サマリー

  • グローバル BGP 可視性は IPv4 利用の完全な尺度ではない。経路コレクターはピアから受信したアナウンスを記録するが、内部割り当て、準備段階のクラウド展開、契約上の依存関係、移行計画、緊急ルーティングオプションまでは明らかにしない。
  • 未使用プレフィックスは、障害後、顧客増加時、またはネットワーク間移動中に容量を有効化する実行可能な権利（義務ではない）をオペレーターに与える場合、真のオプション価値を持ちうる。その価値は、単なる希少性ではなく、遅延、再番号付け、サービス喪失の回避から生じる。
  • 同じ表現が退蔵を隠すこともある。予備が信頼できるのは、保有者がトリガーとなるイベント、必要なブロックサイズ、技術的準備、責任者、レビュー日、代替容量、及び必要性がなくなった場合の出口ルールを特定できる場合のみである。
  • 現在のポリシー資料は、未経路のブロックがすべて回収可能であるという普遍的なルールを支持していない。ARIN の現行の登録サービス契約（RSA）は、同契約に基づき ARIN には利用不足を理由に含まれるリソースを取消す権利がないと明示している。一方、いくつかの地域の要求・移転ポリシーは、定義された状況下で実証または計画された必要性を依然として精査する。
  • パブリッククラウドとセキュリティの資料は、プロビジョニングされたプレフィックスが用途間に意図的にアナウンスされない場合があることを証明している。AWS はアナウンス前のプロビジョニングをサポートし、Google Cloud は顧客が一部の BYOIP プレフィックスをいつアナウンスまたは取り下げるかを決定できるようにし、Cloudflare は攻撃時のオンデマンド・アナウンスについて説明している。これらの例は運用上の可能性を示すものであり、正当化された予備の普及度を示すものではない。
  • 健全な利用状況レビューは、観察と判断を区別する。レジストリ記録、BGP 履歴、アドレス管理の証拠、経路と RPKI の準備状況、契約、移行マイルストン、事業継続テストを組み合わせ、機密性の高いアーキテクチャを保護する。
  • 番号資源社会（Number Resource Society）は、運用予備のためのポータブルな証拠プロファイルを推進し、手続き的なレビューを擁護することで、この区別をより明確にできる。NRS 自身の主張は一次的な提唱であり、必要性を認定したり、市場価格を設定したり、RIR、監査人、裁判所に取って代わるべきではない。

経路コレクターは影を見るのであって、資産全体ではない

生成が最も容易な IPv4 統計は、最も誤解釈しやすいものでもある。レジストリ割り当てを取得し、ルーティングテーブルでカバーするアナウンスを検索し、検出されなかったものを「未使用」と見做す。この方法は再現性があり公開されているという理由で魅力的に見える。大きな疑問を迅速に特定できる。しかし、それ自体では、事業者がそのアドレス空間に対して防御可能な目的を持っているかどうかを判断できない。

RIPE 経路情報サービス（RIS）は、自身の限界を明快に説明している：経路コレクターはピアリングセッションを通じて BGP データを取り込む。ほとんどのコレクターは、接続されている交換ポイントのピアから経路を受信するが、マルチホップコレクターは視点のセットを広げる。得られたデータはルーティングシステムの研究に非常に有用である。それらは参加ピアからの観測結果であり、あらゆるネットワーク内側にある万能センサーではない。

この区別には二つの帰結がある。第一に、一つのコレクターでの不在は、長期にわたる多様なコレクター群での不在よりも証拠として弱い。経路はフィルタリングされていたり、特定のピアにのみ可視だったり、カバーする集約経路で表現されていたり、イベント時に短時間アナウンスされていたりする。第二に、公共のデフォルトフリーゾーンからの完全な不在でさえも、その観測ウィンドウ中にプレフィックスがグローバルにアナウンスされなかったことの確立に過ぎない。アドレスが構成されなかったこと、顧客の移行がそれに依存していなかったこと、プライベート相互接続がそれを使用しなかったこと、クラウドオンボーディングが始まらなかったこと、テスト済みの緊急計画がそれを予約していなかったことの証明にはならない。

CAIDA の IPv4 利用状況推論に関する研究は、異なる方向から同様の方法論的結論に至った。その研究者たちは、単一の測定ソースでは全てのアドレス活動を明らかにできないため、異種のアクティブおよびパッシブデータセットを組み合わせた。その研究は推論を改善したが、推論を権原裁定に変えたわけではない。測定は不確実性を狭められる。測定されている法的・運用状態が何かを問う必要性を取り除くわけではない。

したがって語彙が重要である。「未アナウンス（Unannounced）」は、選択された BGP 観測に経路が含まれなかったことを意味すべきである。「無応答（Unresponsive）」は、選択されたプローブが応答を引き起こさなかったことを意味すべきである。「未割当（Unassigned）」は、適切な記録から確立されたアドレス管理の事実を記述すべきである。「不要（Unneeded）」は将来の要件と代替手段に関する判断である。「放棄（Abandoned）」は意図または行為についての主張である。「回収可能（Recoverable）」は、準拠するポリシー、契約または法律の下での結論である。追加の証拠なしに最初の用語から最後の用語へ移行することは保全ではない。それはカテゴリーエラーである。

