Level 3 2017 BGP 설정 오류와 백본 변경 관리 책임성

요약

동결된 사건 경계:2017년 11월 6일, 독립 모니터링은 Comcast의 주요 접속성 장애를 Level 3 Communications와 AS3356에 연관된 라우팅 변경과 연결했다. ThousandEyes는 Comcast에 대한 주요 관측 영향을 태평양 시간 기준 약 09:45~11:25로 두었으며, 약 09:30부터 라우팅 불일치가 관측되었다. [2] 당시 보도는 설정 문제가 장애를 일으켰다는 Level 3의 입장을 전했다. [1][5][6] 본 기사는 이 사건을 Level 3의 별개 2016년 장애, CenturyLink의 2018년 12월 911 장애, 또는 2020년 8월 AS3356 FlowSpec 인시던트와 합치지 않는다.
관측된 메커니즘:ThousandEyes는 Comcast 자회사 및 고객 프리픽스 1,000개를 넘는 더 구체적인(more-specific) 광고를 보고했으며, 기존에 Comcast AS7922 백본을 통과하던 트래픽이 Level 3 AS3356으로 우회되고 패킷 손실과 지연이 증가하는 것을 관측했다. [2] 이는 라우팅 정책 실패와 그 포워딩 결과에 대한 강력한 증거이다. 그러나 정확한 내부 명령, 라우트 정책 개체, 배포 절차 또는 영향받은 사용자 전체 집합은 드러내지 않는다.
책임 경계:Level 3는 설정 생성, 승인, 배포 범위, BGP 익스포트 정책, 경로 모니터링, 롤백 권한, 인시던트 커뮤니케이션을 통제했다. 피어와 다운스트림 네트워크는 임포트 정책, 고객 콘 기대치, 프리픽스 한도, 이상 탐지, 페일오버 선택을 통제했다. Comcast는 가입자 커뮤니케이션과 사용자 대면 복구 경로의 일부를 통제했다. 고객과 최종 사용자는 장애를 관측할 수 있었으나 도메인 간 라우팅 상태를 복구할 수는 없었다.
통제 교훈:설정은 문법적으로 유효하면서도 운영 불변식을 위반할 수 있다. 백본 변경 관리는 배포 전에 의도된 접속성, 익스포트 범위, 경로 변경, 폭발력(blast radius)을 검증해야 하며, 이후 실제 경로 상태와 사용자 접속성을 기대치와 대조해야 한다. Batfish는 이 사건을 계기로 수동 검토에 대한 자신감만으로는 부족하며 모델 기반 네트워크 검증을 주장했다. [3]
현실 계층:레지스트리 및 ASN 기록은 자원과 책임 운영사를 식별하는 데 도움이 되지만 BGP 정책을 강제하지는 않는다. 라우트 컬렉터는 운영 중인 네트워크가 광고하고 수용한 내용을 보여주고, 포워딩 프로브는 트래픽이 의도된 목적지에 도달했는지 보여준다. 책임성은 의도된 정책, 운영 중인 광고, 패킷 경로, 롤백 기록, 사용자에게 보이는 복구를 연결하는 데 달려 있다.

인시던트는 2017년 11월 6일로 한정되어야 한다

책임성 있는 재구성의 첫 번째 요건은 어떤 사건을 검토하는지 정의하는 것이다. Level 3와 이후의 CenturyLink 또는 Lumen 조직은 여러 주요 장애 기록에 등장한다. 이 기록들을 결합하면 서사는 길어지지만 메커니즘, 통제 주체, 증거가 달라 결론은 약해진다.

본 기사는 2017년 11월 6일 월요일에 관측된 BGP 사건을 다룬다. ThousandEyes는 Comcast 연결을 사용하는 직원들이 Slack, Gmail, Webex 같은 서비스에서 장애를 겪었다고 보고했다. 측정 결과는 Comcast에 대한 주요 영향을 약 09:45부터 11:25까지(태평양 시간)로 두었으며, 서술된 전체 사용자 가시 구간에 앞서 약 09:30부터 BGP 불일치를 식별했다. [2]

Wired는 Level 3의 설정 오류가 미국 인터넷 접속의 일부에 영향을 주었고, 문제가 수정된 후 서비스가 복구되었다고 사업자가 말했다고 보도했다. [1] 다른 당시 보도들은 여러 접속 사업자에 걸친 광범위한 불만을 전하며 설정 문제를 중심으로 한 Level 3의 설명을 담았다. [5][6] 이 보도들은 광범위한 공개 영향 신호를 확립하지만, 불만 지도와 동시 보도가 모든 네트워크가 동일한 기술적 이유로 실패했음을 증명하지는 않는다.

ThousandEyes는 경로 상태와 사용자 경험 사이의 가장 강한 공개적 다리를 제공한다. 그 분석은 Comcast와 Level 3 경로 내부의 패킷 손실, Comcast 관련 목적지의 경로 변경, Level 3가 유출된 경로를 철회한 후 정상으로의 복귀를 기술했다. [2] APNIC의 연후 라우팅 보안 검토 또한 이 인시던트를 2017년의 주목할 만한 대규모 BGP 사건 중 하나로 꼽았다. [4]

세 가지 배제가 필수적이다.

첫째, 이 인시던트는 Level 3의 2016년 장애가 아니다. 그 별개 사건은 이후 규제와 업계의 조사를 받았으며 다른 메커니즘이 관련되었다. [8] 둘째, 2018년 12월 전송 및 911 서비스를 마비시킨 CenturyLink 장애가 아니다. 셋째, 2020년 8월 AS3356 FlowSpec 인시던트, 즉 트래픽 필터링 조치가 백본을 통해 전파되어 다른 장애 양상을 낳은 사건이 아니다.

공유된 운영사 역사는 비교 거버넌스 질문을 지지할 수 있다. 그러나 한 사건의 증거를 다른 사건의 것으로 대체할 수는 없다. 2017년 결론은 2017년 경로 관측, 사업자 성명, 당시 사용자 경로 증거 위에 서야 한다.

