要約

  • APNICは10月22日、RPKIトラストアンカーの下で公開されたASPAが538件に達したと報告し、対象がまだ少ないうちの経路検証を勧めた。
  • MyAPNICは変更案を観測済みのBGP経路と照合する。保有者がPendingの内容を確認してCommitすると公開される。

「公開してから検証を考える」は、件数が増えるほど高くつく。APNICの10月22日の説明には538件という新しい数字とともに、経路検証の開始を遅らせると誤設定の洗い出しが一度に重くなる、という警告がある。数字が増えたこと自体より、確認を始める順番がニュースだ。

ASPAでは、ASNの保有者が正当な上流ASの一覧に署名する。受信側のネットワークは、その関係を材料にBGPのAS経路を調べられる。APNICのASPA案内は公開と取得の仕組みを説明している。一覧を公開することと、受信側が検証結果を選路に反映することは、別々の担当者による別々の行為になる。

公開前の画面にも検査がある。MyAPNICは観測されたBGP情報から上流候補を示し、変更案が現在見える経路を無効にしないか確認する。その後、申請はPendingに入り、保有者が内容を読み直してCommitする。今見える経路の誤りには気づきやすい。一方、障害時だけ使う予備の上流まで、現在の観測だけで洗い出すことはできない。そこは運用者の把握が要る。

APNICによれば、誤ったASPAは顧客ASNを含む経路が無効と判断される原因になり得る。検証を早めに導入すれば、対象が少ないうちに誤りを見つけて直せる。その後の新たな不整合は、変更した保有者に対応を求めやすい。APNICのRPKI解説は上り・下りの判定とValid、Invalid、Unknownを分けている。538件は署名済みオブジェクトの公開進度だ。次に数えるべきは、実際に検証するネットワークと修正した一覧である。