希少性が待つことの価格を変えた

2010年以降の期間は重要である。IPv4 ブロックの交換コストがその頃に急変したからだ。Number Resource Organization（NRO）は、IANA の中央フリープールが 2011 年 2 月 3 日に枯渇したと記録している。ちょうど最後の 5 つの /8 ブロックが 5 つの RIR に割り当てられた時である。地域的な枯渇は異なるスケジュールで続いた。ARIN は自身のフリープールが 2015 年 9 月 24 日に枯渇し、現在はほとんどの通常需要を移転、待機リスト、限定的な予備プール、または IPv6 へ向かわせている。

希少化以前は、余剰アドレスを解放するかどうかを検討していた事業者は、もし成長が戻れば後日それ以降のポリシーの下でさらに要求できると合理的に期待できた。希少化後は、再取得には交渉による移転、仲介、法的精査、レジストリ承認、再番号付け、レピュテーションチェック、不確かなタイミングが必要になり得る。保有者は単にアドレスを手放しただけでなく、再現するのに高くつくかもしれない将来の選択肢を失ったのである。

これがオプション価値の源泉である。リアルオプションは、将来が不確かで、決定が遅延でき、解放の巻き戻しコストが有意である場合に有用である。クリーンなプレフィックスを保持する事業者は、後でそれをアナウンスする、分割する、新しい地域で展開する、顧客を移動させる、軽減中に使用する、適用ルールの範囲内でリースする、または移転することを選択できる。ブロックを解放すると、これらの選択肢の一部または全部が消滅する。

希少性だけで全ての選択肢が価値あるものになるわけではない。もっともらしい事業目的のない /12 は、アドレスが高価だからといって正当化されない。実行可能な行使経路、所有者、トリガー、レビュー日付を持たないオプションは、後付けの話であるかもしれない。分析は特定のブロックを特定の不確実性と信頼に足るアクションに結びつけなければならない。

正しい経済的質問は、「このプレフィックスは売れるか？」ではない。ほとんどいかなる移転可能な希少資産にも価格がつきうる。そうではなく、「もし事業者が今このプレフィックスを解放し、後で当該の必要性に直面した場合、どのようなサービス喪失、移行コスト、または拡大断念に直面するか？」である。答えは大きいことも小さいこともゼロであることもある。それは事業者のアーキテクチャとそのブロックの代替可能性に依存する。

正当化されたアイドル予備の世界的な分母を提供する公開情報源は存在しない。BGP データセットは観測された経路を数えるが、取締役会承認のコンティンジェンシープランではない。RIR 移転リストは承認された変更を記録するが、ブロックを保持するあらゆる決定を記録するわけではない。事業者が完全な IP アドレス管理システム、災害復旧テスト、将来の顧客予測を公開することは稀である。クラウドプロバイダーはサポートされる機能を説明するが、顧客の予備目録は説明しない。表明された未経路空間のある割合が無駄、保険、または投機であるという主張は、現在公開記録が提供していない定義と証拠を必要とする。

外からは同一に見える四つの状態

火曜日の午後、いずれも公共ルーティングテーブルに可視ではない、四つの /20 プレフィックスを想像してほしい。

一つ目は、軽減ネットワークとのオンボーディングを完了したプロバイダーに属する。経路認可、権限書、トンネル、ランブックが整っている。ボリューム型攻撃の際には、プロバイダーは通常経路を引き下げ、軽減ネットワークにそのプレフィックスをアナウンスするよう指示できる。そのブロックは当該事業者のエッジでは静かである。なぜなら、その価値はテスト済みの応答経路にあるからだ。

二つ目は、新しい地域展開に割り当てられている。ハードウェアは発注済みで、二つの顧客契約が締結され、サブネット計画が承認され、クラウドプロバイダーが検証を完了しつつある。告知されたサービス開始日は三ヶ月後である。プレフィックスはまだトラフィックを生成していないが、それを解放すれば、コミットされた構築が頓挫するだろう。

三つ目は、再番号付けプログラムの一部である。新旧アドレスは共存しなければならない。DNS の TTL が低下し、アクセスリストが変更され、パートナーが新しいエンドポイントを許可し、証明書やライセンスが更新され、顧客デバイスが交換される間である。そのブロックはカットオーバー前やトラフィック排出後はほとんど静かかもしれない。にもかかわらずロールバックに不可欠である。

四つ目は数年前に割り当てられた。保有者は現在の割り当て、承認されたプロジェクト、顧客依存、テスト、予算、経路計画、決定日を特定できない。経営陣はそのアドレスがいつか役立つかもしれず、価値が上がったことだけを知っている。これは放出、リース、または移転の最有力候補である。

スナップショットは四つすべてをアイドルとラベル付けする。監査はそれらを異なってラベル付けすべきだ：コンティンジェンシー予備、コミットされた成長、移行オーバーラップ、裏付けのない在庫。この区別は、レジストリがネットワークを運用することを要求しない。保有者が主張に比例した証拠を提出することを要求する。