AS3356는 설정 변경을 네트워크 간 사건으로 만들었다

자율 시스템(AS)은 인터넷에 공통 라우팅 정책을 제시하는 네트워크 또는 네트워크 집단이다. BGP는 자율 시스템들이 도달 가능한 프리픽스와 경로에 나타난 AS 수열을 포함한 도달성 정보를 교환하게 한다. RFC 4271은 운영자가 로컬 정책을 적용하는 프로토콜 역학과 결정 프레임워크를 정의한다. [14]

Level 3는 주요 글로벌 트랜짓 네트워크인 AS3356를 운영했다. RIPEstat 기록은 해당 ASN에 대한 공개 자원·라우팅 뷰를 제공한다. [10] ASN 기록은 경로 관측과 연관된 운영사를 식별하는 데 도움이 된다. 인시던트 당시 활성화된 모든 프라이빗 피어링 계약, 고객 관계, 라우터 정책을 보여주지는 않는다.

규모는 설정의 책임성을 바꾼다. 소기업은 한 사업자에게 제한된 프리픽스 집합만 광고할 수 있다. 대형 트랜짓 네트워크는 접속 사업자, 콘텐츠 네트워크, 기업, 다른 통신사와 경로를 교환한다. 그 위치에서의 정책 오류는 운영사의 직접 소매 고객을 넘어선 경로에 영향을 줄 수 있다.

인터넷에는 모든 경로를 승인하는 중앙 통제자가 없다. 각 네트워크가 무엇을 광고하고 무엇을 수용할지 결정한다. 이 설계는 독립 운영을 지원하지만, 여러 네트워크가 자신의 로컬 정책 하에서 수용 가능하다고 판단하면 나쁜 광고가 전파될 수 있음을 의미한다. 결과는 프리픽스 구체성, 경로 속성, 사업 관계, 필터, 경로 선택 시점에 달려 있다.

ThousandEyes는 Level 3가 Comcast 자회사 네트워크와 고객에 연관된 더 구체적인 경로를 광고한다고 기술했다. Comcast AS7922 백본을 통과하던 트래픽이 대신 AS3356을 통과하는 것으로 관측되었다. [2] 더 구체적인 라우팅이 중요한 이유는 포워딩이 일반적으로 가장 긴 일치 프리픽스를 따르기 때문이다. 더 좁은 주소 블록을 커버하는 광고는 더 넓은 경로가 여전히 보이는 상황에서도 트래픽을 끌어당길 수 있다.

이 증거가 한 라우터가 인터넷 전체를 좌우했다는 뜻은 아니다. 광범위한 상호접속을 지닌 네트워크가 오리기네이트 또는 전파한 정보를 충분히 많은 다른 네트워크가 수용하여 상당한 포워딩 변화를 만들었다는 뜻이다. 각 수용은 로컬 정책 결정이었지만, 관측된 경로 상태를 만든 변경은 Level 3가 통제했다.

이것이 백본 설정을 내부 행정 세부사항으로 다룰 수 없는 이유이다. 그 실질적 산출물은 다른 자율 시스템이 소비하는 일련의 단언이다. 상호접속 발자국이 클수록 익스포트 범위 모델링, 단계적 배포, 외부 효과 검증의 의무가 강해진다.

BGP 증거와 포워딩 증거는 서로 다른 질문에 답한다

라우트 컬렉터와 사용자 경로 프로브는 인시던트의 서로 연관되지만 다른 부분을 관측한다.

라우트 컬렉터는 참여 피어로부터 BGP 업데이트를 기록한다. RouteViews 아카이브는 2017년 11월의 역사적 업데이트 데이터를 제공한다. [11] RIPE NCC의 라우팅 정보 서비스(RIS) 역시 세계 각지의 관측 지점에서 라우팅 정보를 수집한다. [12] CAIDA BGPStream은 BGP 사건 분석을 위한 도구와 데이터 인터페이스를 제공한다. [13]

이러한 시스템은 프리픽스가 언제 광고되거나 철회되었는지, 컬렉터에서 어떤 오리진과 경로가 나타났는지, 가시성이 시간에 따라 어떻게 변했는지 재구성하는 데 도움이 될 수 있다. 모든 라우터의 모든 경로는 볼 수 없다. 한 컬렉터에서 보이지 않은 경로가 다른 곳에 존재했을 수 있다. 보이는 경로가 실질적 트래픽을 실었을 수도 없었을 수도 있다. 로컬 프리퍼런스, 트래픽 엔지니어링, 프라이빗 피어링은 공개 컬렉터 피드에 완전히 반영되지 않는 포워딩 동작을 만들 수 있다.

포워딩과 애플리케이션 측정은 또 다른 계층을 더한다. ThousandEyes는 분산 에이전트로부터 경로 변경, 지연, 패킷 손실을 보고했다. [2] 이 측정은 선택된 위치에서 선택된 패킷이 경험한 것을 보여준다. 컨트롤 플레인 업데이트만큼은 아니더라도 사용자 영향에 더 가깝지만, 모든 사용자나 경로를 대표하지는 않는다.

책임성 있는 조사는 계층을 결합한다:

변경 전 의도된 경로 정책;
정확한 설정 diff 또는 생성된 정책;
내부적으로 관측된 BGP 광고와 철회;
독립 컬렉터가 관측한 광고;
다양한 네트워크의 포워딩 경로;
패킷 손실, 지연, 성공한 트랜잭션;
고객 불만과 사업자 상태 업데이트;
롤백 또는 교정 변경;
복구된 라우팅과 접속성에 대한 독립 확인.

이 결합이 없으면 팀은 사건을 오분류할 수 있다. 실질적 피해 없이 경로 업데이트가 보일 수 있다. BGP 원인 없이 패킷 손실이 발생할 수 있다. 경로가 안정적인 상태에서 DNS, 신원, 클라우드 의존성 실패로 애플리케이션이 실패할 수 있다.

2017년 증거가 설득력 있는 이유는 경로 관측과 포워딩 관측이 같은 방향을 가리키기 때문이다. ThousandEyes는 경로 불일치와 변경된 AS 경로를 지연과 패킷 손실 증가와 함께 관측했다. [2] 사업자는 장애 원인을 설정으로 돌렸다. [1][5][6] 이 조합은 내부 구현에 대한 불확실성을 보존하면서 BGP 설정 오류 결론을 뒷받침한다.

동일한 원칙이 복구에도 적용된다. 한 컬렉터에서 관측된 철회만으로 모든 사용자 경로가 복구되었다고 선언할 수는 없다. 운영사는 관련 지역 전반에서 안정된 경로 상태, 기대되는 경로 선택, 감소한 손실, 정상화된 지연, 성공한 애플리케이션 트랜잭션을 확인해야 한다.

경로 유출은 하이재킹보다 정확하지만 여전히 귀속이 필요하다

공개 논의에서는 경로 유출(route leak)과 경로 하이재크가 혼용되곤 한다. 이 구분은 의도, 승인, 예방에 대한 주장을 만들기 때문에 중요하다.

