레지스트리에서는 5분, 네트워크에서는 더 오래

요약

• AFRINIC 직원들은 AS0 객체를 취소하는 데 약 5분이 걸린 테스트를 보고했지만, 발행 측의 제거는 분산된 수정의 시작일 뿐이었지, 리포지토리·검증기·라우터·고객이 5분 안에 회복했음을 증명하는 것이 아니었다.
• 1차 초안에서 2차 초안으로 입증된 유일한 변경은 레지스트리가 생성한 AS0 객체를 별도의 신뢰 앵커 로케이터(TAL) 하에 둘 수 있는 옵션이었다. 이는 적어도 초기에는 수집을 자발적으로 만들고 별도 측정을 가능하게 했으며, 나머지 운영적 선택은 AFRINIC에 남겼다.
• 이 제안의 가장 강력한 근거는 실제였다. 정확히 범위가 지정되고 별도로 선택 가능한 AS0 피드는, 어떤 네트워크도 그것을 사용하도록 강요하지 않으면서 일반 경로 출처를 가질 것으로 기대되지 않는 자원에 대한 인증된 증거를 제공할 수 있었다.
• 해결되지 않은 약점은 오류 복구였다. 범위, 유효성, 긴급 이의 제기, 철회 증거, 분산 수렴, 책임은 공개 운영 계약을 필요로 했고, 모든 의존 네트워크는 그 결과로 나온 검증 상태를 모니터링하거나, 선호를 낮추거나, 거부하거나, 무시할 선택권을 계속 보유했다.

5분 테스트와 더 긴 시계

5분은 매력적인 운영 수치다. 기억하기에 충분히 짧고, 반복하기에 충분히 구체적이며, 반응성 있는 것처럼 보이는 시스템을 대변하기에 충분히 안심시키는 숫자다. AFRINIC-32에서 직원들은 발행 전 AS0 객체를 취소하는 데 약 5분이 걸린 테스트를 보고했다. 그러나 같은 회의 기록은 이 숫자를 신중히 다뤄야 하는 이유를 담고 있다. 객체를 발행하거나 취소하는 것은 한 단계일 뿐이며, 다른 요인들이 관찰자가 보는 것에 영향을 미친다. 이 테스트는 소스 근처의 작업을 설명했을 뿐, 모든 리포지토리, 검증기, 캐시, 라우터 또는 영향받는 고객이 동일한 간격 내에 수정된 상태를 관찰할 것임을 입증하지 않았다.

이 구분이 2020년 7월 30일에 발행된 AFPUB-2019-GEN-006-DRAFT02의 핵심이다. 본문에서 가장 큰 기능처럼 보이지 않음에도 불구하고. 2차 초안의 1차 초안에 대한 입증된 수정 사항은 "별도 TAL(Distinct TAL)"로 표시되었다. 레지스트리가 생성한 AS0 객체는 별도의 신뢰 앵커 로케이터 아래에 둘 수 있었고, 이는 적어도 초기 배치 동안 이 특수 서비스를 선택 가능하고 별도로 측정 가능하게 만들었다. 이 제안은 그 선택과 다른 운영 세부 사항을 AFRINIC에 남겼다. 기존의 발행·철회 메커니즘을 새 시스템으로 대체하지 않았다. 그 위에 스위치와 측정 경계를 얹었다.

스위치가 중요했다. 별도의 신뢰 앵커가 없으면, 일반 보유자 발행 RPKI 정보를 수신하려는 결정이 AFRINIC 자체 재고 기록에서 생성된 특수 클래스의 객체를 수신하려는 결정과 얽힐 수 있었다. 분리되면 네트워크는 이 레지스트리 생성 AS0 클래스를 반드시 수집하지 않으면서 일반 신뢰 자료를 선택할 수 있었다. 다른 네트워크는 둘 다 취할 수 있고, 세 번째는 관찰을 위해 별도 피드를 수집하되 라우팅 정책이 그에 의존하는 것은 거부할 수 있다. 이들은 실질적으로 다른 입장이며, 그 차이는 레지스트리가 아닌 운영자에게 속한다.

측정 경계도 중요했다. AS0 객체가 일반 보유자 권한 부여와 분리되어 관찰될 수 있다면, 연구자와 운영자는 그 클래스에 대해 구체적인 질문을 할 수 있었다. 객체가 언제 발행되었는지, 어떤 재고 상태가 그것을 정당화하는지, 언제 철회되었는지, 언제 서로 다른 관찰 지점이 그것을 더 이상 보지 못하게 되는지. 별도 측정은 정확성을 보장하지 않지만, 정확성과 철회 성능을 더 검사 가능하게 만들 수 있다. 고립 가능한 서비스는 일상적 권한 부여의 큰 흐름에 효과가 섞인 서비스보다 테스트하기 쉽다.

