Summary

  • RIPE 92でのSebastian Beckerの発言では、顧客向け経路フィルターに使うAS-SETには自社ASと下流のAS・AS-SETを記す。ピアや上流を示す場合は用途を明示した別の集合に分ける。
  • Beckerは、顧客が申告するプレフィックス数と生成されたフィルターを接続前に比べる。100件を申告したのに集合が1万件へ広がるという話は確認手順を示す例であり、実事故の件数ではない。

顧客の名簿は、経路フィルターへ入力された瞬間に許可表になる。Deutsche TelekomのAS3320でピアリングを担当するSebastian BeckerはRIPE 92で、この変化を運用の出発点に置いた。登録簿の関係が曖昧なら、出来上がったフィルターの範囲も曖昧になる。

顧客コーンを表すAS-SETには、自社ASと下流の顧客を入れる。ピアや上流との関係も公開できるが、それぞれ目的を示した別の集合で扱う。全部を混ぜると、再帰的な展開によって顧客として受け取るつもりのなかった経路まで候補に上がる。単なる記載ミスが、経路漏洩を防ぐはずの境界を広げる。

同じ名前の集合が複数のIRRデータベースに存在する場合もある。Beckerによれば、更新されているのは一つだけということがある。古いコピーをまとめて読み込むと、過去の関係まで現在のフィルターへ残る。集合の管理先と用途を明示し、生成結果を実際の契約関係と突き合わせる必要がある。

Beckerは接続前の試験を具体的に説明した。顧客の予定が100プレフィックスなのに、展開後の集合が1万プレフィックスになる。彼のチームはBGPセッションの有効化やフィルター受け入れ前に試運転し、差を顧客へ返すという。顧客が経路を送り始める前にAS-SETを整えれば、正しい経路を初日から受け取れる。公式の講演ページにはFedor Vompeも共同発表者として載る。後半のAS-SET循環に関する数値はVompeの説明だ。

Beckerが2024年に出した原文の告知では、AS3320はRPKIで無効な起点を拒み、判定不能なものは受け入れる予定としていた。起点の認可と顧客関係の記録は異なる判断を支える。接続前の試験が実際に何件の誤りを止めたかは、日付付きのフィルター差分、受信経路、修正記録があれば測れる。

経路が届いてから慌てるより、名簿がルールに変わる前に見る。Beckerの主張は地味だが、ネットワークの許可範囲を決める場所を正確に指している。

資料：RIPE 92公式書き起こし · 公式講演情報 · RIPE NCC人物紹介 · 2024年の本人による告知。