプロパティに一致するものがない場合は無効である。RIPE NCC の起点検証説明は、有効、無効、不明の状態を有用に分離し、ネットワークオペレーターがそれらの状態にどのポリシーを適用するかを依然として決定することを強調している。

Cloudflare が ROA を作成する行為は必要だが十分ではなかった。ROA は公開された証拠であり、リモート強制コマンドではない。Verizon または別の受信ネットワークは、検証済み RPKI データを取得し、顧客経路に検証を適用し、無効を拒否しなければならなかった。Cloudflare は自身のネットワークに入る無効な経路を拒否できたが、それはサードパーティネットワークが Cloudflare 行きのトラフィックを別の場所で選択した経路に沿って送信するのを妨げなかった。ルーティングセキュリティは相互的な構造を持つ：アドレス保持者が認可を公開し、他のオペレーターがそれを有効にする。

このインシデントについて、RPKI は特に強力な予防管理だった。なぜならオプティマイザーがプレフィックス長を変更したからである。その成功条件をすべての経路漏洩に一般化するのは誤りである。もし AS396531 が Cloudflare の通常の/20を漏洩し、経路の終端に AS13335 を保持した場合、起点検証はその経路を有効とみなす可能性がある。経路は依然として期待されるプロバイダー顧客トポロジーに違反するだろう。RPKI 起点検証は、誰がどの長さでプレフィックスを起点できるかに答える。AS 経路内のすべてのトランジット関係が認可されていることを証明するものではない。

この境界は RPKI への批判ではない。それを他の管理と共に展開する理由である。NIST のSP 800-189ガイダンスは、RPKI と BGP 起点検証をプレフィックスフィルタリングおよびより広範なドメイン間レジリエンシープラクティスと組み合わせる。経路漏洩、ハイジャック、トラフィック迂回、サービス拒否、パフォーマンス低下を、層を必要とする関連する運用リスクとして扱う。2019年6月のイベントは異常に具体的な実証である：ある層は正確な不良プレフィックスを拒否できた一方で、基本的な顧客フィルタリングは暗号なしでもありえない権限経路を拒否できた。

maxLengthにはガバナンスの教訓もある。過度に許容的な ROA は認可されていないより具体的な経路を有効に見せることができ、過度に制限的または期限切れの ROA は正当な経路の拒否を引き起こす可能性がある。ROA カバレッジ、最大長、有効期限、キーとリポジトリの健全性、計画されたルーティング変更は変更管理が必要である。ROA が存在することを示すダッシュボードは、それらが本番意図を正確に記述している証拠ではない。

2019年以降のパスポリシー管理

標準とポリシーの状況は停止後に発展し続けた。後の管理は、オペレーターが2019年6月に完成版を展開できたかのように記述されるべきではないが、業界が以前は暗黙的だった仮定をエンコードしようとしてきた方法を示している。

RFC 9234（2022年公開）は BGP Roles と Only-to-Customer（OTC）属性を導入した。隣接ネットワークは、関係がプロバイダー、顧客、ピア、ルートサーバー、ルートサーバークライアントのいずれであるかを宣言できる。ロール合意と OTC 処理により、ルーターは許容されない方向に関係境界を越える一部のアナウンスを検出できる。2019年の経路の簡略化バージョンでは、プロバイダーから学習しその後別のプロバイダーに送信された経路は、顧客専用エクスポートと矛盾する証拠を運ぶべきである。BGP Roles は一部の商用トポロジー知識をオペレーターの慣習からプロトコル可視状態に変換する。

Peerlock は別の経路重視のアプローチを提供する。2020年の論文"Flexsealing BGP Against Route Leaks"は、保護された大規模ネットワークが出現すべきでない場所に現れる経路を停止する能力を含む、オペレーターが展開したメカニズムを研究した。Peerlock は論文より前および2019年6月のイベントより前に存在したが、展開は双方向の知識と設定に依存した。これは実用的な経路フィルターが可能であった証拠であり、普遍的な既製の管理が利用可能であった証明ではない。