RFC 7908은 경로 유출을 라우팅 광고가 의도된 범위를 넘어 전파되는 것으로 정의한다. [16] 이 문서는 네트워크 간 관계와 경로 전파 방향에 따른 분류를 기술한다. 고객이 사업자에게 학습한 경로를 다른 사업자에 익스포트할 때, 내부 경로가 새어 나갈 때, 또는 네트워크가 의도된 사업 관계에 반하는 정보를 광고할 때 유출이 발생할 수 있다.

하이재크는 트래픽을 끌어당기는 무단 오리진이나 경로, 때로는 악의적인 경우를 가리킨다. 2017년 11월 6일에 대한 공개 증거는 악의적 의도가 아니라 무단이 아닌 설정 실패를 뒷받침한다. 당시 보도는 설정 문제를 다루었고 ThousandEyes는 경로 유출 용어를 사용했다. [1][2][5][6]

유출이라는 라벨조차 증거에 연결되어야 한다. 공개 관측자는 Level 3의 전체 정책 의도, 계약, 라우터 설정을 가지고 있지 않았다. ThousandEyes는 정상적인 Comcast 라우팅과 불일치하는 더 구체적인 광고와 경로 변경을 관측했다. [2] 그 동작은 유출과 일치하며, 명명된 분석가들이 그렇게 규정했다. 본 기사는 사적 의도에 접근했다고 주장하는 대신 그 귀속을 보존한다.

용어는 통제 분석에도 영향을 준다. 중심 문제가 무단 오리진이라면 경로 오리진 검증이 일부를 다룰 수 있다. 오리진이 승인되어 있으나 익스포트 범위가 관계 정책을 위반한다면, 오리진 검증은 여전히 경로를 유효로 보고할 수 있다. 더 구체적인 경로가 기술적으로 승인에 포함되지만 운영적으로 잘못되었다면, 수용에는 다른 정책 통제가 필요하다.

따라서 가장 안전한 결론은 한정된 것이다: Level 3는 설정 문제를 인정했고, 독립 측정은 AS3356 관련 경로 변경과 포워딩 손상을 관측했으며, 분석가들은 이 사건을 경로 유출로 규정했다. 이 출처들은 사보타주, 자격 증명 침해, 가로채기 의도 또는 정확한 내부 명령 하나를 확립하지 않는다.

이 경계는 회피가 아니다. 기술적 불확실성이 고발이 되는 것을 막는다. 또한 개선을 증거가 뒷받침하는 통제, 즉 변경 검증, 익스포트 정책, 피어 필터링, 경로 모니터링, 롤백에 집중시킨다.

문법적으로 유효한 설정도 운영적으로 잘못될 수 있다

네트워크 변경 시스템은 흔히 설정 텍스트가 파싱되는지, 장치가 이를 수용하는지 확인한다. 그 확인은 필요하지만 결과 네트워크 동작이 정책과 일치함을 증명하지는 않는다.

BGP 설정은 라우터에게는 유효하면서 운영 불변식을 위반할 수 있다. 잘못된 이웃에게 경로를 익스포트하거나, 기대 집합 밖의 고객 경로를 수용하거나, 의도치 않은 도달성을 지닌 더 구체적인 경로를 만들거나, 프리퍼런스를 바꾸거나, 필터를 제거할 수 있다. 라우터는 받은 명령을 실행한다. 실패는 문법적 유효성과 의도된 네트워크 상태 사이의 간극에 있다.

Batfish의 Level 3 사건 분석은 배포 전에 네트워크 설정을 의도된 속성에 대해 검증할 것을 주장했다. [3] 모델 기반 검증은 중요한 목적지가 여전히 도달 가능한지, 금지된 경로가 나타나는지, 경로가 의도된 범위를 벗어나는지, 이중화가 장애에서 살아남는지, 변경이 예상보다 많은 장치나 프리픽스에 영향을 주는지 물을 수 있다.

이것이 모델이 공개 인터넷을 완벽히 재현할 수 있다는 뜻은 아니다. 외부 피어는 사적 정책을 가지며, 경로 상태는 계속 변하고, 일부 관계는 문서화되지 않는다. 유용한 모델은 그 한계를 명시한다.

따라서 변경 관리 사슬은 여러 검사를 포함해야 한다:

소스 관리:제안된 설정 또는 정책 개체는 식별된 소유자와 함께 검토 가능한 diff로 저장된다.
스키마 및 문법 검증:도구가 설정이 수용되고 유효한 개체를 참조하는지 확인한다.
정책 불변식:자동화된 검사가 익스포트 범위, 수용 프리픽스, 기대 오리진, 경로 제약, 도달성을 확인한다.
폭발력 계산:시스템이 영향받을 라우터, 세션, 프리픽스, 고객 등급을 추정한다.
대표적 스테이징:변경을 운영 환경에 충분히 가까운 토폴로지와 정책 상태에서 시험해 의미 있는 충돌을 드러낸다.
카나리아 배포:제한적이고 관측 가능한 하위 집합이 전면 배포에 앞서 변경을 받는다.
독립 텔레메트리:라우트 컬렉터, 피어 뷰, 포워딩 프로브가 의도된 효과와 관측된 효과를 대조한다.
자동 정지 조건:예상 밖 경로 수, 경로 변경, 손실, 지연이 추가 배포를 차단한다.
롤백 권한:명명된 운영자가 긴 승인 절차를 기다리지 않고 변경을 되돌릴 수 있다.
변경 후 검증:팀이 기대 경로와 서비스가 안정적으로 유지됨을 증명한다.

어떤 단일 검사도 위험을 제거하지 못한다. 함께 작동할 때 하나의 행정 오류가 백본 전역 인시던트가 될 가능성을 줄인다.

책임성은 이러한 통제가 존재했고 작동했음을 보여주는 증거를 요구한다. 설정 오류가 발생했다는 사후 분석만으로는 변경이 동료 검토를 거쳤는지, 검사가 익스포트 동작을 커버했는지, 어떤 알람이 울렸는지, 롤백이 얼마나 빨리 승인되었는지 답하지 못한다.

폭발력은 배포 전 속성이어야 한다

운영 팀은 흔히 인시던트 이후 영향받은 서비스, 프리픽스, 사용자 수로 폭발력을 기술한다. 고결과 네트워크 변경에서는 폭발력이 배포 전에도 추정되어야 한다.