これはまた、単純な利用率パーセンテージが誤解を招き得る理由でもある。最初のプロバイダーが、緊急サービスがそのルーティング単位のみ受け付けるために一つの集約可能な /20 を予備している場合、設定されたインタフェースを数えるとほぼゼロ使用と示すかもしれない。ブロックを通常顧客に断片化すれば、名目上の比率は上がるかもしれないが、コンティンジェンシー設計を破壊する。逆に、オペレーターは有意義な需要を創出することなく割当記録を水増しできる。効率的な管理は、表面的な占有ではなく、サービス機能と実行可能な最小単位に従う。

災害復旧は経路を切り替える権利である

運用上の回復力は、しばしば通常状態では意図的に非アクティブなリソースに依存する。予備発電機は通常の日に電力を生成しないからといって無駄ではない。第二データセンターは、トラフィックが通常第一を選好するからといって無価値ではない。関連するテストは、準備状況、必要性、比例性である。

IPv4 予備も同じ役割を果たしうる。オペレーターは、顧客向けアドレスを変更することなく、軽減プロバイダー、代替キャリア、復旧地域、または代替プラットフォームに移動できる安定したブロックを必要とするかもしれない。プレフィックスは経路が変わっても同一性を保持する。これにより、緊急 DNS 変更、キャッシュポイズニング、パートナーの許可リスト障害、アドレスに紐付いた証明書やアプリケーション依存を回避できる。

Cloudflare の Magic Transit オンデマンド資料は具体的なメカニズムを提供する。攻撃中のプレフィックスアナウンス有効化と、インシデント後の無効化について説明している。同社の動的広告資料は、顧客が API やダッシュボードを通じてプレフィックスを広告または撤回できることを別途説明している。撤回されたプレフィックスは、顧客がそれを忘れた証拠ではない。このサービス設計内では、撤回は意図された通常状態であり得る。

AWS は Bring Your Own IP（BYOIP）に関する関連移行能力を文書化している。オペレーターは、範囲が広告される前にアドレスを使用するように AWS リソースを設定し、その後既存ロケーションからの広告を停止して AWS を通じて広告を開始できる。Google Cloud の推奨するリージョナル BYOIP モードも同様に、プロビジョニングとアナウンスを分離し、顧客がいつアナウンスまたは撤回するかを決定すると述べている。これらは一次資料のサービス説明である。主要プラットフォームがプロビジョニング済みだが未アナウンスの状態を意図的にモデル化していることを証明している。

それらは、すべての不在経路がそのような設計に属することを証明するものではない。その機能を利用している顧客数、フェイルオーバーの成功率、予備されたままの空間の量、特定の保持者がテストを完了したかどうかを開示していない。災害復旧を主張する保持者は、したがって、プロダクトページへのリンク以上のものを提示すべきである。

防御可能なエビデンスパックは、保護対象サービス、プレフィックス、プライマリおよび代替オリジン、権限書、RPKI 計画、トンネルまたは相互接続状態、有効化権限、予想伝播時間、最終テスト、およびロールバック方法を特定するだろう。通常運用時にプレフィックスがどこからも撤回されているのか、プライマリサイトからアナウンスされているのかを明記するだろう。より小さいブロックの使用を妨げる依存関係を記録するだろう。

計画には障害モデルも必要である。経路伝播に数分かかり、サービス目標が秒単位を要求する場合、プレフィックスは主張される保護を提供できないかもしれない。RPKI 経路オリジン認可（ROA）が通常の ASN のみをカバーしている場合、緊急アナウンスは無効となり得る。軽減プロバイダーが /24 以上の IPv4 経路のみ受け付ける場合、より長い断片で構成された予備は全球的に使用できないかもしれない。オプション価値は、これらの制約の後で測定されるのであって、前ではない。

成長予備は時間を稼ぐが、予測は期限切れになる

成長は別のオプションを生む。加入者、地域、サービス、または買収対象を追加するネットワークは、すべてのエンドポイントが存在する前に連続したアドレス空間を必要とするかもしれない。容量計画は本質的に需要に先行する。ポリシーが今日アクティブなアドレスのみを認識するならば、事業者は明日の顧客に先んじて構築することが決してできないだろう。

RIR ルールは歴史的に計画的利用を認識してきた。ARIN の現行 NRPM は、組織が直近および予測される要件を実証する状況を含んでおり、一部の追加要求では既存保有の利用状況を基準として使用する。APNIC のリソースポリシーは、要求が直近および予測される将来の必要性に基づく見積もりで裏付けられなければならないとし、公開された資格ガイダンスは、初回 IPv4 申請者に対して要求したブロックを 1 年以内に使用する詳細計画を示すよう求めている。RIPE 移転ポリシーもまた、ニーズベースのポリシーを要求する地域からの移転について、将来を見据えたテストを保持している。受取人は 5 年以内に少なくとも半分の使用計画を提示する。