Autonomous System Provider Authorization（ASPA）は、AS が RPKI システムを通じて検証可能なプロバイダー関係を公開できるようにすることを目指している。多くの経路漏洩は経路妥当性の失敗であり起点失敗ではないため、有望である。また、慎重な言葉遣いが必要である：ASPA の標準と展開状態は進化しており、部分的なカバレッジは不明な経路を生み出す。これは追加の検証信号として扱われるべきであり、2019年の参加者が当時必須の暗号経路標準に違反したという遡及的証拠としてではない。

検出も成熟した。Cloudflare は後にRadar 経路漏洩検出サービスを説明した。これはルーティング関係と観測された経路を使用して、可能性の高い漏洩にフラグを立てる。監視は知る時間と調整する時間を短縮するが、ルーターが経路を受け入れるのを妨げない。2時間のインシデントも、修復経路が人間の電話連鎖である場合、依然としてグローバルな害を課し得る。検出はリハーサルされた行動に接続しなければならない：影響を受けたプレフィックスを特定し、安全な場合に防御ポリシーを適用し、認可されたオペレーターに到達し、顧客ステータスを公開し、独立したコレクター全体で撤回を検証し、トラフィックの回復を監視する。

従って有用な管理モデルは累積的である：

1. IRR オブジェクトと ROA を通じて正確な経路権限を公開する。
2. 信頼できるデータから顧客インポートフィルターを生成し、安全に更新する。
3. 明示的なポリシーを欠く経路を拒否することをデフォルトとする。
4. 顧客コーン、AS 経路、プレフィックス長、最大プレフィックス数の期待を強制する。
5. すべての関連する外部イングレスで RPKI 無効アナウンスを拒否する。
6. BGP Roles、OTC、Peerlock、そして成熟次第で ASPA 検証などの関係認識管理を追加する。
7. 独立した外部視点から伝播を観測する。
8. 継続的にテストされた運用コンタクトと経路撤回権限を維持する。

単一の項目が残りの代わりとなることはない。それらの価値は異なる故障モードから生じる。

責任の割り当て：責任評決をでっち上げずに

公開技術記録は責任分析を支持するが、DQE、AS396531、Verizon、Noction、Cloudflare、影響を受けた顧客の間で法的責任を割り当てる裁判所の判決、規制当局の命令、または完全な契約一式を含んではいない。Verizon の公開根本原因報告書は本記事で使用した記録には見当たらなかった。従って以下の割り当ては運用上のものである：誰がどの安全装置を管理し、誰がどのリスクを低減できたか。これは損害のパーセンテージ割り当てではない。

DQE Communications。DQE は最適化経路が生成されたネットワークと、それらが AS396531 に到達した関係を管理していた。その最も価値の高い義務は、経路範囲を制限し、外部可視性をテストし、正しいエクスポートポリシーを維持し、連絡を受けたらアナウンスを停止することだった。Cloudflare は DQE の担当者が経路撤回を支援したと評価した。迅速な協力は持続時間を短縮したが、予防管理の失敗を消し去るものではない。

AS396531。マルチホームネットワークはプロバイダー間の橋渡し役だった。Verizon に向けた観測可能な広告は、DQE を通じて学習した経路への到達可能性を提供しているように見せた。非トランジット企業は狭い許可リストをエクスポートすべきであり、学習した完全なテーブルではない。公開記録はフィルタリングを削除またはバイパスしたエンジニア、ベンダー、変更を特定していないため、個人の非難は推測になる。組織の説明責任は、セッション回復が企業の権限外の経路を露出させることを許した設計に帰属する。

Verizon。Verizon の顧客向けインポートポリシーは、最も重大な未行使の管理だった。顧客から数千の経路を受け入れる大規模トランジットネットワークは、認可されたプレフィックス、予想される起点と経路、プレフィックス量を検証すべきである。経路アーカイブは Verizon が経路を伝播したことを示している。Cloudflare は、関連する IRR データと RPKI 検証がそれを拒否できたはずだと述べ、イベント中に Verizon への連絡が困難だったと報告している。Verizon の内部記録なしでは、フィルターが不在だったか、古かったか、誤適用だったか、バイパスされたか、別の方法で失敗したかは言えない。これらの可能性のいずれも、プロバイダーの規模に比例した保証とインシデント調整の義務を指し示す。

