RIPE: ROA 정의 37%가 BGP에서 보이지 않는다

요약

RIPE 93에서 RIPE NCC는 서로 다른 두 지표를 제시했다. ROA가 이미 적용되는 관측 경로는 거의 100% ROV 유효였지만, ROA의 ASN·프리픽스 정의 약 37%는 BGP에서 보이지 않았다.
보이지 않는 정의 중 일부는 백업 경로를 위해 남겨 둔 것이다. 다른 일부는 공지가 중단된 뒤에도 권한을 유지해, 기만된 출처가 RPKI상 유효해 보이게 할 수 있다.

경로보다 오래 남는 권한

경로가 사라져도 서명된 권한은 남는다. ROA는 경로 공지를 시작할 때 만들어진다. 공지를 중단한 뒤 ROA를 지우는 일은 대개 즉각적인 장애도, 고객의 전화도 일으키지 않는다. 그래서 정리는 뒤로 밀리고, 권한은 리포지터리에 계속 남아 있다.

10월 28일 RIPE 93에서 RIPE NCC의 RPKI 책임자인 Tim Bruijnzeels는 이 문제를 두 방향에서 설명했다. IPv4와 IPv6를 합쳐 보면 전 세계 프리픽스의 약 73%에 ROA가 있다고 했다. ROA로 보호되는 발표 프리픽스만 보면 거의 100%가 ROV 유효였다. 운영자는 Invalid 공지를 빠르게 고치거나 필터링한다. 그래서 관측되는 경로의 상태는 금세 정돈된다.

다음은 권한 쪽에서 본 숫자다. ROA에 들어 있는 ASN·프리픽스 정의 약 37%가 실제 BGP에서 보이지 않았다. 이 수치는 권한 정의를 센 것이지, 경로 수·트래픽·주소 공간·ROA 객체 수를 뜻하지 않는다. 하나의 ROA가 여러 프리픽스 정의를 포함할 수 있다.

회의 기록에는 분자와 분모의 구성, 측정 날짜, 관측 기간, 계산 방법이 없다. 이 정보가 있어야 실제로 폐기된 권한과 아직 임무가 남은 조용한 경로를 구분할 수 있다.

조용한 경로가 곧 쓸모없는 경로는 아니다. 자원 보유자는 경로를 켜기 전에 권한부터 만들 수 있고, 장애 때 전환할 다른 출처를 미리 남겨 둘 수도 있다. Bruijnzeels도 백업 경로를 가능한 설명으로 들었다. RIPE NCC 대시보드는 ROA와 RIS 수집기가 본 공지를 대조한다. RPKI Management API 문서에 따르면 RIS 관측 자료는 8시간마다 갱신된다. 현재 화면에서 안 보인다는 사실은 수집기가 그 주기에 무엇을 관측했는지 보여 줄 뿐, 보유자의 장기 계획까지 말해 주지는 않는다.

다른 정의는 공지가 멈춘 뒤 그대로 남았을 수 있다. Bruijnzeels는 동기의 차이를 분명히 짚었다. 경로 공지를 시작할 때 ROA를 만드는 이유는 강하지만, 공지를 중단한 뒤 지울 이유는 약하다. 삭제의 즉각적인 보상은 처음 생성할 때의 효과보다 덜 뚜렷하다.

이 잔여 권한은 기술적인 결과를 만든다. BGP 출처 검증은 프리픽스와 출처 ASN이 허용된 ROA와 맞는지 확인한다. AS 경로 전체의 진위를 인증하지는 않는다. 누군가 오래된 ROA가 여전히 허용하는 출처를 사칭해 프리픽스를 공지하면 검증기는 그 공지를 Valid로 분류할 수 있다. 한때 실제 경로를 정확히 설명한 서명이 운영상 이유가 사라진 뒤에도 출처를 보증하는 셈이다.

모든 미관측 ROA에 경고를 붙이면 해결될까. RIPE NCC는 현재 인터페이스에서도 그 신호를 볼 수 있지만 찾기 어렵다고 했다. 더 눈에 띄게 만들고 알림 범위도 넓힐 계획이다. Bruijnzeels는 의도된 백업 경로에는 표시를 붙여 반복 알림을 멈출 수 있어야 한다고도 제안했다. 이 구분은 경고만큼 중요하다. 조용한 정의를 전부 지우면 장애 때 쓰려고 남겨 둔 경로까지 사라질 수 있다.

필요한 것은 삭제 버튼이 달린 빨간 숫자가 아니라 검토 대기열이다. 각 항목에 프리픽스, 출처 ASN, 마지막 관측 시간, RIS 자료의 갱신 시점을 표시해야 한다. 보유자는 상태를 운영 중, 예정, 백업, 종료로 정한다. 경로를 고치거나, 문서화된 백업 권한을 유지하거나, 더는 필요 없는 권한을 지울 수 있다. ‘관측되지 않음’은 보유자에게 묻는 질문이지 대시보드가 내리는 판결이 아니다.

RIPE NCC의 숫자는 관리 공백을 드러낸다. 관측 경로의 유효율이 높아도 아무도 살피지 않는 권한은 쌓일 수 있다. 다음에 공개할 유용한 지표는 모두 지워서 37%를 낮춘 결과가 아니다. 미관측 정의 중 백업·예정·운영 중·종료로 분류된 비율, 그리고 종료된 권한이 실제로 몇 건 회수됐는지다.