要約

  • DFINFRAとAS210860の登録上の関連は、調査可能な識別シグナルだが、所有、日常運用、顧客接続、商業的支配を証明しない。
  • 今回の公開資料では、特定の停止、経路撤回、復旧時刻、切替経路、プローブ断絶、サービス影響は確認できない。継続性の主張には、時刻付きBGP観測、独立した到達性データ、経路の変化、運用者または第三者によるインシデント記録が必要である。

登録情報は入口であって、運用証拠ではない

RIPE NCCのAS210860に関する自律システム情報、経路オブジェクト検索、RIPEstatの経路履歴、発表プレフィックス、ASN近隣情報は、調査の骨格をつくる。これらは、どの識別子がどの資源と結び付けられているか、どの期間に経路が観測されたか、どの隣接ASが見えていたかを調べるための資料である。しかし、登録者やメンテナーの情報は、特定の障害時に誰が判断し、誰が修復したかを直接示さない。RIPE DatabaseのASオブジェクトと経路・route6検索は、宣言された管理関係を調べる手掛かりにはなるが、実際の運用行為の記録ではない。

前回までの報道が示した通り、DFINFRAとAS210860の関連は「登録上のシグナル」と表現するのが妥当である。そこから、所有権、ルーターへの管理権限、経路広告の承認権、顧客へのサービス提供、収益の帰属を一続きの事実として導くことはできない。今回の調査は、この境界を継続性と復旧の問題に広げた。

BGPの可視性は、サービスの可用性と同じではない

RIPEstatの経路履歴は、参加する観測点からAS210860起源のプレフィックスが見えた期間を確認するために使える。経路履歴で複数のプレフィックスが同時に消え、その後に再び見えるなら、撤回と再広告の時系列を調べる価値が生じる。BGP更新データを狭い時間範囲で照合すれば、撤回が先だったのか、同じ経路が戻ったのか、異なる隣接ASを通じて再び見えたのかを確認できる可能性がある。

しかし、この調査では動的なAPI応答そのものを保存しておらず、AS210860について具体的な停止区間や復旧時刻を確定していない。観測点から見えなくなる理由は、保守、BGPセッション障害、上流障害、フィルタリング、意図的な経路操作など複数あり得る。異なるコレクターは異なる開始時刻と終了時刻を示すこともある。したがって、経路の空白をそのまま利用者の全面的な通信断と書くことはできない。

発表プレフィックスの一覧は、どの資源をプレフィックス単位で調べるべきかを示す。発表プレフィックスが示す現在または最近の状態も、サービスの到達性そのものではない。ASが経路を広告していても、データプレーンが正常とは限らない。逆に、観測コレクターから見えないことが、すべての利用者にとっての停止を意味するとも限らない。

継続性の仮説は、複数の独立した層をつなぐ必要がある

AS210860に複数の外部接続が見えるなら、それは継続性を支える候補メカニズムになる。ASN近隣情報は、観測された隣接関係を調べる出発点である。PeeringDBのネットワーク記録は、自己申告された施設、交換ポイント、接続方針、NOC情報を確認する手掛かりになり得る。bgp.tools、CAIDA AS Rank、Hurricane ElectricのBGP Toolkitは、現在のプレフィックスや上流関係を別の表示で照合する候補となる。

ただし、観測された隣接ASが契約上のトランジット事業者であるとは限らない。PeeringDBの記載は自己申告で、古い可能性がある。CAIDAの関係推定も、ルートサーバー、兄弟AS、部分的なトランジット、特殊なポリシーを誤分類することがある。複数の上流が存在することは、設計上の冗長性を示すかもしれないが、障害時に切替が成功したことや、誰が切替を実行したことを証明しない。

RPKIも同様である。RPKIの有効性は、正しい起源ASを暗号的に示すことで一部の経路起源偽装を抑える仕組みであり、可用性、自動フェイルオーバー、運用者の復旧能力を保証するものではない。経路の存在、起源の認証、実際の到達性、利用者向けサービスの稼働は、別々の検証対象である。

独立した到達性データが不足している

IODAは、BGPの可視性低下と、アクティブプロービングや到達性の変化が同時に起きたかを調べる独立した候補である。IODAのAS210860シグナルに有意な低下と回復が記録され、BGPの撤回と再広告にも一致するなら、BGPだけの場合より強い停止仮説になる。しかし、今回の資料では、IODAがAS210860を十分に観測していたか、該当するイベントを記録したかを確認できない。

RIPE Atlasのプローブ情報も、データプレーン側の補助線になる。IPv4プローブ検索とIPv6プローブ検索でAS210860に関連するプローブが確認でき、その切断と再接続が経路撤回と重なるなら、障害と復旧の仮説を強められる。ただし、プローブ単体の停電やローカル接続障害はAS全体の停止を意味しない。プローブが存在しないことも、監視が存在しないことを示すだけである。

「誰が復旧したか」は別の証拠問題である

経路が戻ったとしても、それだけでDFINFRAが復旧を指揮したとは言えない。上流事業者がセッションを再確立した可能性、フィルターが解除された可能性、設定が自動的にロールバックした可能性、観測点側の変化で見かけ上戻った可能性がある。復旧責任を特定するには、時刻付きの経路変化と、管理者・運用者の識別情報、変更記録、ステータス通知、インシデント報告、または独立した同時期の報告を結び付ける必要がある。

IRRのrouteオブジェクトやASオブジェクトのメンテナー情報は、候補となる管理関係を示せる。RIPEの登録情報とroute検索に変更時刻が記録されていても、それが復旧作業を意味するとは限らない。データベースの更新は、実際の経路変更と無関係な整理作業である可能性がある。登録情報、経路観測、到達性、運用記録を同じ時間軸に置くことが必要である。

今回の結論は、AS210860に障害がなかったということでも、DFINFRAに運用責任がないということでもない。より限定的で検証可能な結論は、公開資料からは、障害、復旧、切替、サービス影響、復旧主体のいずれも確定できないということである。証拠がないことと、事象がなかったことを混同してはいけない。

次に観測すべきテスト

次の調査では、まず発表されたプレフィックスを確定し、特定の期間を定める。その上で、RIPE RISの経路履歴とBGP更新をプレフィックス単位、観測点単位で照合する。次に、IODAの到達性シグナル、RIPE Atlasのプローブ状態、複数の独立した経路表示を同じUTC時刻軸に置く。最後に、PeeringDB、RIPE Database、IRRの管理情報と、運用者が公表した通知や変更記録を照合する。

この手順で、(1)複数プレフィックスの同時撤回、(2)独立した到達性低下、(3)経路再広告、(4)上流または隣接関係の変化、(5)時刻の一致する運用記録、の五つが揃えば、継続性と復旧の主張は大きく強くなる。どれか一つだけでは、登録上の関連を運用上の支配へ拡張する根拠として不十分である。

現時点で最も重要なのは、DFINFRAという名前に意味を過剰に詰め込まないことだ。ネットワークの継続性は、識別子ではなく、経路、到達性、冗長性、変更権限、復旧記録の連鎖によって現れる。その連鎖がまだ確認できないなら、記事が示すべき成果は断定ではなく、次に誰が何を観測すれば仮説を確定または棄却できるかである。