Noction。封じ込めが失敗した場合に、グローバルに優先されるより具体的な経路を作成できるルーティングオプティマイザーは、予見可能な高結果の故障モードを持つ。製品の説明責任には、安全なデフォルト、目立つリスク警告、展開検証、経路タグ付け、外部漏洩テスト、ロールバック、検証された境界なしで侵入モードを有効化するのを困難にする管理が含まれる。Noction の対応は、展開中に伝播をテストし、フィルターが必須のままであったと述べている。この主張は次の監査質問を提起する：製品はピアリングやセッション変更後に継続的に封じ込めを検証したか、それともコミッショニング時のみか？一回限りのテストでは動的なルーティング環境の安全性を無期限に証明できない。

Cloudflare。Cloudflare は望まれない経路を生成も伝播もせず、Verizon の顧客セッションを設定できなかった。それでもなお、グローバルルーティングに基づいて構築された可用性とセキュリティサービスを顧客に販売していた。従ってその説明責任は残余の管理にある：正確な ROA、多様な相互接続、外部経路監視、迅速な診断、到達可能なピアコンタクト、顧客コミュニケーション、軽減オプション、透明な開示。また、自社のアーキテクチャが何に耐えられるかを過大に主張しない義務もあった。エニーキャストと大規模グローバルネットワークは多くの故障を低減するが、検証するネットワークの助けなしでは、グローバルに受け入れられたより具体的な経路に打ち勝つことはできない。

その他のネットワーク。Verizon から経路を受け入れたピアや下流は、AS396531 の顧客認可を知る立場に同等にはなかったが、RPKI 検証と経路管理を展開できた。それらの決定は自らのユーザーに影響し、場合によっては更なる伝播に影響した。システムは大規模トランジットネットワークが正しく行動するときにより安全だが、受信ネットワークは自身がインストールする経路に対して説明責任を負う。

この割り当ては、BGP が信頼に基づいており従って誰も責任がないという便利だが役に立たない声明を避ける。信頼は設定、レジストリ、契約、運用慣行を通じて実装される。それらは制御可能である。プロトコルの開放性は故障が拡散し得る理由を説明するが、プロバイダーが顧客経路をフィルタリングしないことを免除しない。

Cloudflare のビジネス説明責任は外部原因を生き延びた

外部トリガーは、クラウドプロバイダーの顧客への義務を取り除かない。Cloudflare の修正2019年フォーム S-1 登録声明は、6月の経路漏洩が自社および他のプロバイダーのトラフィックに重大な混乱を引き起こしたと述べた。経路漏洩が評判と信頼を害する可能性があると警告し、クレジットや返金につながり得るサービスレベルコミットメントを説明し、6月の経路漏洩と別の7月の停止がそれらの義務の一部をトリガーしたと述べた。当時、Cloudflare はこれらのインシデントが経営成績や財政状態に重要な影響を与えるとは予想していなかった。

この開示は、SEC スタッフコメントの後に続いた。コメントは、サービスレベルコミットメントに照らして6月の経路漏洩の合理的に予想される財務的影響に対処するよう会社に求めた。このやり取りは、説明責任がネットワーク運用センターから企業報告へ移行するコンパクトな例である。インシデントは、外部原因で発生し、運用上重要で、契約上補償可能で、同時にプロバイダーにとって財務的に重要でない可能性がある。

提出書類は、影響を受けた顧客の数、総クレジット、返金、失われた取引、または顧客レベルのダウンタイムを開示していない。また、6月の経路漏洩を Cloudflare の内部原因による7月2日の Web アプリケーションファイアウォール停止と並べて議論している。これらのイベントは統合されるべきではない。6月のインシデントは外部ルーティングへの依存をテストする。7月のインシデントは内部ソフトウェア変更管理をテストする。両方とも可用性に影響したが、予防の所有者と証拠は異なる。