기저 신호는 개념적으로 단순하다. AS0 ROA는 해당 프리픽스와 그 보다 구체적인 프리픽스들이 라우팅에 사용되어서는 안 된다고 말한다. 경로 출처 검증은 의존 네트워크가 자신의 의사결정 과정에 통합할 수 있는 기술적 상태를 만들어낸다. 서명된 객체는 레지스트리 상태에서 생성된 증거다. 라우터에 대한 명령, 보유자에 대한 법적 결론, 주소 공간의 압류가 아니다. AFRINIC이 자신의 서비스 내에서 미할당으로 기록된 재고에 대해 서명할 수 있는 능력은 그 레지스트리 기능에 대한 배타적 기술·행정 통제다. 프리픽스, 운영자, 고객, 인터넷에 대한 공적 권한이 아니다.

이 한계는 수사적 장식이 아니다. 책임을 올바른 위치에 놓는다. AFRINIC은 기록을 유지하고, 서명된 보안 메타데이터를 생성하고, 철회하고, 이러한 행위의 성능에 대한 증거를 발행할 수 있다. 네트워크가 어떻게 반응할지 지시할 수는 없다. 한 운영자는 결과를 경보 용도로만 쓸 수 있고, 다른 하나는 경로 선호를 낮추고, 또 다른 하나는 경로를 거부할 수 있으며, 어떤 운영자는 아무 라우팅 조치도 취하지 않을 수 있다. 따라서 같은 서명 객체가 서로 다른 운영 결과로 이어질 수 있다. 최종 결정은 로컬에 남기 때문이다.

그럼에도 제안된 발행 면은 실질적이었다. 1차 초안은 이미 AFRINIC 관리하의 모든 미할당·미할부 IPv4·IPv6 공간에 대해 AFRINIC이 생성한 AS0 ROA를 제안했다. 또한 보유자가 자신의 계정 하의 자원에 대해 AS0 객체를 생성하는 것을 허용했다. AFRINIC이 해당 공간을 할당하기 전에, 레지스트리 생성 객체는 취소되어 리포지토리에서 더 이상 보이지 않아야 했다. 2차 초안은 이 기본 구조를 유지했다. AS0 발행, 보유자 옵션, 사전 할당 철회 요구를 새로 발명하지 않았다.

AFRINIC 직원의 2차 초안 평가는 구상된 재고 흐름을 더 구체적으로 만들었다. 가용 및 예약 IPv4·IPv6 공간은 자동 레지스트리 발행 범위에 들어간다. IANA나 PTI에서 새로 받은 프리픽스는 즉시 AS0 객체를 받는다. 직원 해석에 따라 반환되거나 회수된 프리픽스도 그렇다. 이미 할당된 회원 자원은 자동 레지스트리 범위 밖이었으나, 보유자는 자신의 계정 하의 자원에 대해 자체 AS0 객체를 만들 수 있었다. 할당 또는 할부 전에, 커버링 객체는 취소되어 리포지토리에서 더 이상 보이지 않아야 했다.

각 단계는 정확한 타이밍이 중요한 지점이다. 재고 기록은 공간을 정확히 기술해야 한다. 발행은 서비스가 말하는 범위를 커버하고 제외 대상은 제외해야 한다. 새로 받은 블록은 의도된 상태에 들어가야 한다. 반환·회수는 정확히 반영되어야 한다. 할당에 임박한 블록은 할당·할부가 진행되기 전에 AS0 커버리지를 벗어나야 한다. 리포지토리는 철회된 객체를 더 이상 제공하지 않아야 한다. 다운스트림 시스템은 새 뷰를 획득해야 한다. 운영자는 자신의 정책에 따라 결과 검증 정보를 해석해야 한다.

5분 테스트는 이 사슬의 일부만 건드린다. 발행 또는 취소를 수행하는 AFRINIC의 테스트된 능력에 대해 유용한 정보를 준다. 모든 리포지토리가 얼마나 자주 조회되는지, 검증기가 어떻게 갱신되는지, 캐시가 이전 자료를 어떻게 유지하는지, 라우팅 시스템이 갱신된 검증 상태를 어떻게 받는지, 운영자가 얼마나 빨리 결정을 바꾸는지에 대해서는 아무것도 말하지 않는다. 심지어 "보이는"이라는 단어도 관찰 지점을 필요로 한다. 어디서 보이지 않는가, 누가 확인하는가, 어떤 타임스탬프에서, 어떤 갱신 조건에서? 발행자는 자체 철회를 완료하는 동안 원격 의존 당사자가 여전히 오래된 상태를 볼 수 있다.

그 격차의 결과가 반드시 장애인 것은 아니다. 증거는 영향받은 프리픽스, 거부된 경로, 보유자 손실, 어떤 프로덕션 사건도 확립하지 않는다. 결과는 오히려 위험 구조다. 레지스트리 기록이 틀리거나 철회가 늦으면, 별도 TAL을 선택한 의존 네트워크에게 합법적 출처가 Invalid로 보일 수 있다. 이후는 그 네트워크의 정책에 달려 있다. 오류는 대시보드 경보 이상을 만들지 않을 수도 있고, 선호 하락을 유발하거나 거부로 이어질 수도 있다. 네트워크마다 다른 선택을 할 수 있고, 그들의 뷰는 서로 다른 시점에 갱신될 수 있다.