질문은 몇 개의 장치가 설정을 받는지만이 아니다. 하나의 라우트 정책 개체에 적용된 변경이 많은 BGP 세션에 영향을 줄 수 있다. 엣지 라우터 한 대의 변경이 대형 피어가 소비하는 광고를 바꿀 수 있다. 더 구체적인 프리픽스는 장치 수 없이 트래픽을 우회시킬 수 있다. 공유 템플릿은 한 줄을 플릿 전역 동작으로 만들 수 있다.

배포 전 폭발력 평가는 물어야 한다:

어떤 라우터와 세션이 변경된 개체를 참조하는가;
어떤 프리픽스가 정책에 일치할 수 있는가;
어떤 이웃이 새롭거나 변경된 광고를 받을 수 있는가;
변경이 고객, 피어, 사업자 관계에 다르게 작용하는가;
어떤 중요 서비스가 영향받은 경로에 의존하는가;
롤백 자체가 대규모 업데이트 버스트를 만들 것인가;
모니터링이 예상되는 외부 경로를 커버하는가;
하나의 카나리아가 최종 배포의 의미 있는 표본이 되는가.

평가는 불확실성을 포함해야 한다. 피어 정책을 모른다면 그 불확실성은 초기 배포를 좁히고 외부 모니터링을 강화할 이유이다. 피어가 오류를 억제해 줄 것이라 가정할 이유가 아니다.

ThousandEyes는 2017년 사건에서 1,000개를 넘는 더 구체적인 경로를 보고했다. [2] APNIC의 연간 검토는 이 인시던트를 수천 개의 자율 시스템에 영향을 준 대형 라우팅 보안 사건으로 분류했다. [4] 이 수치는 명명된 분석의 관측이지 완전한 내부 집계가 아니다. 그럼에도 경로 수량과 외부 전파가 정지 조건이었어야 하는 이유를 보여준다.

운영 목표는 경로 업데이트를 0으로 보장하는 것이 아니다. 네트워크는 변해야 한다. 목표는 의도된 범위를 측정 가능하게 만들고, 운영 상태가 그것에서 벗어날 때 탐지하는 것이다.

백본의 정지 조건은 경로 수, 새로운 오리진이나 경로 패턴, 피어별 익스포트 변경, 컬렉터 가시성, 패킷 손실, 고객 알람을 결합할 수 있다. 임계값은 변경 요청과 연결되어 대응자가 이상이 기대된 것인지, 용인 가능한 것인지, 롤백 근거인지 알 수 있어야 한다.

인시던트가 발생하면 동일한 폭발력 모델이 증거 기록의 일부가 된다. 조사자는 예측 범위와 실제 범위를 대조하고, 빠진 의존성을 식별하고 다음 검사를 개선할 수 있다.

롤백은 계획서의 문장이 아니라 운영 능력이다

변경 관리 절차가 이전 설정 복원 지시만으로 존재한다면 불완전하다. BGP 롤백 자체가 수렴, 철회, 트래픽 이동을 만들 수 있다. 운영 행위로서 설계되고 시험되어야 한다.

공개 기록은 Level 3가 설정 문제를 수정했고 ThousandEyes가 약 11:25(태평양 시간)까지 유출 경로의 철회를 관측했다고 전한다. [1][2] 누가 롤백을 승인했는지, 이전 설정이 원자적으로 복원되었는지, 장치들이 어떻게 수렴했는지, 어떤 외부 신호로 복구를 확인했는지는 공개되지 않았다.

이 미지들이 책임성 있는 운영사가 보존해야 할 증거를 정의한다:

변경 식별자와 정확한 diff;
배포 시작, 범위, 운영자;
첫 이상과 알람;
인시던트 선언과 지휘 소유자;
배포 중단 또는 역전 결정;
롤백 명령 또는 대체 정책;
장치 및 세션별 완료;
경로 철회와 기대 재광고;
지역 및 피어별 포워딩 복구;
고객 및 접속 사업자 확인;
롤백 후 안정 구간.

롤백 속도만이 유일한 척도는 아니다. 낡은 경로 상태를 남기거나 세션에 과부하를 주는 빠른 역전은 피해를 연장할 수 있다. 두 번째 실패를 막는다면 더 느린 단계적 롤백이 정당할 수 있다. 기록은 결정과 그 효과를 설명해야 한다.

팀은 또한 운영 라우팅이 저하된 경우 네트워크를 제어할 대역 외 경로가 필요하다. 복구 중인 경로와 동일한 경로에 의존하는 관리 접속은 라우팅 오류를 복구 실패로 바꿀 수 있다. 2017년 공개 증거는 Level 3가 관리 접속을 잃었다고 말하지 않는다. 요점은 인시던트 특정 주장이 아니라 실패 유형에서 파생된 통제 요건이다.

고객에게도 병행 롤백 계획이 필요하다. 상위 경로 실패를 본 기업은 트래픽을 옮기거나, 광고를 바꾸거나, 다른 사업자를 사용할 수 있다. 이런 조치는 자체 전파 위험을 만들 수 있다. 고객은 누가 행동할 수 있는지, 어떤 경로가 독립적인지, 페일오버가 사건을 악화시키지 않음을 어떻게 검증할지 정의해야 한다.

운영자가 훈련에서 롤백을 시연하고 실제 인시던트 증거가 계획된 단계와 일치함을 보일 때 롤백은 신뢰할 수 있게 된다. 설정이 수정되었다는 일반적 진술은 출발점이지 복구 거버넌스의 완전한 증명이 아니다.

피어들에게도 자체 억제 통제가 있었다

나쁜 경로를 만든 네트워크가 변경의 1차 통제 소유자이지만, 도메인 간 라우팅은 책임을 분산한다. 각 피어가 무엇을 수용하고, 선호하고, 전파할지 결정한다.

RFC 7454는 프리픽스 필터링, AS 경로 필터링, 한도, 관계 인식 정책을 포함한 BGP 운영 보안 관행을 기술한다. [15] MANRS 역시 네트워크 운영사 간 필터링, 조율, 글로벌 검증, 안티스푸핑에 대한 기대치를 제시한다. [18]

피어 책임은 모든 관계에서 동일하지 않다. 사업자는 무정산 피어보다 고객의 기대 프리픽스 집합과 라우팅 역할을 알 근거가 더 강하다. 고객은 모든 사업자 경로의 완전한 목록을 가지지 않을 수 있다. 대규모 동적 네트워크는 정적 필터 유지를 어렵게 한다. 정책 오류는 어느 쪽에서든 발생할 수 있다.