顧客にとって、サービス クレジットはビジネスの回復と等価ではない。小規模オンライン商人は注文を失い、通信サービスはセッションを失い、企業は月額サブスクリプションクレジットが計算される前にスタッフの時間を費やす可能性がある。契約上の救済は、直接的なプロバイダー料金の一部を割り当てるものであり、ダウンタイムの完全な社会的または顧客コストではない。従ってクラウドプロバイダーは契約上の稼働時間以上を報告すべきである：地域とネットワーク別の到達可能性、トラフィック損失、検出までの時間、特定までの時間、コミュニケーションまでの時間、安定回復までの時間。

取締役会がピアリングとトランジットリスクについて尋ねるべきこと

ルーティングはしばしば取締役会の監督の範疇を下回る専門家の関心事として扱われる。2019年6月のイベントは、その区分がなぜあまりにも単純すぎるかを示している。ある主要プロバイダーでの BGP インポートポリシーが多くのクラウドサービスへのアクセスを変え、顧客義務をトリガーし、投資家開示を生み出し、正式なクラウドベンダー契約外の集中を露呈させた。取締役会はルーター構文を選択する必要はない。経営陣が可用性が別の自律システムの動作に依存する場所を知っているという証拠が必要である。

有用な取締役会パッケージは、コンプライアンス主張ではなく露出から始まる：

すべての指標において分母が重要である。RPKI がコアルーターに展開されていると言うことは、検証されていないエッジセッションが同じネットワークに経路を注入できるかどうかを明らかにしない。顧客フィルターが自動化されていると言うことは、ソースレジストリが完全か、緊急例外が永続するか、新しい BGP セッションがポリシーを継承したかを示さない。連絡先がデータベースにあると言うことは、誰かが現地時間06:30に権限を持って応答することを証明しない。

テストは制御されたネガティブケースを含むべきである。プロバイダーは、認可されていないラボプレフィックス、ROA が許可するより長いプレフィックス、過剰な経路数、宣言された顧客関係に違反する経路をアナウンスしようと試みることができる。期待される結果は、受信ポリシーおよび独立したコレクターで観測されるべきである。テストは自らが漏洩にならないように安全装置が必要だが、すべての現実的なテストを避けることは最もリスクの高い動作を未証明のままにする。

単純なマルチプロバイダーアドバイスなしの顧客レジリエンス

顧客は、第二の CDN、第二の DNS プロバイダー、または第二のクラウドを購入することで依存を避けるべきだとよく聞かされる。多様性は役立つことがあるが、ルーティング障害は製品ラベルを尊重しない。2つのプロバイダーはトランジット、交換ポイント、ファイバー、経路コレクター、または同じ非検証アクセスネットワークを共有する可能性がある。漏洩したより具体的な経路は、顧客の DNS やアプリケーションフェイルオーバーロジックが助けになる機会を得る前にトラフィックを引き寄せる可能性もある。

正しい設計はサービス経路から始まる。DNS の権威はどのプロバイダーか？TLS キーとセキュリティポリシーはどこに保持されているか？オリジンは安全に直接トラフィックを受け入れることができるか？セキュリティバイパスを作成せずにトラフィックをシフトできるか？DNS キャッシュはどのくらい早く変更されるか？クライアントは接続を保持するか？セカンダリプロバイダーは最新の設定と容量を持っているか？組織はトラフィックを移動する前に上流ルーティング障害をオリジン障害から区別できるか？

一部のサービスでは、独立してルーティングされたプロバイダー間のアクティブ-アクティブ配信が正当化される。他のサービスでは、複雑さ、一貫性のないセキュリティポリシー、キャッシュ動作、追加のアタックサーフェスが2時間の可用性向上を上回る。防御可能な決定は、重要性、テストされた回復時間、共有依存関係、コスト、残余リスクを記録する。ベンダー名を数えて結果をレジリエントと呼ぶものではない。