고객이나 운영자에게 이런 차이는 심각한 피해가 발생하기 전에도 비용을 만든다. 한 네트워크는 수정된 상태를 보고 다른 네트워크는 오래된 상태를 유지하면 문제 해결이 더 어려워진다. 직원들은 레지스트리 기록, 리포지토리 뷰, 검증기 출력, 라우터 동작을 비교해야 할 수 있다. 트랜짓·지원 팀은 경로나 의존 당사자에 따라 도달 가능성이 왜 다른지 설명해야 할 수 있다. AFRINIC의 재고 기록이나 원격 검증기의 갱신 간격을 통제하지 못하는 고객도 그 불일치를 진단하는 부담을 질 수 있다. LARUS의 인프라 연속성 강조가 여기서 유용하다. 조율 계층의 작은 오류가 다른 곳에서 운영 비용이 될 수 있으며, 그 비용을 부담하는 사람들이 모든 시계를 통제하지 못하기 때문이다.

별도 TAL은 이 노출의 일부를 줄인다. 네트워크는 특수 피드를 수집하지 않기로 할 수 있다. 더 강한 라우팅 대응 대신 모니터링으로 시작할 수도 있다. 문제가 나타나면 운영자에게는 개념적으로 깨끗한 출구가 있다. 일반 보유자 권한 부여를 계속 사용하면서 그 별도 신뢰 앵커에 대한 의존을 중단하는 것이다. 이는 서비스의 영향 범위에 대한 진정한 제동이다. 레지스트리 생성 클래스가 나머지와 분리 불가능하다면 실현되기 어려운, 의존의 교체나 철회를 더 실용적으로 만든다.

그러나 출구 스위치는 수정 시스템이 아니다. 의존 운영자의 자유를 보호할 뿐, AFRINIC의 원천 기록이 정확하다는 것, 영향받는 당사자가 빠르게 이의를 제기할 수 있다는 것, 발행자가 그 이의를 인증할 것이라는 것, 철회된 상태가 전파되었다는 것을 확립하지 않는다. 선택적 채택 역시 손실이나 고객 피해가 어떻게 처리될지에 답하지 않는다. 2차 초안은 유효성과 출시 절차를 내부 직원 프로세스에 맡겼다. 본문은 별도 TAL의 기본값, 출시, 측정 정의, 긴급 연락처, 수정 목표, 분산 관찰에 대한 완전한 공개 설명을 제공하지 않았다.

여기서 NRS의 역할이, NRS를 또 하나의 통제 중심으로 만들지 않고서, 관련된다. 독립적인 회원 측 검증은 주장된 재고 상태를 서명된 객체와 여러 지점에서 보이는 뷰와 비교할 수 있다. 회원이 검사할 수 있는 수정 채널을 요구하고, 운영자가 출구와 이중화를 유지하도록 돕고, 불일치를 문서화할 수 있다. NRS는 할당자, 서명자, 규제자, 경로 권위가 아니다. 그 가치는 객체를 발행하는 기관 바깥에서 조율 서비스를 이의 제기 가능하고 관찰 가능하게 만드는 데 있다.

BTW의 현실 우선 방법은 병행하는 규율을 세운다. AS0 ROA가 보존에 도움이 되는지 선제적 거부인지를 둘러싼 광범위한 논쟁은 이미 다른 곳에 존재하며 이 글의 질문이 아니다. 더 좁은 질문은 2차 초안이 실제로 무엇을 바꾸었고 그 변경이 무엇을 증명할 수 있는가이다. 그것은 가능한 별도 신뢰 앵커, 선택적 설계, 별도 측정의 근거를 증명한다. 배치, 채택, 프로덕션 객체, 사건, 혜택은 증명하지 않는다. 이 한계들을 계속 보이게 유지하는 것은 소심함이 아니다. 유용한 설계 옵션이 결코 입증되지 않은 결과에 대한 주장으로 부풀려지는 것을 막는 것이다.

따라서 2차 초안에 대한 첫 읽기는 균형 잡혀야 한다. 이 제안은 의미 있는 브레이크를 얻었다. 네트워크는 일반 RPKI 자료를 원한다고 해서 레지스트리 생성 AS0 클래스를 받아들일 필요가 없었고, 관찰자는 이 서비스를 별도로 측정할 가능성을 얻었다. 그러나 제안은 여전히 철회 모델에 의존했으며, 그 모델의 가장 기억에 남는 숫자는 발행자의 테스트를 설명했지 분산 시스템의 회복을 설명하지 않았다. 5분은 시계의 시작일 수 있다. 이 기록상, 끝이 아니다.