요약

  • AFRINIC가 호스팅하는 Routinator 인터페이스는 BGP에서 출발 ASN을 조회한 뒤, 그 결과로 얻어진 프리픽스–ASN 쌍을 RPKI로 검증할 수 있다. 이는 단일 조회가 아니라 복합 관측이다.
  • 고정된 공개 예시에서 검색 응답은riswhois를 표시하고196.216.2.0/23에 대해AS33764를 선택해 정확 일치로 표기했지만 BGP 스냅샷 시각은 반환하지 않았다. 유효성 응답은valid와generatedTime을 반환했으나 BGP 출처나 관측 시각은 포함하지 않았다.
  • 인터페이스는 별도로 RPKI, BGP, RIR 할당 피드의 신선도를 게시한다. 문제는 신선도가 감춰진 것이 아니라, 하나의 조회 결과가 그 결과를 만든 출처 스냅샷을 결합하지 않는다는 점이다.
  • AFRINIC은 간결한 복합 검증 영수증을 제공해야 한다: 요청된 입력, 조회 모드, 선택된 BGP 튜플과 스냅샷, Routinator 버전 및 시리얼, VRP 결과, 응답 시각, 다이제스트. 이는 진단 판단을 기록하되 라우팅 정책을 지시하지는 않는다.

편리한 체크박스가 증명 대상을 바꾼다

대부분의 경로 출처 검사는 프리픽스와 자율 시스템 번호라는 쌍에서 시작한다. 그 쌍은 검증된 RPKI 페이로드와 비교된다. AFRINIC의 공개 Routinator 인터페이스는 유용한 지름길을 제공한다. 사용자는 프리픽스를 입력하고 "BGP에서 발견된 ASN에 대해 프리픽스 검증"을 활성화해 애플리케이션이 출발 ASN을 찾도록 할 수 있다. 인터페이스는 또한 그 출처가 정확한 BGP 프리픽스 일치에서 오는지, 최장 일치 프리픽스에서 오는지 선택할 수 있게 한다.

이 편의는 실제다. 전사(轉寫)를 없애고, 탐색적 진단을 빠르게 하며, 주소 블록은 알지만 현재 관측된 출처를 모르는 사용자를 돕는다. AFRINIC의 자원 인증 페이지는 독자를 검증기로 안내하고, 호스팅된 인터페이스는 자신을 프리픽스 검사를 수행하고 마지막 검증 실행을 살펴보는 곳으로 소개한다. NLnet Labs의 문서도 같은 사용자 인터페이스 역할을 기술한다. 여기에 본질적으로 의심스러운 것은 아무것도 없다.

그러나 체크박스는 증거 대상을 바꾼다. 사용자가 프리픽스와 ASN을 모두 제공하면 검사기는 주장된 튜플을 평가한다. 애플리케이션이 ASN을 제공하면 먼저 BGP에 대한 관측을 수행하고, 매칭 규칙에 따라 튜플을 선택한 뒤에야 RPKI 검증기에 상태를 요청한다. "Valid"는 두 작업의 최종 레이블이다:

  1. BGP 출처가 제공한 경로 출처 쌍이 무엇인지;
  2. 현재 검증된 RPKI 페이로드 집합이 그 쌍에 대해 무엇이라고 했는지.

이 작업들은 서로 다른 데이터 소유자, 갱신 주기, 실패 양상을 갖는다. RPKI 집합이 고정된 채 경로 컬렉터가 바뀔 수 있다. BGP 관측이 고정된 채 ROA가 바뀔 수 있다. 정확 일치 제어와 최장 프리픽스 제어는 서로 다른 선택 튜플을 낳을 수 있다. 나중에 찍힌 초록색 결과 스크린샷은 그 출처가 결과에 담기지 않는 한, 어떤 사실이 움직였는지 밝힐 수 없다.

