要約

  • 190.147.255.0を照会すると、親ブロック190.144.0.0/14にAS14080とAS10620の二つのaut-numが返った。これは認可情報の投影であり、ライブ経路の観測ではない。
  • 同時期のRPKIスナップショットには四つのカバーVRPがあり、RIPE RISが190.147.255.0/24で観測した起点はAS10620だった。この経路のROV判定はValidである。

RPKIを使うことで、フィールドの性質も変わった

LACNICポリシーマニュアル3.4節は、情報が存在する場合、照会されたプレフィックスの起点ASNをWHOIS応答に含めるとしている。2022年3月28日に実装されたLAC-2021-1は、その値をRPKIリポジトリから、ROAに記載された起点を用いて抽出できるとした。

従来の会員入力値と更新済みROAが食い違う二重管理を減らす点で合理的な変更だった。一方、WHOISの短い値は、ある時点の認可集合から作られた投影になった。投影が正しくても、どの集合と規則から作られたかは別途示す必要がある。

二つのASNの背後に四つのVRP

2026年9月19日21時59分47秒（UTC）、whois.lacnic.netに190.147.255.0を問い合わせると、割り当てオブジェクト190.144.0.0/14と次の二行が返った。

  • aut-num: AS14080
  • aut-num: AS10620

現行出力が常に一つへ圧縮されるわけではないことが分かる。行順を優先順位と読む根拠も、どちらかを唯一の認可起点とみなす根拠もない。

その約7分前に生成されたLACNIC Routinatorの拡張結果には、対象/24をカバーする次の四つのVRPがあった。

VRPプレフィックス maxLength 認可された起点
190.147.0.0/16 24 AS10620
190.147.0.0/16 24 AS14080
190.144.0.0/14 24 AS10620
190.144.0.0/14 24 AS14080

各VRPにはROAオブジェクトのURIと有効期間も付いていた。WHOISの二つの値はこの認可集合と整合する。欠けているのは正誤ではなく説明可能性だ。/16と/14の両方がカバーし、いずれも/24まで認め、二つの起点が別々のROAで認可されていることは、平らなASN一覧から復元できない。

認可されていることと、観測されたこと

RFC 6811のVRPは、プレフィックス、最大長、起点ASNから成る。経路がValidになるのは、カバーするVRPの少なくとも一つが経路長と起点にも一致するときだ。RFC 9582によれば、一つのROAが識別する認可ASは一つであり、複数ASを認可するには複数ROAが必要になる。

RIPEstatのBGP-state応答は、190.147.255.0/24について327本の観測パスを含み、その末尾はいずれもAS10620だった。この実経路を検証すると、AS10620の二つのVRPが一致し、AS14080の二つはプレフィックスをカバーするものの起点が一致しない。結果はValidだった。

同じスナップショットで、仮に経路起点がAS14080なら、それもValidになる。一致する側とunmatched_as側が入れ替わるからだ。ただし、観測時に両ASが同じ/24を起点としていたという意味ではない。RPKIでは両者が可能で、RIPE RISが見たのはAS10620だった。

したがって、WHOISフィールド、完全なカバーVRP集合、各prefix/maxLength/ASNタプル、実際のBGP起点、そしてその経路に対するROV判定は、別々の状態として扱わなければならない。

起点投影の受領証

WHOISをBGPモニターにする必要はない。LACNICが運用者の経路選択を決める必要もない。投影に小さな受領証を添えればよい。

受領証は、照会値と正規化済みプレフィックス、返した登録オブジェクト、投影に使ったすべてのVRPタプルを記録する。検証器、生成時刻、キャッシュセッションまたは同等のスナップショット識別子、認可集合のダイジェストも結び付ける。公開可能ならROA URIか安定したハッシュを付ける。

結果には空、単一、複数、部分的、期限切れという型が必要だ。更新予定または失効時刻を示せば、古い一覧が認可変更後も無期限に流通することを防げる。後継受領証への参照は、過去を消さずに現状を更新する。

さらに「BGP観測ではない」「認可ASがすべて現在広告している証明ではない」「経路優先度でも受け入れ指示でもない」と明記する。観測起点とROVは、経路ごとに別の証拠として扱う。

複数値を削らず、その理由を残す

この例でLACNICは二つの認可起点を表示できた。次の改善は一つを選ぶことではなく、複数になった根拠を残すことだ。現在はWHOIS、Routinator、経路コレクターをつないで初めて全体が見える。受領証は三者を統合せず、共通の時点と証拠IDだけを与える。

フィールドはAS14080とAS10620を示す。受領証は/16と/14、共通のmaxLength 24、ROAと投影規則を示す。BGP観測はAS10620が現れたことを示し、ROVはその経路が認可に一致したことを示す。役割を分けるほど、短いWHOIS応答は安全に使える。

情報源