그럼에도 경로를 수용하는 네트워크는 자신의 신뢰 모델을 설명할 수 있어야 한다:

각 고객으로부터 기대되는 프리픽스와 오리진;
더 구체적인 광고가 허용되는지;
AS 경로가 관계와 일치하는지;
적용되는 경로 수 또는 max-prefix 한도;
특이 광고가 알람이나 거부를 유발하는지;
예외가 어떻게 승인되고 만료되는지;
기대치를 검증하는 독립 데이터 소스;
광고 네트워크와의 긴급 조율 방식.

공개 레지스트리 정보가 이 통제를 지지할 수 있으나 낡거나 불완전할 수 있다. 인터넷 라우팅 레지스트리 개체, RPKI 승인, 관측된 경로는 각각 다른 질문에 답한다. 운영사는 하나의 데이터 소스를 완전한 정책 오라클로 다루지 말아야 한다.

2017년 사건은 집합적 억제 문제를 보여준다. Level 3는 관측된 광고를 만든 설정을 통제했다. 다른 네트워크들은 그 광고들을 충분히 수용해 트래픽 경로를 바꾸었다. 일부는 그들이 가진 정보 하에서 타당한 운영상 이유가 있었을 수 있다. 다른 일부는 전파를 제한할 수 있었던 필터가 없었을 수 있다.

책임성 있는 검토는 설정 없이 익명의 피어에게 책임을 돌리지 않아야 한다. 어떤 억제 통제가 기술적으로 가능했는지, 어떤 것이 사용 중이었는지, 어떤 알람이 울렸는지, 이후 훈련이 개선을 증명하는지 물어야 한다.

동일한 논리가 비용 전가를 막는다. 백본은 설정 오류의 영향을 접속 사업자, 콘텐츠 네트워크, 사용자에게 외부화할 수 있다. 피어는 약한 필터링을 넓은 라우팅 시스템에 외부화할 수 있다. 어느 한 운영사도 모든 수용 결정을 통제하지 않기 때문에 공유 증거와 조율된 개선이 필요하다.

RPKI는 오리진 승인에는 도움이 되지만 모든 유출은 막지 못한다

RPKI는 주소 보유자가 어떤 자율 시스템이 지정된 프리픽스를 오리기네이트할 수 있는지 식별하는 경로 오리진 승인(ROA)을 만들게 한다. 경로 오리진 검증은 오리진과 프리픽스 길이가 유효한 승인과 일치하는지에 따라 경로를 분류한다. RFC 6811은 그 검증 상태와 로컬 정책 반영 방식을 정의한다. [17]

이는 중요한 통제지만 범위를 정확히 서술해야 한다.

무단 자율 시스템이 프리픽스를 오리기네이트하면 유효한 ROA가 네트워크가 무효 경로를 식별하고 거부하는 데 도움이 될 수 있다. 경로 유출이 승인된 오리진을 유지하면서 익스포트 범위를 위반한다면 경로는 오리진 유효 상태로 남을 수 있다. RPKI 오리진 검증은 완전한 사업 관계나 의도된 경로를 부호화하지 않는다.

Level 3의 공개 기록은 2017년 11월 영향받은 모든 프리픽스의 ROA 상태, 모든 피어의 ROV 정책, 또는 하나의 통제가 인시던트를 막았을 반사실(counterfactual)을 확립하지 않는다. 따라서 본 기사는 RPKI가 이 사건을 막았을 것이라고 주장하지 않는다.

RPKI는 개선 프레임워크에서 하나의 계층이다:

ROA는 오리진 승인을 명시적으로 만든다;
ROV는 일부 무단 오리진을 거부할 수 있다;
프리픽스 필터는 이웃이 광고할 수 있는 것을 제한한다;
관계 인식 경로 정책은 경로 전파를 제한한다;
max-prefix 통제는 수량을 제한한다;
이상 탐지는 예상 밖 변경을 식별한다;
모델 기반 변경 검증은 의도된 익스포트 동작을 시험한다;
라우트 컬렉터와 포워딩 프로브는 실측 결과를 확인한다.

BGP 역할(BGP Roles)과 경로 유출 방지 같은 이후 메커니즘은 관계 경계의 일부를 더 직접적으로 부호화할 수 있다. 이는 이후의 통제로 평가해야 하며, 2017년에 배치된 것으로 소급 주장해서는 안 된다.

더 넓은 책임성 요점은 보안 통제가 실패 모드와 일치해야 한다는 것이다. 모든 BGP 문제를 RPKI 공백으로 규정하면 거짓 안심을 만들 수 있다. 네트워크는 오리진 승인이 완전하면서도 유효한 경로를 잘못된 방향이나 의도치 않은 더 구체적 프리픽스로 익스포트할 수 있다.

운영사는 실제 사슬을 끊었을 것이라 믿는 통제를 보고해야 한다. 실패가 정책 생성이었다면 새 불변식 검사를 보여라. 실패가 피어 필터 부재였다면 필터와 경로 거부 훈련을 보여라. 무효 오리진이 전파되었다면 ROV 커버리지를 보여라. 각 주장은 관측된 동작과 연결되어야 한다.

레지스트리 기록은 증거이지 경로 강제가 아니다

Heng.lu 원칙은 기록과 운영 시스템 사이의 유용한 구분을 제시한다.

ASN과 주소 기록은 식별자, 자원 보유자, 연락처, 등록 이력을 보존한다. 라우팅 레지스트리는 의도된 정책을 기록할 수 있다. RPKI는 오리진 승인을 기록할 수 있다. 이 시스템은 고유성, 추적성, 이전 기록, 보안 메타데이터, 조율을 지원한다.

그러나 패킷을 포워딩하거나 모든 피어의 정책을 선언으로 강제하지는 않는다.

RIPEstat은 조사자가 AS3356을 식별하고 공개 라우팅 데이터를 보는 데 도움이 될 수 있다. [10] RouteViews, RIPE RIS, BGPStream은 컬렉터가 관측한 광고를 보여줄 수 있다. [11][12][13] 이 기록은 책임성 대장의 일부이다. 각 네트워크가 수용한 운영 경로와 패킷을 위해 선택된 포워딩 경로가 현실 계층으로 남는다.

이 구분은 두 가지 오류를 막는다.

첫 번째 오류는 등록을 건전한 운영의 증명으로 다루는 것이다. 올바르게 등록된 ASN도 결함 정책 하에 경로를 광고할 수 있다. 정확한 자원 데이터가 설정 변경의 안전을 증명하지 않는다.