これらのルールは範囲が異なり、一つのグローバルしきい値に統合すべきではない。フリープールまたは予備プールからの初回要求は、既存保有の移転と同一ではない。歴史的リソースは、最近の割り当てとは異なる契約上取扱いを受ける可能性がある。追加アドレス空間の資格を決定するために使用されるルールが、しきい値以下のすべてを没収する継続的権限に自動的になるわけではない。

共通の論理はより狭い：将来の需要は、それがテストできるほど詳細である場合に正当であり得る。成長予備は、サービス予測、顧客コミットメント、サイトスケジュール、買収計画、または移行アーキテクチャに結びついているべきである。保持者は、既存の空き容量、IPv6、キャリアグレード NAT、リース、または後日の移転が、合理的なリスクで同じニーズを満たせない理由を説明すべきである。

予測は劣化する。2022 年に 2023 年の開始に向けて承認された計画は、その開始が決して起こらなかった場合、2026 年において十分な証拠であり続けることはできない。事業者は、確率、予定日、ブロックサイズを更新すべきである。プロジェクトがキャンセルされれば、予備はポートフォリオ決定キューに戻る。需要がより遅く到達するならば、ブロックの一部は集約を犠牲にすることなく解放可能かもしれない。

ここにおいてオプションの用語は、保持を言い訳するよりも規律づけることができる。金融オプションは前提条件が変わると期限切れになるか価値が低下する。運用予備もまたレビューポイントと放棄トリガーを持つべきである。オプションが価値あるのは、経営陣が選択できるからである。責任ある経営陣は実際にその選択を再検討しなければならない。

移行は重複を必要とし、即時の純粋さではない

再番号付けはしばしばデータベース編集であるかのように議論される。ライブネットワークではそれは依存関係の連鎖である。サーバーには新しいインターフェースが必要である。ファイアウォールとアクセス制御リストには新旧両方の値が必要である。パートナーは手動の許可リストを持っているかもしれない。DNS レコードは変更され、キャッシュはエージングを経なければならない。監視、ジオロケーション、迷惑行為連絡先、逆引き DNS、RPKI オブジェクト、経路フィルタに更新が必要かもしれない。顧客装置は事業者の直接制御外かもしれない。

その間、明らかにアイドルな空間がカットオーバーのどちら側にも座ることができる。宛先プレフィックスは、トラフィックが移動する前にステージングで設定され、RPKI で認可され、上流に受け入れられているかもしれない。ソースプレフィックスは、主要なフローが去った後でも、アナウンスされ続けたりロールバックの準備ができていたりするかもしれない。いずれの状態も永続的な生産的占有ではない。いずれも移行リスクを低減し得る。

AWS の BYOIP ガイダンスはその順序を具体化している：広告前にリソースを設定し、その後一箇所からの撤回と別の箇所からの広告を調整してダウンタイムを最小化する。この指示は移行の一般法則ではないが、ポイントインタイムの利用状況の欠陥を露呈する。準備はトラフィックが現れる前に価値がある。

RFC 1918 はより深い歴史的注意喚起を提供する。それはグローバルに一意な空間の節約のためにプライベートアドレス空間を推奨したが、同時にプライベートとパブリックの配置間の変更が高価な再番号付けを課し得ると警告した。したがってプライベートアドレスはトレードオフを伴う代替手段であり、すべての企業が結果なしにパブリック空間を引き渡せるという証拠ではない。

移行予備はマイルストンによって境界を定められるべきである：設計完了、宛先検証済み、デュアルランニング開始、顧客カットオーバー率、ロールバックウィンドウ、旧経路引き下げ、最終処分。遅延には理由を伴うべきである。監査は、重複が依然として必要かどうか、そしてプレフィックス全体が（より小さい部分ではなく）必要かどうかを問うべきである。

永続的な「移行」は防御可能なカテゴリーではない。同じプロジェクトがエンジニアリング作業、予算、または依存関係の低減なしに年々現れるならば、そのオプション価値はゼロに向かって割り引かれるべきである。保持者は、契約とポリシーが許す場合に投資目的で資産を保持することを選択できるが、その選択を差し迫った運用上の使用と誤って記述すべきではない。

ブロックは完全には分割可能ではない

アドレスを個別に数える監査は、技術的に破壊的な最適化を推奨し得る。ルーティング、フィルタリング、レジストリ慣行はプレフィックス単位で機能する。グローバルに持ち運び可能な最小単位は一つのアドレスよりはるかに大きいかもしれず、ポリシーやカウンターパーティーが最小移転またはアナウンスサイズを課す可能性がある。評判と集約もまた、孤立したエンドポイントだけでなくブロックに紐付く。

ある事業者が復旧サービスのために 128 アドレスを必要としていると仮定しよう。算術的には /24 の半分が示唆される。グローバルルーティング慣行は、多くのネットワークが /24 より長い経路をフィルタリングするため、/25 を信頼できないものにするかもしれない。事業者は信頼できるフェイルオーバー経路を保持するために /24 全体を必要とするかもしれない。未使用の半分は自動的に無駄ではない。それは使用可能な半分を得るために不可分なコストであるかもしれない。

