ROA定義の37％がBGPで見えない。予備と旧許可をどう分ける

要約

RIPE 93でRIPE NCCは、ROAにカバーされた観測済み経路のROV Valid率がほぼ100％である一方、ROA内のASN・プレフィックス定義の約37％がBGPで見えていないと報告した。
未観測の定義には障害時の予備経路と、公告停止後も残る古い許可が混在する。前者を消せば切替に響き、後者を放置すれば偽装起源がValidと判定されるおそれがある。

経路が止まっても許可は残る

ROAを作る時には、公告を始めるという具体的な仕事がある。運用者は、そのプレフィックスをどのASNが起源として広告するか署名付きで示す。経路を止めた後は、ROAを残してもサービスがすぐ止まるわけではない。作成には即効性があり、撤回には目立つ見返りがない。記録だけが残りやすいのはそのためだ。

10月28日のRIPE 93 Routing Working Groupで、RIPE NCCのRPKI責任者Tim Bruijnzeels氏は二つの数字を示した。IPv4とIPv6を合わせると、世界のプレフィックスの約73％にROAがある。ROAにカバーされた公告済みプレフィックスのうち、ほぼ100％がROV Validだった。氏は、Invalidの公告を運用者がすぐ直すかフィルターするため、RISが観測する経路は早く整うと説明した。

続いて視点をROA側に移すと、約37％のASN・プレフィックス定義がBGPで観測されていない。ここで数えるのは許可の定義だ。一つのROAには複数のプレフィックスを載せられるため、37％を経路数や通信量に置き換えることはできない。

会議記録には、分子・分母の内訳、集計日、観測期間、算出方法がない。それらが公開されれば、未観測のうち何件が役目を終えた許可なのか、見立てを変えられる。

沈黙しているROAにも仕事はある。資源保有者は経路を動かす前に許可を用意し、障害時の切替用に別の起源を残すことがある。RIPE NCCの画面はROAをRISルートコレクターが見た公告と照合する。公式のRPKI Management API文書によれば、RISデータは8時間ごとに更新される。画面が示すのはその観測時点の状態であり、予備か退役かの判断は保有者が持つ。

一方で、公告をやめた後にROAが残ることもある。Bruijnzeels氏は、公告開始時の作成動機に比べ、停止後の撤回には強い動機がないと説明した。誰かが定期点検を引き受けなければ、許可の後片づけは運用現場に積み残される。

その残り方はROVの判定に関わる。BGP Origin Validationはプレフィックスと起源ASNをROAと照合するが、ASパス全体の正当性までは検証しない。古いROAが許可するASNを装ってそのプレフィックスを公告すれば、検証器はValidと判定する場合がある。以前は正しかった署名が、運用上の役目を終えた後も同じ起源を通してしまう。

RIPE NCCによると、未観測の情報は今の画面にもあるが見つけにくい。表示の改善と関連アラートの拡張を計画している。意図的な予備経路に保有者が印を付け、同じ通知を止められる案も示した。予備と退役を見分ける印があれば、警告は削除命令ではなく確認のきっかけになる。

運用者が使える確認キューを作るなら、プレフィックス、起源ASN、最後の観測時刻、RISデータの更新時点を一行に並べる。保有者は「運用中」「予定」「予備」「退役」から選び、必要ならROAを直すか撤回する。RIPE NCCが示すのは観測とのずれであり、記録の用途を決めるのは資源保有者だ。

RIPE NCCの37％は、ROVの高い有効率と並んで、ROAを作った後の管理状況を問いかける。次に追いたいのは、各定義がどの状態に分類され、退役と判断された許可が何件撤回されたかだ。