Summary

  • Ondřej Caletka는 RIPE 92 회의장 네트워크가 ASPA 무효 경로를 거부한 뒤 CZ.NIC에 IPv6로 닿지 못했다고 발표했다. 단 하나의 상위 사업자가 전달한 최선 경로가 거부 대상이었고, 회의장 라우터에는 대안이 보이지 않았다.
  • CZ.NIC 측이 AS6939를 ASPA 제공자 목록에 넣자 약 10분 뒤 경로 정보에 반영됐다고 Caletka는 설명했다. 이어진 토론은 마지막 연결선에서 필터를 어디에 둘 것인가로 번졌다.

보안 필터가 성공했다고 박수치기 직전에 목적지 하나가 사라졌다. Ondřej Caletka는 이 난감한 결과를 RIPE 92 전체회의 무대에 올렸다. 회의장 운영팀은 자기 ASN의 ASPA 객체에 서명하고 무효 판정을 받은 경로를 버리기 시작했다. 얼마 지나지 않아 CZ.NIC 쪽에서 IPv6로 연결되지 않는다는 연락이 왔다. Caletka는 테스트를 조용히 되돌리는 대신, 어떤 경로가 어디서 사라졌는지 공개했다.

공식 발언록을 보면 회의장 네트워크는 상위 사업자 한 곳에만 연결돼 있었다. BGP 전체 테이블은 받았지만 기본 경로는 없었다. CZ.NIC로 향하는 최선 경로는 AS6939인 Hurricane Electric을 지나갔다. 무료 IPv6 트랜짓을 제공하는 이 망은 관련 ASPA 제공자 목록에 들어 있지 않았다. 검증 결과는 무효였고 회의장 라우터가 경로를 지웠다. 상위 사업자는 최선 경로 하나만 전달했다. 더 위쪽에 승인된 다른 길이 있어도 회의장까지 내려오지 않았다. 필터는 보이는 길을 정확히 막았고, 볼 수 없는 길을 새로 만들어 주지는 못했다.

CZ.NIC 운영자가 AS6939를 ASPA 제공자 목록에 추가했다. Caletka의 설명으로는 변경 내용이 라우팅 정보에 나타나는 데 약 10분이 걸렸다. RIPE NCC의 ASPA 운영 문서는 목록 관리의 책임을 분명히 한다. 대시보드가 실제 상위 사업자를 알아서 찾아주지는 않는다. 피어링 상대라도 동시에 트랜짓을 제공한다면 명시해야 하고, 연결 관계가 바뀌면 서명 정보도 갱신해야 한다. 무료 회선도 패킷을 운반한다.

토론장은 쉬운 합의를 내놓지 않았다. Job Snijders는 원격지의 인증 정보나 트랜짓 관계를 바로잡아야 한다고 주장하며 검증 자체를 탓하는 설명에 반대했다. Caletka는 단일 상위망 고객에게 오지 않은 대체 경로를 선택할 방법이 없다고 맞섰다. Gert Doering은 마지막 상위 연결에서는 경로를 받아들이고 피어링 지점에서 필터링하는 방안을 제시했다. 회의 기록에 남은 이 충돌은 경로의 판정과 필터의 위치를 따로 생각하게 만든다.

RIPE NCC 직원 소개에 따르면 Caletka는 교육용 실습 환경을 만들고 운영한다. RIPE 93의 ASPA 강좌에는 라우터 설정과 검증 실패 진단이 포함됐다. 에든버러 실험을 첫 문제로 내면 좋겠다. 필터를 켜기 전에 상위망이 실제로 몇 개의 길을 보내는지 확인하라.