同じ効果が成長にも現れる。/20 は /24 に分割できるが、交互の断片を売却すると、集約、管理、移転がより難しいポートフォリオが残り得る。顧客のジオロケーションと評判履歴は断片間で異なり得る。RPKI と経路オブジェクトがそれに追随しなければならない。利用状況レビューは合理的な細分化をテストすべきであるが、取引コストと運用コストを含めるべきである。

これは任意の大きなカバーブロックを保持することを正当化しない。一つの /24 サービスをサポートするために /16 予備が存在し、残りがクリーンに分離できるならば、立証責任は保持者に移る。正しい単位は、文書化された機能を許容可能なリスクで保持する最小のプレフィックスセットである。

したがってオプション価値は塊状になり得る。追加の一アドレスが、ルーティング単位全体を保持することを要求するかもしれない。クリーンな監査は、その不可分性をパーセンテージの内側に隠すことなく明示的に記録する。

レジストリポリシーは異なる時に異なる質問に答える

議論は、三つの時点が一つとして扱われると混乱する：アドレスの受領、より多くのアドレスの要求、既に登録されたアドレスの保持である。

受領時、RIR は申請者が現行ポリシーを満たすかどうか問うかもしれない。APNIC の移転条件は、未使用または過剰な IPv4 空間の受取人に対して詳細な使用計画の提供を要求する。ARIN は指定受取人移転を NRPM の下で評価する。これらは入口条件である。

より多くを要求するとき、事業者は以前の保有の使用を実証する必要があるかもしれない。ARIN の NRPM は、関連する場合において、組織が現在割り当てられている空間の 80 パーセントの利用状況を実証することで追加 IPv4 ブロックの資格を得られると述べている。APNIC は、保持者がより多くを要求する際に歴史的 IPv4 空間の利用状況が考慮されると述べている。これらのルールは、申請者が希少な追加を求めながら利用可能な在庫を無視することを防ぐ。

保持は別物である。ARIN の登録サービス契約（RSA）バージョン 14.0 は、ARIN には同契約に基づき保有者による利用不足を理由に含まれる番号リソースを取消す権利がないと述べている。この条項は詐欺、不払い、違法行為、または契約外のあらゆるリソースを免責するものではない。これは、割り当てしきい値を普遍的な継続的没収ルールに変換できない理由を実証する。

RIPE の移転ポリシーは別のモデルを提示する。正当な保持者が完全または部分的なブロックを移転することを認め、特定の制限を課し、移転がデータベースに反映されることを要求し、承認された移転情報を公開する。このポリシーは BGP の沈黙から無駄を推測しようとはしない。

これらの例は、制度的解釈のルールを支持する：保持請求を行う前に、正確なポリシー、契約、リソースステータス、取引、日付を特定すること。「RIR は利用を要求する」は広すぎる。ある地域の新規要求テストは別の地域の取消権限ではない。現行契約のない歴史的ブロックは、必ずしも最近の待機リスト割当と同様に統治されるわけではない。

保全は正当であり続ける。レジストリ記録は正確でなければならず、申請者は虚偽の予測によって希少な新規アドレスを入手すべきではなく、ポリシーで定義された返還条件は尊重されるべきである。しかし保全は、明確な事前ルールとレビュー可能な事実に結びついているときに最も強力であり、ルーティングスナップショットが不文の権力になるときではない。

真剣な利用状況レビューは七層を持つ

第一層はアイデンティティである。正確なプレフィックス、登録された保持者、リソースステータス、準拠する契約、移転履歴、関連組織を確認する。そのブロックを運用しているエンティティが保持者、関連会社、顧客、リース先、またはサービスプロバイダーのいずれであるかを解決する。見かけ上のアイドル資産が、正当な取り決めの下で別のエンティティをサポートしているかもしれないし、陳腐化した記録を持つ解散した企業の中に座っているかもしれない。

第二はルーティングである。一つの現行テーブルではなく、定義された期間にわたって複数の BGP コレクターを調査する。カバー経路およびより詳細なアナウンス、オリジン ASN、撤回、経路漏洩、可視性の違いを記録する。コレクターと日付を明示する。BGP の証拠は再現可能であり、観察として記述されるべきである。

第三はアドレス管理である。IPAM 割り当て、DHCP または加入者プール、NAT ゲートウェイ、仮想サービス、逆引き DNS、内部経路、および適用可能な場合には顧客記録をレビューする。機密性の高い詳細は集約されるか、秘密保持下で精査されうる。目的は、公共経路の不在を技術的な不使用から区別することである。

第四は目的である。予備の各セグメントを、災害復旧、コミットされた成長、移行、契約上の義務、技術的隔離、売却在庫、または裏付けのない保持のいずれかに分類する。カテゴリーは監査人単独で選択されるべきではない。保持者が主張と証拠を提供し、レビュアーがそれをテストする。

第五は準備状況である。コンティンジェンシーブロックについては、経路、ROA、権限書、トンネル、ランブックが機能するかテストする。成長については、マイルストン、予算、依存関係を精査する。移行については、デュアルランニングとカットオーバータスクを検証する。理論的には価値あるが行使できないオプションは、運用上の保護ではない。

