Martin Levy는 유령 경로에 14일짜리 시계를 달았다

Summary

• Martin Levy, Job Snijders, Erik Bais는 RPKI의 경로 출발지 승인과 충돌하는 RIPE-NONAUTH 기록을 정리하기 위해 RIPE 제안 2018-06을 작성했다.
• 최종 정책은 통지 후 14일 연속 충돌할 때 삭제하도록 했다. 첫 실행에서 978개 객체가 정리 대상으로 표시됐고 269개 주소에 메일이 발송됐다.

낡은 기록이 필터가 되는 순간

라우팅 레지스트리의 route·route6 객체는 특정 프리픽스를 어느 자율 시스템이 알릴 것인지 적는다. 네트워크는 이 자료로 필터를 만든다. APNIC의 Levy 소개는 그의 오랜 네트워크 구축 경험을 기록한다. 이런 자료의 정확성은 네트워크 설정에 직접 닿는 문제다. RIPE-NONAUTH에는 RIPE 관할 밖에서 관리되는 자원에 관한 기록도 있다. 자원 보유자가 생성에 동의하지 않은 객체가 필터의 재료로 남을 수 있다. 보유자가 다른 출발지 AS를 승인하는 ROA를 발행하면, 오래된 객체와 서명된 허가가 서로 맞선다.

RIPE 제안 기록은 Levy, Snijders, Bais 세 사람을 저자로 명시한다. 채택된 RIPE-731은 해결 절차를 좁고 분명하게 썼다. 객체의 프리픽스와 출발지 ASN을 다섯 RIR 중 한 곳이 발행한 ROA에 비춰 출발지 검증을 한다. 결과가 invalid라면 RIPE NCC는 RPSL 통지 항목으로 연락하고, RDAP를 통해 보유자 연락처를 찾을 수도 있다. 충돌이 14일 내내 이어져야 객체를 삭제하고 마지막 통지를 보낸다.

14일이라는 숫자가 나온 배경에는 구체적인 반론이 있었다. RIPE db-wg의 2018년 10월 기록에서 Nick Hilliard는 보유자가 ROA에 필요한 AS를 빠뜨리거나 여러 ROA를 만드는 도중 삭제 작업이 돌 수 있다고 지적했다. 그는 사전 통지와 유예 기간을 요구했다. Job Snijders는 206.48.168.0/22의 출발지를 AS4663으로 적은 객체를 예로 들었다. 상위 프리픽스의 ROA가 다른 AS만 허용한다면 이 객체는 출발지 검증에서 invalid가 된다. ROA를 확인하지 않고 IRR로만 필터를 만드는 네트워크에는 그런 낡은 객체가 계속 재료로 쓰일 수 있다.

최종 정책은 통지 뒤 14일 연속 충돌을 요구한다. 보유자는 그 사이 ROA를 바로잡을 수 있고, 계속 틀린 비권위 객체에는 삭제 날짜가 생긴다. 적용 대상은 RIPE-NONAUTH이며 RIPE가 직접 관리하는 자원은 이 절차에서 제외된다.

제안은 2019년 11월 수용됐고 2020년 1월 구현됐다. 첫 야간 작업 뒤 RIPE NCC가 밝힌 수치는 충돌 객체 978개 표시, 이메일 수신 주소 269개였다. 2020년 5월 RIPE 80에서 데이터베이스 팀은 이 정리 작업이 NONAUTH route(6) 객체 1,049개를 삭제했다고 보고했다. 운영 자료상 전체 삭제 1,595개의 66%였고, 약 6만 4,000개 객체가 남아 있었다. 정책은 첫날의 통지에서 끝나지 않고 밤마다 돌아가는 정리 규칙이 됐다.