요약

  • LACNIC 46의 발표는 37.148.92.0/24의 기점과 첫 트랜짓 관측은 거의 움직이지 않았지만, AS49666이 15:26 UTC에 상위 사업자 AS6762를 AS198150으로 교체한 사실을 보여줬다.
  • 처리된 BGP UPDATE는 1,025건이었다. 이 숫자만으로는 경로 변화가 설명되지 않는다. 발표 자료에는 사례의 연도와 전체 관측 지점 목록도 없다.

숫자는 크지만, 경로는 그 안에 묻혔다

BGP UPDATE 1,025건. 정확한 숫자지만, 어느 경로가 어떻게 바뀌었는지는 말해주지 않는다. 메시지 카운터는 관측된 흐름의 크기를 보여준다. 운영자가 확인해야 할 것은 각 네트워크가 선택한 경로와 그 경로가 바뀐 시점이다.

Doug Madory는 LACNIC 46 기조 발표에서 37.148.92.0/24를 예로 들었다. 기점 관측은 거의 변하지 않았고, 첫 번째 트랜짓을 보는 방식도 대체로 조용했다. 경로를 더 따라가면 변화가 나타난다. AS49666은 보통 두 개의 업스트림을 두고 있었는데, 15:26 UTC부터 발표 자료의 경로에서 AS6762가 사라지고 AS198150이 그 자리를 차지한다. 슬라이드는 UPDATE 1,025건을 기록한 뒤, 분석의 초점을 경로 상태 변화로 옮긴다.

메시지 수와 경로 상태는 서로 다른 질문에 답한다. 메시지 수는 흐름의 분량이고, 경로 상태는 어느 네트워크가 어떤 길을 택했고 그 선택이 언제 바뀌었는지를 보여준다. 반복된 알림이 쌓여도 유효한 경로가 그대로일 수 있다. 반대로 메시지가 상대적으로 적어도 업스트림 전환은 운영상 중요한 변화가 될 수 있다.

UPDATE는 경로의 이력 그 자체가 아니다

BGP UPDATE는 도달 가능한 목적지를 알리거나, 더 이상 사용할 수 없는 경로를 철회한다. 각 네트워크는 받은 정보와 자체 정책을 적용해 경로를 선택한다. RFC 4271은 메시지와 경로 선택 절차를 정의한다. 한 AS가 실제로 어떤 경로를 택했는지, 그 경로가 얼마나 지속됐는지는 시간에 따른 상태 기록을 봐야 한다.

발표의 틀은 세 가지 질문으로 나뉜다. 변화의 범위, 지속 시간, 경로에 참여한 시스템이다. 몇 개 관측 지점이 전환을 봤는가? 언제 시작해 얼마나 이어졌는가? 어떤 AS들이 그 경로에 있었는가? 답을 얻으려면 전환 전후의 상태를 비교하고, 여러 BGP 관측 지점이 같은 변화를 기록했는지 확인해야 한다.

그림을 만드는 데도 비용이 있다. 모든 AS 간 연결을 한 화면에 그리면 읽기 어렵다. 관측 소스를 줄이면 그림은 정돈되지만 시야도 좁아진다. 발표 자료는 BGP 관측 소스의 약 1%를 기준으로 가시성이 낮은 경로를 덜어내는 예를 보여준다. 문턱을 낮추면 더 많은 경로와 잡음이 남고, 높이면 소수 관측 지점만 본 실제 경로가 사라질 수 있다.

따라서 어떤 소스를 포함했는지, 경로가 그림에 들어오는 조건은 무엇인지, 일부 수집기만 본 전환은 어떻게 처리하는지도 결과의 일부다. 정돈된 그림만으로는 필터가 지운 관측을 알 수 없다.

기점이 조용해도 더 먼 경로는 바뀔 수 있다

이 사례에서 분석을 너무 일찍 끝내기 쉬운 이유는 첫 두 관측이 큰 움직임을 보이지 않기 때문이다. 기점도, 첫 트랜짓도 거의 그대로다. 경로를 더 따라가야 AS6762가 AS198150으로 교체된 순간이 드러난다. 기점이나 첫 번째 이웃에만 머무르면 발표가 지목한 변화를 놓친다.

자료가 보여주는 것은 제어 평면의 경로 관측이다. 트래픽 양, 패킷 전달, 애플리케이션 상태는 포함되지 않았다. 서비스에 미친 영향을 말하려면 다른 관측이 필요하다. 경로 변경 기록과 서비스 결과 기록을 나눠야 실제로 무엇을 확인했는지 분명해진다.

운영 현장에서는 알림의 우선순위가 사람의 시간을 배분한다. 메시지가 많다는 이유만으로 큰 변경이라고 보면, 경로가 그대로인 이벤트에 엔지니어가 매달릴 수 있다. 더 적은 메시지가 있더라도 고객 경로, 트랜짓 관계, 서비스 프리픽스가 바뀌었다면 확인해야 한다. 카운터의 크기보다 설명 가능한 경로 전환을 먼저 살펴보는 편이 낫다.

슬라이드는 시간을 UTC 14:00~16:00, “9월 8일”로 적었지만 연도와 전체 수집기 목록을 공개하지 않았다. 날짜가 붙은 원자료와 출처 목록이 있으면 15:26 전환을 재현하고 지속 시간도 측정할 수 있다. LACNIC 공식 일정 기록과 발표 원본 자료에는 발표에서 제시된 내용이 남아 있다.

“UPDATE 1,025건”은 메시지 흐름이 붐볐다는 말이다. “AS49666이 15:26에 AS6762를 AS198150으로 바꿨다”는 다음에 확인할 경로를 가리킨다.