顧客は調達のレバレッジも使用できる。クラウドまたはネットワークプロバイダーに対して、ROA カバレッジ、ROV ポリシー、顧客フィルター管理、MANRS 参加、インシデント連絡慣行、外部監視、匿名化されたテスト結果を尋ねることができる。MANRS ネットワークオペレーターアクションは実用的な枠組みを提供する：フィルタリング、アンチスプーフィング、調整、他者が検証できる情報の公開。メンバーシップまたは適合性はシグナルであり、完璧な運用の証明ではないが、アクションはルーティングセキュリティを購入者が理解できる質問に翻訳する。

最も重要な契約上の質問はしばしば稼働時間のパーセンテージではない。それは、外部ルーティングのためにトラフィックが健全なサービスに到達できない場合に、プロバイダーがどのような証拠と支援を提供するかである。迅速で具体的なステータスコミュニケーションは、顧客が健全なオリジンへの破壊的な変更を避けるのを助ける。インシデント後の経路データは、顧客が自身の観測を調整するのを助ける。狭く起草された不可抗力または第三者条項は補償を制限するかもしれないが、プロバイダーの診断とコミュニケーションの運用義務を終わらせるべきではない。

自発的規範からリスク管理証拠へ

2019年6月のイベントは、大部分が自発的なルーティングセキュリティ環境で発生した。ベストプラクティスは知られていなかったわけではない。プレフィックスと AS 経路フィルタリング、IRR データ、最大プレフィックス管理、RPKI、オペレーターコンタクトレジストリは存在していた。採用と保証は不均一であり、特にあるネットワークが展開コストを負担し利益がインターネット全体に広がる場合に顕著だった。

その集合行動問題は後に、より明示的な政府の注目を集めた。米国国家サイバー長官室の2024年インターネットルーティングセキュリティ強化に向けたロードマップは、一般的な運用において BGP が起点権限、メッセージ完全性、リモート経路情報、隣接ビジネスポリシーに違反するアナウンスを検証できないことを説明している。特に主要プロバイダーと政府契約サービスにおける経路起点セキュリティのより強力な採用を呼びかけている。このロードマップは政策ガイダンスであり、2019年の参加者に関する認定ではない。

連邦通信委員会の2024年セキュアインターネットルーティング通知は、ブロードバンドプロバイダーに対する BGP リスク管理計画と報告を提案し、RPKI 起点検証を超える措置についてコメントを求めた。これは明示的に、経路セキュリティには更なる作業が必要であることを認識した。繰り返すが、これは2019年6月に対する遡及的責任を生み出すものではない。これは、プロバイダーが原則として RPKI をサポートしているかどうかを尋ねることから、維持された計画、カバレッジデータ、証明、進捗を尋ねることへのガバナンスシフトを示している。

規制には自身のリスクがある。ROA 登録のパーセンテージ目標は、広範で許容的な認可に報いる可能性がある。提出要件はルーターポリシーから切り離された書類作業になり得る。詳細な防御設定の公開開示はセキュリティ上の懸念を生み出す可能性がある。従って効果的な監督は、成果と管理された証拠に焦点を当てるべきである：正確な認可、拒否カバレッジ、テストされた顧客ポリシー、例外ガバナンス、検出速度、連絡即応性、インシデント学習。機密の監督アクセスは機微な詳細に適切かもしれないが、集約された採用とインシデント指標は公開のままである。

経路セキュリティのコモンズは国境も越える。Verizon の伝播はグローバルにユーザーとサービスに影響した。複数地域の Cloudflare エンジニアが対応に参加した。経路権限は地域レジストリを通じて分配され、受信者は自身のポリシーを適用する。国内ルールは管轄下のプロバイダーの行動を改善できるが、相互運用可能な標準とオペレーター規範がその改善を伝播させるものである。

依然として公開記録から欠けている証拠

Cloudflare の詳細調査は異常に再現可能である：RIPE NCC データを特定し、コマンドを提供し、観測された経路とタイムスタンプを示している。この透明性は経路時系列への高い信頼を支える。それはすべての説明責任の質問に答えるものではない。