第六は比例性である。予備サイズを、最小限の実行可能なルーティングおよびサービス単位と比較する。代替空間、IPv6、変換、リース、後の取得を調査するが、切り替え遅延、断片化、評判、再番号付けコストを含める。監査は、最も安価な代替手段が即座に運用上等価であると仮定すべきではない。

第七は処分である。すべての予備は次のレビュー日付と成果ルールを受け取る：保持、削減、有効化、リース、移転、該当する場合の返還、または調査。決定経路のないレビューは、書類演劇になる。

この構造は、レビュアーがネットワークを運用するふりをすることなく要求厳しくすることを可能にする。また一貫性も創出する。災害復旧の同じ主張をする二人の保持者は、アーキテクチャが異なっていても、同等の証拠を求められるべきである。

証拠はネットワークを露出することなく強固であるべきだ

事業者は詳細な災害復旧アーキテクチャの公開に合理的に抵抗する。プレフィックス、フェイルオーバープロバイダー、有効化連絡先、トンネルエンドポイント、顧客スケジュールはセキュリティ上機密であり得る。良い監査は、すべての裏付け事実を公開 WHOIS や移転リストに押し込むことを強制しない。

証拠モデルは、公開される結論を保護された裏付けから分離できる。公開記録は、特定のプレフィックスが期限付きのコンティンジェンシー予備として保持され、表明された日にレビューされ、将来のレビュー日があると述べ得る。機密別添には図、テスト、契約、連絡先情報が含まれ得る。独立したレビュアーは、証拠が公開された標準を満たしたことを、露出することなく証明できる。

暗号ハッシュは日付付き文書の完全性を保持できるが、ハッシュは文書の真実性を証明しない。RPKI は保持者がオリジンを認可したことを示せるが、ROA は顧客予測や取締役会決定を示さない。レジストリ記録は認識された保持者を示せるが、あらゆるリースや内部割り当てを明らかにしない。各証拠タイプは限られた質問に答える。

保持者にはまた、誤りを訂正する権利があるべきである。BGP 測定は経路を見逃し得る。企業記録は合併に遅れを取り得る。レビュアーはプライベート展開を誤解し得る。不利な決定の前に、事業者は観測された事実、適用されるルール、応答する合理的機会を受け取るべきである。結果として重要な決定が残る場合、独立した上訴またはその他のレビュー経路があるべきである。

手続き的保護は、際限のない遅延の言い訳ではない。タイムラインは固定できる。証拠要求は標準化できる。緊急措置は詐欺やライブのセキュリティ問題に対処できる。重要な点は、希少性が調査と結論の間の差異を消し去らないということである。

RPKI は準備を明らかにし、消費ではない

RPKI が関連するのは、アイドルプレフィックスが迅速にルーティング可能になる必要があるかもしれないからである。経路オリジン認可（ROA）は、ASN が指定されたプレフィックス長をオリジネートすることを許可し得る。緊急準備を主張しながら実行可能な認可経路を持たない事業者は、その予備の価値を誇張しているかもしれない。

しかし、ROA ステータスは利用状況ではない。有効な ROA は、アナウンスされていないプレフィックスに対して存在し得る。プレフィックスは ROA なしにアナウンスされ、NotFound として現れ Invalid ではないかもしれない。広範な ROA は、決して現れないより多くの詳細経路を認可し得る。経路が引き下げられた後に ROA を撤回するのは賢明であり得るが、将来の計画には新しいものが必要かもしれない。

監査はしたがって、RPKI 設定が主張されたオプションと一致するかどうかを問うべきである。通常のアクティブ-アクティブサービスの場合、認可されたオリジンは意図された経路を反映すべきである。オンデマンド軽減の場合、通常および緊急オリジン計画は偶発的な無効を回避すべきである。移行の場合、重複する認可が一時的に必要かもしれず、カットオーバー後に削除されるべきである。

クラウドおよび軽減プロバイダーは、しばしばオンボーディング中にレジストリ検証、ROA、または権限書を要求する。これらのステップの完了は、有効化が実行可能であるという証拠である。それは依然としてプロバイダーの証拠であり、ブロックサイズ全体が必要であること、または計画がテストされたことの証明ではない。

RPKI はまた、退出義務を課す。プレフィックスが移転される際、古い認可と経路オブジェクトは無期限に存続すべきではない。アイドル空間を保持する保持者は、非アクティブを衛生からの自由と扱うのではなく、そのセキュリティ状態を維持すべきである。オプション価値はクリーンな行使能力に依存する。陳腐化した認可はその価値を低下させ、他者に対するリスクを創出し得る。

オプションは市場レートを発明せずに評価できる

あらゆる予備に対して防御可能なドル価値を生み出す単一の公式はない。入力は非公開で不確かである。実用的な決定は依然として構造化され得る。

行使シナリオから始めよ。レビュー期間中の攻撃、地域的開始、買収、または強制移行の確率範囲を見積もれ。推測を正確なパーセンテージに偽装するな。低位、ベース、高位のシナリオは小数点以下の数字よりも正直であり得る。