두 번째 오류는 레지스트리 관리자를 도메인 간 라우팅의 주권적 통제자로 다루는 것이다. 운영자가 로컬 정책을 선택하고 라우터를 운영한다. 기록 보관자는 증거와 보안 메타데이터를 개선할 수 있지만 운영 책임을 대체하지 못한다.

따라서 2017년 인시던트의 증거 사슬은 다음을 연결해야 한다:

등록된 ASN과 주소 자원;
의도된 Level 3와 Comcast 관계 정책;
경로 동작을 바꾼 설정 diff;
내부 경로 상태;
컬렉터가 관측한 광고;
피어 수용;
실제 포워딩 경로;
사용자에게 보이는 손실과 지연;
철회와 복구.

어느 한 계층으로는 충분하지 않다. 외부 증거 없는 사적 설정 diff는 전파를 놓칠 수 있다. 의도 없는 컬렉터 업데이트는 경로가 나타난 이유를 증명하지 못한다. 경로 데이터 없는 사용자 불만은 실패한 통제를 식별하지 못한다.

원칙은 실용적 거버넌스 규칙이지 홍보 문구가 아니다. 책임성은 운영 시스템을 운영하는 당사자를 따라가야 하며, 정확한 기록은 누가 자원을 통제했고 어떤 정책이 주장되었는지 보존한다.

인시던트 커뮤니케이션은 실패한 계층을 명명해야 한다

2017년 장애를 겪은 사용자는 애플리케이션 실패나 지연을 보았다. 그들은 일반적으로 BGP 정책 개체, AS 경로, 트래픽을 우회시킨 경로를 보지 못했다.

이 간극은 인시던트 커뮤니케이션을 기술 통제 시스템의 일부로 만든다. "인터넷 장애"라는 진술은 접속 사업자, 기업, 콘텐츠 네트워크를 안내하기에는 너무 광범위하다. 설정 문제가 라우팅에 영향을 주었다는 진술은 문제를 좁힌다. 유용한 업데이트는 민감한 세부를 노출하지 않으면서 더 나아간다.

책임성 있는 통지는 다음을 밝힐 수 있다:

영향받은 네트워크 계층;
대략적 시작 시간과 탐지 출처;
당시 알려진 광범위한 범위;
운영사가 추가 변경을 중단했는지;
경로를 철회 중이거나 복구 중인지;
어떤 고객 등급이나 피어 지역이 여전히 영향받는지;
복구를 정의할 증거;
아직 미확인인 사실.

공개 보도는 Level 3의 설정 문제 설명을 전했다. [1][5][6] 이는 설명 없는 서비스 저하 통지보다 정보적이었다. 공개 기록에는 전체 내부 수순과 통제 변경을 담은 상세한 사업자 사후 분석은 나타나지 않는다.

접속 사업자에게도 커뮤니케이션 의무가 있었다. Comcast 사용자는 서비스 실패를 보았고 ThousandEyes의 분석은 Comcast 경로에 집중되었다. [2] Comcast는 고객 관계를 통제했으며 Level 3의 설정을 통제하지 않았음에도 가입자 영향을 기술할 수 있었다.

커뮤니케이션은 불확실성을 보존해야 한다. 비슷한 시기에 AT&T, Verizon, Spectrum 등 다른 네트워크가 문제를 겪었다는 보도는 공통 기술 원인을 증명하지 않는다. [5][6] 사업자는 확인된 공유 영향과 조사 중인 상관 불만을 구분해야 한다.

복구 메시지에도 증거가 필요하다. "해결됨"은 변경이 롤백되었다는 것 이상을 의미해야 한다. 정의된 구간 동안의 안정 경로, 기대 경로, 정상화된 패킷 손실, 성공한 고객 트랜잭션에 의해 뒷받침되어야 한다.

정확한 커뮤니케이션은 운영 비용을 줄인다. 고객이 페일오버할지, 로그를 보존할지, 상위 복구를 기다릴지 판단하게 돕는다. 또한 이후 주장을 검증할 수 있는 타임스탬프 기록을 만든다.

사용자 영향은 측정된 경로를 넘어 과장되지 않아야 한다

당시 보도는 광범위하거나 전국적인 장애를 기술했다. ThousandEyes는 여러 미국 지역에 걸친 영향을 보고했으며 잠재적으로 수백만 Comcast 사용자가 관련되었음을 전했다. [1][2][5][6] 이 기술은 실질적 영향을 확립한다. 그러나 모든 Comcast 고객이나 보고된 모든 사업자가 동일한 장애를 겪었다는 주장을 정당화하지는 않는다.

영향 평가는 다음을 구분해야 한다:

컬렉터에서의 경로 가시성;
특정 프로브의 포워딩 변경;
패킷 손실과 지연;
명명된 목적지 도달 불능;
접속 사업자 서비스 불만;
애플리케이션 트랜잭션 실패;
지역과 네트워크별 지속 시간;
잠재 사용자 대 확인된 실패 세션.

한 사람은 캐시된 DNS 응답과 작동하는 경로를 가졌을 수 있고 다른 사람은 같은 서비스에 도달하지 못했을 수 있다. 한 기업은 두 번째 트랜짓 사업자를 사용했을 수 있다. 모바일 앱은 다른 엔드포인트로 재시도했을 수 있다. 동일한 BGP 사건이 이질적 결과를 만들 수 있다.

본 원문에는 방어 가능한 총 금전 손실 수치가 없다. 모든 사업 중단에 대한 법적 인과도 확립하지 않는다. 본 기사는 사용자 추정치에 장애 지속 시간을 곱해 이를 만들어내지 않는다.

내부 텔레메트리를 가진 운영사는 더 잘할 수 있다. 트래픽 이동, 버려진 패킷, 실패한 세션, 영향받은 프리픽스, 고객 티켓, 지역별 복구를 보고할 수 있다. 접속 사업자는 가입자 세션과 애플리케이션 수준 효과를 측정할 수 있다. 대형 고객은 실패한 트랜잭션과 의존성별 손실을 측정할 수 있다.

이 측정들은 하나의 헤드라인 숫자로 축소되기보다 상호 조율되어야 한다. 경로 수는 네트워크 상태를 측정한다. 패킷 손실은 경로 증상을 측정한다. 불만 건수는 가시적 불만을 측정한다. 트랜잭션 실패는 사업 효과를 측정한다. 각각은 분모와 한계가 명시될 때 유용하다.