라이브 서비스는 이미 대부분의 증거를 노출한다

현행 설계를 옹호하는 가장 강력한 근거는 인터페이스 자체에서 나온다. 데이터 신선도 섹션은 RPKI, BGP, RIR 데이터에 대해 별도의 행을 게시한다. RPKI 상태 엔드포인트는 Routinator 버전, 검증 시리얼, 갱신의 시작·완료 필드, 소요 시간, 신뢰 앵커별 상세 집계를 식별한다. 함께 제공되는 출처 상태 엔드포인트는riswhois를 BGP 출처로 식별하고 시리얼과lastUpdated값을 게시한다. AFRINIC과 다른 RIR들의 할당 피드에 대해서도 동일하게 한다.

검색 결과도 일반적인 웹 응답보다 구조화가 잘 되어 있다. 메타데이터를 출처 유형별로 레이블한다. 고정된 예시에서196.216.2.0/23에 대한 조회는 같은 프리픽스를 반환했다. 하나의 메타데이터 레코드는 AFRINIC 할당 출처를 식별했다. 다른 하나는 BGP 출처인riswhois를 식별하고, 출발 ASN으로AS33764를 제시하며, 관계를exact-match로 표기했다.

이후의 Routinator 요청은AS33764와196.216.2.0/23을 평가했다.valid를 반환하고, 최대 길이 24로196.216.2.0/23을 커버하는AS33764에 대한 매칭 VRP를 보여주며,generatedTime을 포함했다. 이는 유용한 진단 증거다. 비교된 튜플과 그것에 매칭된 인가를 드러낸다. RPKI 상태를 숨기지도, 독자에게 이유를 색으로 추론하도록 요구하지도 않는다.

한계는 더 좁다. BGP 검색 객체에는 자체 피드의lastUpdated값이 없었다. 유효성 객체에는riswhois, 선택된 매칭 규칙, BGP 관측 시각, 할당 스냅샷이 없었다. 사용자는 별도의 상태 엔드포인트를 방문해 그 사실들을 수동으로 결합할 수 있었다. 반환된 조회 결과는 그 결합을 지속 가능하게 만들지 않았다.

이 구분이 중요한 이유는 전역 신선도 행과 조회별 영수증이 서로 다른 질문에 답하기 때문이다. 전역 행은 누군가 조회한 시점 무렵 피드가 마지막으로 갱신된 때를 말한다. 영수증은 어떤 피드 상태, 규칙, 선택된 튜플이 이 결과에 속했는지 말한다. 피드가 스크린샷 이후, 엔지니어가 신선도 페이지를 열기 전에 갱신된다면, 그 페이지는 더 늦은 세계를 기술한다. 조회를 반복하면 새 관측이 만들어질 뿐, 옛 관측을 재구성하지는 못한다.

Valid는 라우팅 지시가 아니다

여기서 절제가 필수적이다. 관측된 결과는 어떤 운영 라우터가 그 경로를 수용했다는 것을 증명하지 않는다. RPKI 출처 검증은 관측된 경로 출처 튜플을 검증된 인가 페이로드와 비교한다.valid상태는 적어도 하나의 커버 VRP가 검증기 규칙 아래에서 프리픽스 길이와 출발 ASN에 매칭된다는 뜻이다. 경로가 짧거나, 안정적이거나, 모든 계약적 의미에서 정당하거나, 누수가 없거나, 로컬 정책이 선호하거나, 운영자가 선택했다는 말은 아니다.

할당 피드도 RPKI 유효성을 결정하지 않는다. 공개 인터페이스에서 그것은 분류와 관련 프리픽스 맥락을 제공한다. 그 맥락은 탐색에 유용할 수 있지만, 할당 레코드, BGP 광고, VRP는 별개의 주장이다. 하나의 화면에 결합한다고 그 권한이 통합되어서는 안 된다.

고정된 조회도 마찬가지로 한정된다. 그것은 어느 하루의 단일 공개 교환의 모양을 보여줄 뿐이다. AFRINIC 자원의 전수조사도, RIPE RIS가 관측한 모든 출처에 대한 주장도, 잘못된 결과의 증거도 아니다. 여기서 장애, 공격, 스테일 경로, 회원 실수, 누락된 비공개 로그가 따르지 않는다.

적절한 주장은 거의 건축적이다: 이 서비스는 결과가 BGP에서 유래한 입력에 의존하도록 허용하면서, 이식 가능한 유효성 레코드는 RPKI 측 생성 시각만 유지한다. 이를 사건으로 만들지 않고도 재현 가능성을 정당한 설계 질문으로 만들기에 충분하다.