次に、事業者がブロックを欠いた場合の結果を見積もる：サービスのダウンタイム、緊急移転の遅延、顧客離れ、再番号付けの労力、新規ハードウェア、契約違約金、失われた拡大。プレフィックスが実際に回避するコストを、変更できない一般的なインシデントコストから分離する。

次に保有コストを見積もる：レジストリ料金、内部統制、セキュリティ保守、放棄された売却収入、資金調達コスト、市場下落リスク。リースまたは移転の機会は、それがポリシーと契約の下で現実的に利用可能である場合にのみ含める。

最後に代替手段をテストする。IPv6 が必要性を取り除けるか？オンデマンドリースが同等のクリーンな空間を迅速に供給できるか？より小さなプレフィックスが機能するか？DNS ベースのフェイルオーバーがアドレス可搬性を代替できるか？プロバイダーがアドレスを保持することなく契約上容量を予約できるか？各代替手段はオプションの増分価値を変化させる。

結果は決定範囲であり、普遍的なベンチマークではない。ハードコードされたパートナー許可リストを持つ規制された決済ネットワークは、管理された CDN の背後にある短命のウェブキャンペーンよりも、より多くの継続性容量を合理的に保持するかもしれない。比較は、無関係な事業間ではなく、保持者の実現可能な代替手段の間で行われるべきである。

公開移転価格は機会費用を知らせ得るが、不完全である。ブローカー見積は実行価格よりアスクを反映し得る。レジストリログは全対価、リースバック、評判割引、または取引費用を開示しない。アイドル運用予備のためのグローバルな収益率は利用可能ではない。ブロックごとに発明された一つのアドレス当たり利回りを適用するレビューは、偽りの精密さを生み出すだろう。

三つの具体的事例判断

ある地域 ISP が /18 を保持しているとする。現行加入者のために /19 をアナウンスし、第二市場のために残りの /19 を保持している。成長計画にはライセンス、ファイバー契約、機器予算があるが、開始は二度延期されている。監査は直ちにその予備を無駄と呼ぶべきではない。新しい開始日、コミットされた支出、加入者予測、最小ルーティング単位を比較すべきである。計画が依然として資金提供され近い将来であれば、保持は比例しているかもしれない。市場参入が放棄されているならば、トリガーのない /19 サイズのオプションは移転、リース、またはより小さい予備に向かうべきである。

あるクラウド事業者が、/24 をオンデマンド DDoS プロバイダーにオンボーディングしたとする。プレフィックスは通常は当該事業者からアナウンスされており、グローバルに不在ではなく、軽減プロバイダーの経路は撤回されている。当該事業者の経路を見るコレクターはその空間をアクティブと呼び、軽減ネットワークに焦点を当てたコレクターはその経路をアイドルと呼ぶかもしれない。監査は代替アナウンス、ROA、テスト履歴を評価すべきであり、同じアドレスを二重に数えるべきではない。

今度は、レガシー /16 を保持し、買収用に予備されていると述べる企業を考えてみる。10 年間一件も買収を完了しておらず、ターゲットクラスを挙げられず、内部的に RFC 1918 を使用しており、パブリックアドレスを要求する統合テンプレートを持っていない。オプションは多岐だが弱い。希少性と仮想的な M&A が、65,536 アドレスの運用上の必要性を確立するわけではない。企業はそのブロックを保持する契約上の自由を持っているかもしれないが、正直な利用状況報告は、その大部分を災害復旧ではなく裏付けのない戦略的在庫として分類すべきである。

これらの事例は、結果が没収である必要がない理由を示す。監査は、いかなる権限も解放を強制できない場合でも、決定を改善できる。取締役会、貸し手、会員、将来の買い手は、価値が運用的か、投機的か、混合かを知ることで利益を得る。透明な分類は、監査人を主権者に変えることなく、自発的な移転につながり得る。

退蔵に対する防護柵

オプション価値の主張は、すべての保持者がテスト不能な未来を引き合いに出せれば失敗するだろう。五つの防護柵がその概念を制約する。

第一に、具体性。保持者はブロック、目的、トリガー、責任ある意思決定者を特定する。「将来の必要」だけでは不十分である。

第二に、実現可能性。行使に必要な技術的、契約的、セキュリティ上のステップが既知であり、実質的に準備されている。不可能な経路や利用不能なサービスを要求する計画には、現在の運用価値はない。

第三に、比例性。予備サイズは、実行可能な最小単位に正当化されたマージンを加えたものを反映する。集約は関連するが絶対的ではない。

第四に、時間。すべての主張はマイルストンとレビュー日時を持つ。遅延は証拠負担を変化させる。

第五に、代替手段。保持者は、要求時移転、リース、IPv6、NAT、プロバイダープール、またはより小さいブロックが、許容できないリスクに晒す理由を説明する。その説明は、価格や確率が利用不能な場合には定性的であり得るが、具体的でなければならない。

これらの防護柵はまた、正当な保持者を保護する。標準が公開されていれば、事業者は事前にどの証拠が説得力があるかを知ることができる。要員がコンティンジェンシー能力を道徳的に許容可能と見做すかどうかを推測する必要はない。薄く客観的なレビューは、全く精査されないことと無限の裁量の双方よりも優れている。