이 절제가 책임성에 중요하다. 과장된 주장은 보고서가 쉽게 배척되게 만든다. 한정된 측정은 어떤 통제가 실패했는지, 개선이 무엇을 증명해야 하는지 식별한다.

독립 재구성에는 문서화되어야 할 한계가 있다

공개 경로 데이터는 운영사 외부에서 인시던트를 연구할 수 있게 하기 때문에 특별히 가치 있다. 그 독립성은 책임성을 만들지만 전지성은 만들지 않는다.

RouteViews와 RIPE RIS는 참여 피어가 컬렉터에 보낸 경로를 본다. [11][12] BGPStream은 연구자가 관측을 처리·비교하게 돕는다. [13] RIPEstat은 자원과 라우팅 뷰를 결합한다. [10] ThousandEyes는 분산 관측 지점의 포워딩과 서비스 시험을 더한다. [2]

함께, 이 출처들은 다음을 확립할 수 있다:

선택된 경로가 변경되었음;
어떤 오리진과 경로가 보였는지;
광고와 철회의 대략적 시점;
측정된 위치에서 트래픽이 변경된 경로를 따랐는지;
손실이나 지연이 상승했는지;
측정된 접속성이 언제 회복되었는지.

일반적으로 확립할 수 없는 것:

운영자가 입력한 정확한 명령;
내부 정책 생성 사슬;
모든 라우터의 모든 경로;
프라이빗 피어링과 로컬 프리퍼런스 결정;
완전한 고객 집합;
배포 또는 롤백의 결정 소유자;
내부 알람과 인시던트 커뮤니케이션;
개선 조치의 현재 효과.

독립 보고서는 컬렉터 커버리지, 시계 정밀도, 정규화 선택, 결측 데이터를 라벨링해야 한다. 가능한 한 원시 업데이트 참조를 보존해 다른 분석가가 결과를 재현할 수 있게 해야 한다.

운영사는 더 풍부한 패키지를 보존해야 한다. 설정 버전, 장치 로그, 라우트 정책 평가, 라우트 리플렉터 상태, 피어 통지, 텔레메트리, 패킷 경로 시험, 인시던트 티켓, 변경 승인이 포함될 수 있다. 민감한 세부는 통제 하에 감사자나 영향받은 파트너와 공유될 수 있다.

가장 신뢰할 수 있는 사후 분석은 사적 뷰와 공개 뷰를 연결한다. 관측된 광고가 왜 나타났는지, 어떤 내부 통제가 실패했는지, 경로가 어떻게 억제되었는지, 어떤 검사가 재발을 막는지 설명한다.

운영사가 그 증거를 공개하지 않는 곳에서도 독립 관측은 한정된 결론을 지지한다. 사적 공백을 채우기 위해 늘여서는 안 된다.

개선은 반복 가능한 경로 결함에 대해 검증 가능해야 한다

여기서 검토한 공개 기록은 2017년 11월 이후 Level 3와 그 피어들이 구현한 모든 개선을 확립하지 않는다. 따라서 책임 있는 평가는 현재의 실패나 성공을 주장하는 대신 어떤 증거가 복구를 입증할지 정의한다.

검증 가능한 개선 프로그램은 다섯 통제 집단을 커버해야 한다.

설정 생성과 검토

운영사는 라우팅 정책이 통제된 데이터로부터 생성되고, diff로 검토되며, 불변식에 대해 확인됨을 보여야 한다. 증거는 변경이 어떤 경로 등급과 관계에 영향을 줄 수 있는지 식별해야 한다.

단계적 배포와 정지 조건

운영사는 가능한 한 경계를 지닌 카나리아를 통해 배포하고, 실측 광고를 의도와 비교하며, 경로 수, 경로 변경, 손실, 지연이 승인된 경계를 넘으면 중단해야 한다.

피어 및 고객 필터링

운영사와 피어는 기대 프리픽스와 관계 정책을 유지하고, 예외 처리를 시험하며, 예상 밖 더 구체적 광고를 모니터링해야 한다. 통제는 하나의 레지스트리가 완전하다고 가정하기보다 복수의 증거 소스를 사용해야 한다.

롤백과 복구

팀은 롤백, 경로 철회, 세션 수렴, 대역 외 관리를 훈련해야 한다. 복구는 독립적인 경로 및 포워딩 관측으로 확인되어야 한다.

공개와 검증

사후 보고는 확인된 원인, 기여한 통제, 범위, 미지, 개선을 구분해야 한다. 이후 검사는 새 통제가 대표적 결함을 탐지하거나 억제하는지 보여야 한다.

현실적인 훈련은 실험실이나 격리된 경로 도메인에 안전한 합성 정책 오류를 도입할 수 있다. 오류는 의도된 관계를 넘어 더 구체적인 경로를 익스포트하려 시도해야 한다. 시스템은 생성 또는 배포 전 검증에서 이를 거부해야 한다. 카나리아에 도달하면 모니터링이 배포를 중단해야 한다. 피어 시험은 임포트 필터링을 입증해야 한다. 롤백 시험은 경로를 제거하고 기대 포워딩을 확인해야 한다.

훈련은 공개 인터넷에 유해한 경로를 주입해서는 안 된다. 목적은 대표적 환경에서 통제 사슬을 증명하고 감사 가능한 증거를 보존하는 것이다.

개선은 원래 실패 경로와 연결될 때 가장 강하다. 모니터링에 대한 일반적 투자는 익스포트 정책 검증을 증명하지 않는다. 새 RPKI 프로그램은 오리진 유효 유출의 억제를 증명하지 않는다. 개정된 절차는 경로 변동 하에서 롤백이 작동함을 증명하지 않는다.

이사회와 서비스 구매자가 물어야 할 것

백본 라우팅 리스크는 이사회 감독에는 너무 기술적으로 보일 수 있다. 관련 거버넌스 질문은 구체적이다.

이사회는 얼마나 많은 변경이 외부 광고 경로를 바꿀 수 있는지, 누가 승인할 수 있는지, 어떤 배포 전 불변식이 필수인지, 어떤 자동 정지 조건이 있는지 물어야 한다. 성숙도 라벨이 아니라 훈련의 증거를 요구해야 한다.

서비스 구매자는 사업자가 자기 네트워크 밖에서 경로와 포워딩을 모니터링하는지, 라우팅 인시던트를 얼마나 빨리 통지하는지, 대체 경로가 운영적으로 독립적인지 물어야 한다. 두 통신사를 명명한 계약이 두 회사가 하나의 백본이나 공유 시설에 의존한다면 경로 다양성을 증명하지 못한다.