以下の記録は、関係するオペレーターがそれらを公開すれば、分析を実質的に改善するだろう：

• DQE のオプティマイザー設定、生成プレフィックスポリシー、エクスポートマップ、コミュニティ処理、展開前後の外部伝播テスト。
• DQE および Verizon セッションに付加された AS396531 の BGP ポリシー、セッションダウンとセッションアップのタイムライン、設定変更、経路数、プロバイダー学習経路がエクスポート可能だった理由。
• Verizon の顧客オンボーディング記録、IRR またはプレフィックスリストソース、AS 経路ポリシー、最大プレフィックス設定、RPKI 検証状態、アラート、オペレーター応答タイムライン、グローバル伝播の説明。
• Noction の展開チェックリスト、継続的封じ込め安全装置、アラート動作、インシデント後に行われた製品変更。
• Cloudflare の最初の内部検出タイムスタンプ、アラートソース、考慮された軽減決定、ピアコンタクトエスカレーションタイムライン、ネットワークと地域別の顧客影響、是正措置検証。
• 特に6月の経路漏洩に起因する定量化されたサービスクレジット、返金、サポート負荷、顧客解約（別の7月停止とは区別して）。

それらの不在がイベントを知り得なくするわけではない。公開 BGP アナウンスはネットワークが互いに何を伝えたかの証拠である。トラフィック測定はサービス影響の証拠である。SEC 提出書類は企業開示と予想される重要性の証拠である。オペレーターブログは帰属する説明の証拠である。規律はこれらの証拠クラスを分離しておくことである。

また、欠けている公開記録を欠けている内部記録と混同しないことが重要である。Verizon、DQE、AS396531、Noction は公開されなかった広範なレビューを実施した可能性がある。Cloudflare は投稿に含まれていない詳細なテレメトリーを保持している可能性がある。証拠が非公開のままの場合、公開説明責任は弱いが、本記事は学習が行われなかったと推測することはできない。

経路レジリエンスのための耐久性のある説明責任基準

2019年6月の停止は、小規模なネットワークがインターネットの大部分への見かけ上の経路になったために記憶されている。そのより深い教訓は、規模が対応する懐疑を生み出さなかったことである。主要トランジットプロバイダーが顧客からの異常な主張を受け取って配布し、多くのネットワークがその結果を受け入れ、トラフィックはありえない経路へとプロトコルルールに従い、回復はアナウンスを撤回できる人々を見つけることに依存した。

このイベントは当時利用可能な管理で防止可能だった。DQE は最適化経路を封じ込めることができた。AS396531 は認可されたプレフィックスのみをエクスポートできた。Verizon はレジストリ、経路、プレフィックス数、RPKI 証拠で顧客アナウンスをフィルタリングできた。受信ネットワークは RPKI 無効の Cloudflare より具体的経路を拒否できた。より良い監視と連絡即応性はイベントを短縮できただろう。後の標準は一部の関係仮定をシグナルしやすくするが、運用規律をオプションのレガシー懸念に変えるものではない。

Cloudflare の役割は被害者または所有者よりも複雑である。外部の決定によって到達可能性が害された宛先だった。漏洩したより具体的な経路を拒否するのに適した ROA を既に公開し、分散ネットワークを運用し、イベントを検出し、撤回を調整し、経路記録を説明し、契約上の結果を開示した。それでもなお、明確なステータス、回復努力、契約に基づく金銭的救済、残余ルーティングリスクの真実の説明を顧客に負っていた。プロバイダーはインターネットの残りが自社の経路を検証することを約束できない。検証を可能にし、何が起こるかを監視し、証拠をもって対応することを約束できる。

従って最終的な説明責任基準は経路漏洩ゼロではない。グローバルネットワークはすべての自律システムがすべてのセッションを正しく設定することを保証できない。基準は、各当事者が自らの管理内でリスクを低減し、その低減を外部からテストし、不可避なミスの爆発範囲を制限し、練習された調整経路を通じて対応し、顧客と監督者が改善を検証するのに十分な証拠を生み出したかどうかである。

それがネットワーク境界を越えたネットワークレジリエンスの姿である：インターネットが不可能にする他のネットワークからの独立ではなく、いずれか一つの経路が消費できる未検証の信頼の量に対する規律ある制限。