番号資源社会が追加できること

番号資源社会（NRS）は、公共的には、保持者の権利、事業保護、インターネット番号ポリシーへの参加に焦点を当てた会員組織として自身を提示している。より最近の事業継続性に関する資料は、安定した番号リソース認識が顧客と収益にとって重要であると論じている。この強調はここで有用である：IPv4 予備は、死んだデータベース行としてではなく、運用システムの一部として評価されるべきである。

NRS は、オプションの運用予備プロファイルを公開することで、貢献を実用的にできる。そのプロファイルには、プレフィックス範囲、予備クラス、証拠日付、次回レビュー、最小実行可能単位、RPKI 準備状況、機密証拠保管者、処分トリガーを含めることができる。それにより「未アナウンス」が黙示のうちに「放棄」にならないように用語を定義できる。

また、匿名化された事例パターンを公開することもできる。すなわち、テスト済み攻撃軽減、遅延している地域構築、完了した再番号付け、裏付けのない無期限保持などである。そのような例は、事業者とレジストリが、ネットワークを開示したり普及率を主張したりすることなく、推論を比較する助けとなるだろう。

境界は不可欠である。NRS の FAQ、憲章、ウェブサイトは第一者の提唱である。それらは、独立した中立性、法的権限、監査済み予備人口、または配備された認証体制を確立しない。NRS は、プレフィックスを法的に所有していると宣言したり、RIR 更新を強制したり、移転を承認したり、資産を評価したり、災害計画が機能すると認証したりすべきではない。その最も強い役割は、証拠、語彙、手続き上の期待を改善することである。

したがって、積極的な NRS のアジェンダは、権利と保守を対にするだろう。永続的な承認を求める保持者は、連絡先データを最新に保ち、RPKI およびレジストリアクセスを保護し、権限を文書化し、予備をレビューし、期限切れになった主張を解放すべきである。保持者保護は、観察可能な管理義務を含むときに、より信頼できるものとなる。

より良いポリシー質問

アイドル IPv4 を巡る議論は、しばしば間違った質問から始まる：「なぜ誰もが未使用アドレスを保持することを許されるべきなのか？」その言葉遣いは決定的な事実を前提としている。

より良い順序は：何が観測されたのか？どのようなタイプの使用または予備が主張されているのか？この保持者とブロックを統治するのはどのルールか？主張を裏付ける証拠は何か？ブロックサイズは比例的か？その主張はいつレビューされるのか？証拠が不十分な場合、どのような救済が続くのか？

この順序は希少性と継続性の両方に対応する。漠然とした予測に基づく新しい希少空間への永続的権利を拒否する。また、一つの公共ルーティングスナップショットに基づく自動没収も拒否する。それは、RIR にあらゆる事業戦略を判断するよう求めることなく、自発的な市場解放、より強い要求レビュー、正確な登録を支援し得る。

ポリシー設計は、入口、拡大、保持を区別しておくべきである。新規割り当てとニーズベース移転には使用計画を要求できる。より多くの空間の要求は以前の在庫を精査できる。既存保有は、実際の契約と定義された取消理由によって統治され得る。自発的監査は、強制的回収が利用不能である場合でも、裏付けのない保有を分類できる。

最も重要なのは、設計が真実を報奨すべきだということである。ある事業者が、ライブトラフィックを運んでいるふりをするのではなく、ブロックが戦略的在庫であることを認められるならば、記録はより有用になる。一時的な沈黙が放棄を証明するという恐れなしに正当な移行を文書化できるならば、エンジニアリングはより安全になる。カテゴリーが現実に一致するとき、ガバナンスは改善する。

行使を注視せよ、待つことだけではなく

今後数年にわたり、最も有用な証拠は結果から来るだろう。攻撃が発生したときにオンデマンドプレフィックスは有効化されたか？計画された地域は開始したか？移行はスケジュール通りに古いブロックを退役させたか？削減された予備は十分だったか？自発的に解放された空間は新たな事業者に届いたか？レジストリ記録と RPKI オブジェクトは移転後にクリーンに更新されたか？

それらの質問は、カテゴリーが一貫して記録される場合にのみ、時間をかけて分母を生み出すことができる。今日の公開データは、どれだけの未経路プレフィックスがテスト済み計画によって裏付けられ、どれだけの計画が期限切れになり、どれだけのブロックが使用に戻るかを明らかにしない。その空白を埋めるためにいかなる率も発明されるべきではない。

したがってアイドルプレフィックスは無罪でも有罪でもない。それは未解決の状態である。時には、障害を通じてビジネスを維持する高価なスペアキーである。時には、顧客に向かって移動している容量である。時には、旧ネットワークと新ネットワークの間の橋である。時には、単にその保持者が売却を好まない資産である。

利用状況レビューの任務は、それらの選択肢を一つの道徳的ラベルに押し潰すことではない。どの主張が裏付けられているか、どのオプションが依然として行使可能か、どの話が証拠よりも長生きしたかを特定することである。それは BGP の沈黙よりも厳格な基準であり、かつより公正なものである。

情報源