네트워크 운영사는 레지스트리, RPKI, 관측 경로 데이터가 조율되는지, 고객 콘 기대치가 어떻게 유지되는지, 예외가 어떻게 만료되는지 물어야 한다. 어떤 피어가 비정상적으로 넓거나 더 구체적인 경로 집합을 보낼 수 있는지 알아야 한다.

인시던트 리더는 누가 배포를 동결할 수 있는지, 누가 롤백을 승인할 수 있는지, 어떤 증거가 복구를 정의하는지 물어야 한다. 의사결정 경로는 영향받은 네트워크가 불안정할 때도 사용 가능해야 한다.

감사자는 정책 문서만 검토하기보다 현재 설정과 경로 관측을 표본으로 검사해야 한다. 표준에는 존재하지만 템플릿이나 긴급 예외로 우회되는 통제는 효과적으로 운영되지 않는 것이다.

규제자는 라우팅 보안을 하나의 기술 의무로 축소하지 말아야 한다. 오리진 검증, 필터링, 변경 검증, 모니터링, 조율, 연속성은 서로 다른 실패 모드를 다룬다. 증거 요구는 하나의 메커니즘이 모든 유출을 해결한다고 가장하지 않으면서도 기술을 인식할 수 있다.

이 질문들은 부정행위를 가정하지 않는다. 실용적 통제를 따른다. 강한 증거를 가진 운영사는 비정상적 실패가 합리적 통제를 통과했고 빠르게 억제되었음을 보일 수 있다. 증거가 없는 운영사는 BGP의 복잡성을 적절한 주의 입증으로 대체할 수 없다.

미해결 질문은 결론의 일부이다

공개 증거는 중요한 질문을 미해결로 남긴다:

어떤 정확한 설정이나 생성된 정책이 경로를 만들었는가?
배포 전에 어떤 검토와 검증 검사가 실행되었는가?
몇 개의 장치와 세션이 변경을 받았는가?
어떤 피어 관계가 광고를 수용하거나 거부하도록 기대되었는가?
어떤 내부 알람이 예상 밖 전파를 처음 식별했는가?
누가 배포를 중단하고 롤백을 승인했는가?
경로 철회와 포워딩 복구가 어떻게 검증되었는가?
어떤 피어가 사건 이후 필터를 바꾸었는가?
어떤 개선이 구현되고 이후 훈련되었는가?

이 미지들은 관측된 인시던트를 지우지 않는다. 결론의 한계와 결론을 강화하는 데 필요한 증거를 정의한다.

기록은 근본 원인 등급을 지지한다: Level 3는 장애 원인을 설정으로 돌렸고, 독립 분석가들은 AS3356을 포함한 경로 유출과 포워딩 손상을 관측했다. [1][2][3][4][5][6]

기여 조건을 지지한다: 백본 규모, 네트워크 간 경로 수용, 더 구체적 프리픽스의 힘, 외부 억제의 한계.

트리거는 높은 수준에서만 지지한다: 라우팅 설정 변경 또는 설정 오류. 정확한 명령과 배포 경로는 공개되지 않았다.

탐지와 복구 연대기는 외부 측정에서만 지지하며, 완전한 내부 인시던트 타임라인은 아니다.

이 구분이 중요하다. 근본 원인, 기여 조건, 트리거, 탐지, 대응, 복구는 연관되지만 교환 가능하지 않다. "인적 오류"를 근본 원인이라 부르는 보고서는 왜 하나의 변경이 검토를 벗어나 전파될 수 있었고 외부 관측자가 실패를 설명해야 했는지 검토하기 전에 멈춘다.

책임성 기준은 운영 상태에서 증명되는 의도된 정책이다

2017년 11월 6일 인시던트는 단순히 여러 웹사이트가 느려 보였던 기간이 아니었다. 외부적으로 관측된 BGP 변경이 트래픽을 우회시키고 조직 경계를 넘어 접속성을 저하시킨 도메인 간 라우팅 사건이었다.

가장 강한 공개 증거는 한정되어 있다. ThousandEyes는 경로 및 포워딩 변경, Comcast 네트워크에 연관된 더 구체적 광고, 증가한 패킷 손실과 지연, 약 11:25(태평양 시간)까지의 철회를 보고했다. [2] Level 3는 장애 원인을 설정 문제로 돌렸다. [1][5][6] Batfish는 정책 의도를 배포 전에 모델링해야 하는 이유를 이 사건으로 보여주었다. [3] APNIC은 이를 2017년의 대형 라우팅 보안 인시던트로 분류했다. [4]

출처들은 정확한 내부 명령, 영향받은 모든 프리픽스와 사용자, 모든 피어 정책, 결정 소유권, 현재 개선 효과를 노출하지 않는다. 악의적 의도 주장을 지지하지 않는다.

책임성은 실용적 통제를 따른다. Level 3는 변경과 그 익스포트 정책을 통제했다. 피어는 수용과 억제를 통제했다. Comcast는 가입자 커뮤니케이션과 서비스 복구의 일부를 통제했다. 고객은 대체 경로와 외부 모니터링을 설계할 수 있었다. 최종 사용자는 영향을 보고할 수 있었지만 BGP를 복구할 수는 없었다.

Heng.lu 원칙이 최종 검사를 제공한다. ASN, 레지스트리, 정책 기록은 자원을 식별하고 의도를 보존한다. 이는 책임성 대장이지 경로 강제가 아니다. 운영 중인 BGP 광고, 피어 결정, 포워딩 경로, 관측된 복구가 네트워크가 실제로 그 의도를 존중했는지 결정한다.

따라서 신뢰할 수 있는 복구는 필터, RPKI, 검토 절차가 존재한다는 진술이 아니다. 대표적 결함 익스포트가 거부되거나 억제되고, 예상 밖 경로 변경이 배포를 중단시키며, 롤백이 기대 경로를 복원하고, 독립 프로브가 사용자 접속성을 확인한다는 증거이다.

설정이 수천 개의 네트워크에 영향을 줄 수 있는 백본에서는 의도된 정책이 운영 상태에서 증명되어야 한다. 2017년 Level 3 사건이 불가피하게 만든 책임성 기준이 바로 그것이다.

Level 3의 2017년 BGP 설정 오류, 백본 변경 관리가 책임성 시험으로 남다

왜 중요한가

요약