要約

  • ROAは一つのASにプレフィックス起点を認可し、maxLengthはより具体的な経路まで許容できるが、実際の経路広告集合は示さない。
  • Validは観測経路が認可データに適合することを示すだけで、意図、到達性、ローカル選好の証拠ではない。
  • 最小ROAと、認可・BGP観測・版管理された方針の照合が差異を明らかにする。

RFC 9582のROAは、アドレスブロック保有者が一つのASに一つ以上のプレフィックスの起点を認可する署名オブジェクトである。maxLengthがなければ正確なプレフィックスだけを認可し、あればその長さまでのより具体的なプレフィックスを認可する。これは許容集合であり、サイト、時刻、属性、撤回条件を含む運用計画ではない。

RFC 6811では、VRPのプレフィックス、最大長、起点ASを受信経路と比較する。一致すればValid、カバーされても一致しなければInvalid、カバーがなければNotFoundとなる。この分類から内部の変更承認を復元することはできない。そのため、古い設定や意図しない輸出が広い認可内にあればValidになり得る。本稿は実在の障害を主張しない。

RFC 9319は、実際に起点となるプレフィックスだけを認可する最小ROAを推奨し、通常はmaxLengthを避けるよう勧める。未使用のより具体的な経路まで許容すると攻撃面が広がるためだ。例外には運用判断が必要で、起点方針または経路方針の変更時に再点検しなければならない。

台帳は認可面（ROA、AS、プレフィックス、maxLength、有効期間）、観測面（経路、観測点、時刻）、方針面（承認集合、目的、責任者、期限、撤回条件）を分離する。時系列で結合して初めて、認可済みだが未承認の経路や不要になった権限を判別できる。RFC 9582が示すのは資源PKIによる認可であり、本人認証や否認防止ではない。

出典