要約

  • ARINはARIN 58でBGP Insightをプレビューし、RPKI設定が経路広告に及ぼす影響を組織が把握できる機能として紹介した。
  • 先行する説明資料では、InvalidやNot Foundの理由、Validへ向かう手順、直近のBGPデータ取得を使った変更案のプレビューが示されている。

「RPKIは設定済みです」という報告のあとで、BGPに現れた経路が想定と違う検証結果を返す。ルーティングセキュリティでは、そんな会話が起きる。資源証明書があり、ROAも公開されている。それでも、画面の結果と運用チームの理解が噛み合わない。

ARINがBGP Insightで扱おうとしているのは、その食い違いだ。10月23日に公開されたARIN 58の2日目レポートは、この機能がRPKI設定と経路広告の関係を理解する助けになると説明した。9月30日時点でARINのRPKIに登録した組織は9,673、前年から27%増えていた。Hosted RPKIを利用する組織のおよそ7分の1は、ROAをまだ一つも作成していなかった。登録者数の伸びは入口の数字で、運用の問いは設定済みの許可と実際の広告を照らし合わせるところにある。

ARINはARIN 57のRouting Security Updateで、画面の姿を先に示していた。資源証明書に含まれるプレフィックスを、グローバルBGPテーブル上の見え方と並べる。InvalidまたはNot Foundの理由を説明し、広告への影響を示し、Validに向かう方法を示す。変更案を適用した場合の結果も試せる構想だった。資料は「最後のBGPデータ取得」を使うと明記している。ARIN 58では、より短いBGP Insightという名称で再びプレビューされた。

ROAは、どの自律システムがプレフィックスを起源として広告できるかを示す。BGP経路はネットワークから観測できる広告だ。RFC 6811の起源検証は、経路が名乗る起源ASをプレフィックス保有者の認可と照合する。AS_PATH全体を認証する処理は別の範囲にある。ARINのRPKIガイドも、保有者が署名付きの起源情報を発行し、ネットワーク運用者がBGP広告と照合して判断する流れを説明している。

二つの記録が並べば、運用者は相違を追いやすい。期待した認可に見当たらない経路は、ROAの欠落、起源ASの違い、プレフィックス長の設定を確認する手掛かりになる。画面の価値は、食い違いを言葉にして、実際に認可を変える前に修正案を確かめられるところだ。ARINの先行資料は変更の仮想プレビューを描いた。10月23日のレポートが確認したのは機能のプレビューであり、一般公開日ではない。

「最後のBGPデータ取得」という一言も、画面上に必要だ。診断には観測時刻がある。その後に現れた経路は次の取得分に属する。時刻が見えれば、運用者はROAを直すのか、最新データを待つのか、見えている経路を先に調べるのかを判断できる。

出典：ARIN 58 2日目レポート、ARIN 57 Routing Security Update資料、ARINのRPKIガイド、RFC 6811。