결과에 복합 검증 영수증을 부여하라

AFRINIC이 패킷 트레이스나 회원의 비공개 문제 해결 이력을 공개할 필요는 없다. 작은 영수증 하나가 판단 경계를 보존할 수 있다:

  • 사용자가 입력한 프리픽스와 명시적으로 입력된 ASN이 있다면 그 ASN;
  • BGP 보조 조회가 활성화되었는지 여부;
  • 정확 일치 또는 최장 일치 프리픽스 선택;
  • 선택된 프리픽스, 출발 ASN, BGP 출처 식별자;
  • BGP 출처 시리얼과lastUpdated타임스탬프;
  • 맥락으로 표시된 할당 출처가 있다면 그 시리얼과 타임스탬프;
  • Routinator 버전, 검증 시리얼, 완료된 실행 시각;
  • 검증 상태와 매칭되었거나 매칭되지 않은 VRP 튜플의 다이제스트;
  • 응답 생성 시각, 영수증 다이제스트, 이후 정정이 발급될 경우 대체 링크.

영수증은 각 필드가 무엇을 증명하는지 밝혀야 한다. BGP 시리얼은 관측 집합을 식별할 뿐, 글로벌 전파를 보증하지 않는다. 할당 출처는 레지스트리 맥락을 식별할 뿐, 출처를 인가하지 않는다. RPKI 시리얼은 검증기 상태를 식별할 뿐, 라우터에 명령하지 않는다. 결과는 비교를 기록하지 운영 지시가 아니다.

이것은 더 긴 JSON 응답 그 이상이다. 결합을 보존하기 위한 규칙이다. 출처 상태 엔드포인트는 광범위한 운영 뷰로 남을 수 있다. 조회별 엔드포인트는 자신이 소비한 정확한 출처 버전을 내장하거나 참조할 수 있다. 영수증을 저장한 사용자는 나중에 애플리케이션이 특정 매칭 모드에서 특정 ASN을 선택해 특정 RPKI 실행과 비교했음을 보여줄 수 있다. 프리픽스를 공개적으로 밝힐 수 없는 사람이라도 영수증 전체를 티켓 안에 보관하고 다이제스트, 출처 시계, 결과 등급만 공유할 수 있다.

올바른 비유는 신호등이 아니라 계측 증명서다

신호등은 즉각적 행동을 위해 설계되었다. 제어기와 운전자가 같은 순간을 공유하므로 색으로 충분하다. 경로 출처 진단은 종종 이동한다. 지원 티켓, 감사 노트, 변경 제안, 인시던트 타임라인에 들어간다. 한번 이동하면 시각과 입력 계보가 진술의 일부가 된다.

그래서 처방은 소박하게 유지되어야 한다. AFRINIC은 호스팅된 검사기가 BGP에 관한 보편적 진실이라는 약속을 할 필요가 없다. 검사기 자신의 관측을 재현 가능하게 만들면 된다. 빨강이나 초록 상태는 사람이 읽는 데는 그대로 두드러지게 남을 수 있지만, 다운로드 가능한 레코드는 그 상태가 조립된 사실들을 담아야 한다.

공개 서비스는 RPKI, BGP, 할당 데이터가 별개의 시계를 갖는다는 점을 인정하는 어려운 개념적 작업을 이미 해냈다. 다음 단계는 하나의 결과가 페이지를 떠날 때 그 시계들이 흩어지지 않도록 하는 것이다.

출처

서비스 정체성과 AFRINIC 맥락은AFRINIC 자원 인증 페이지와호스팅된 Routinator 인터페이스에 문서화되어 있다. 고정된 기술 레코드는Routinator 상태 엔드포인트,BGP 및 RIR 출처 상태 엔드포인트,샘플 프리픽스 검색, 그에 대응하는RPKI 유효성 응답을 사용한다. 인터페이스 역할은NLnet Labs Routinator 문서에 기술되어 있으며, 관측된 BGP 조회와 신선도 로직은버전 지정된 인터페이스 번들에서 확인할 수 있다.