요약

  • ARIN은 ARIN 58에서 BGP Insight를 미리 공개하며 RPKI 설정이 경로 공지에 미치는 영향을 파악하는 도구라고 설명했다.
  • 앞선 발표 자료에는 Invalid와 Not Found 이유, Valid로 가는 방법, 최근 BGP 데이터 수집을 바탕으로 한 변경 시뮬레이션이 담겼다.

라우팅 보안에서 난감한 장면은 “RPKI는 설정했습니다”라는 보고 뒤에 찾아온다. 자원 인증서가 있고 ROA도 만들어져 있을 수 있다. 그런데 BGP에 경로가 나타나자 기원 검증 결과가 네트워크 팀의 예상과 다르게 나온다.

ARIN의 BGP Insight는 바로 그 설정과 공지 사이를 들여다보려 한다. 10월 23일 공개된 ARIN 58 둘째 날 정리글은 이 기능이 조직의 RPKI 설정이 경로 공지에 미치는 영향을 이해하도록 돕는다고 설명했다. 9월 30일 기준 ARIN RPKI 등록 조직은 9,673곳으로 1년 전보다 27% 늘었다. Hosted RPKI 조직 약 7곳 중 1곳은 ROA를 하나도 만들지 않은 상태였다. 등록은 출발선이고, 운영에서 중요한 일은 게시된 권한과 실제 공지를 맞춰 보는 것이다.

ARIN은 ARIN 57 라우팅 보안 발표에서 화면의 밑그림을 보여줬다. 자원 인증서의 프리픽스와 글로벌 BGP 테이블에서 관측되는 항목을 나란히 놓는다. Invalid 또는 Not Found 결과를 설명하고, 공지에 미치는 영향을 보여주며, Valid 상태에 도달하는 경로와 제안된 변경의 예상 효과를 제시한다. 발표 자료는 가장 최근의 BGP 데이터 수집을 기반으로 한다고 적었다. ARIN 58에서는 이 구상이 BGP Insight라는 짧은 이름으로 다시 소개됐다.

ROA는 어떤 자율 시스템이 프리픽스를 기원으로 공지할 수 있는지 밝힌다. BGP 경로는 네트워크가 관측하는 공지다. RFC 6811의 기원 검증은 경로가 밝힌 기원 AS를 프리픽스 보유자의 권한과 대조한다. 전체 AS_PATH를 검증하는 일은 별도 범위다. ARIN의 RPKI 안내서도 보유자가 서명된 기원 정보를 발행하고, 네트워크 운영자가 이를 BGP 공지와 비교해 라우팅 보안 결정을 내리는 과정을 설명한다.

두 기록을 나란히 놓으면 불일치가 추측의 대상에서 조사할 대상으로 바뀐다. 기대한 권한과 맞지 않는 경로는 ROA 누락, 다른 기원 AS, 프리픽스 길이 설정을 살펴보라는 단서가 될 수 있다. 진단 화면의 값어치는 차이를 설명하고 실제 권한을 바꾸기 전 수정안을 살펴보게 하는 데 있다. ARIN의 앞선 자료는 “이렇게 바꾸면 어떻게 될까”라는 시뮬레이션을 보여줬다. 10월 정리글은 기능이 미리 공개됐다고 확인했지만 일반 공개일은 밝히지 않았다.

“가장 최근의 BGP 데이터 수집”이라는 표시도 화면에 남아야 한다. 진단에는 관측 시각이 붙는다. 그 뒤에 나타난 경로는 다음 수집에 포함된다. 시각을 보여주면 운영자는 ROA를 수정할지, 새 데이터를 확인할지, 경로 자체를 조사할지 판단할 수 있다.

출처: ARIN 58 둘째 날 정리, ARIN 57 라우팅 보안 발표, ARIN RPKI 안내, RFC 6811.