Summary

  • Sebastian Becker의 RIPE 92 발언에 따르면 고객 범위 필터에 쓰는 AS-SET에는 자기 AS와 하위 고객망을 넣어야 한다. 피어와 상위 사업자의 관계는 용도를 구분한 다른 집합에 적는다.
  • 그는 BGP 가동 전 고객이 예고한 프리픽스와 생성 필터의 크기를 비교한다. 100개를 예고했는데 집합이 1만 개로 늘어나는 상황은 점검 방법을 설명한 예시이며 실제 사고 통계가 아니다.

고객 목록을 읽는 사람이면 잘못된 관계를 의심할 수 있다. 목록을 받아 자동으로 경로 필터를 만드는 장비는 명시된 관계를 그대로 따른다. Deutsche Telekom AS3320의 피어링 책임자 Sebastian Becker는 RIPE 92에서 등록부의 문장이 운영 권한으로 바뀌는 순간을 짚었다.

고객 범위를 나타내는 AS-SET에는 자기 AS와 아래 고객의 AS 또는 AS-SET이 들어간다. 피어나 상위 사업자를 기록할 때는 목적을 밝힌 별도 집합을 써야 한다. 서로 다른 관계를 한데 넣으면 재귀적으로 풀린 필터가 계약상 고객 경로보다 넓어진다. 경로 유출을 막으려는 장치가 오히려 잘못된 경로에 문을 열 수 있다.

같은 이름의 집합이 여러 IRR 데이터베이스에 있는 일도 있다. Becker는 실제로 관리되는 사본은 하나인데 오래된 사본까지 읽어 들이는 문제를 설명했다. 예전 관계가 새 필터에 다시 등장하는 셈이다. 어느 데이터베이스에서 유지하는지, 집합이 어떤 관계를 뜻하는지 명시해야 생성 결과를 검증할 수 있다.

그가 제시한 사전 시험은 선명하다. 고객은 100개 프리픽스를 보내겠다고 했는데 집합을 펼치니 1만 개가 나온다. 그의 팀은 BGP 세션을 활성화하거나 필터를 받아들이기 전에 시험하고 차이를 고객에게 알린다고 했다. 신규 고객의 기록을 연결 전에 준비하면 정당한 경로는 첫날부터 통과할 수 있다. 공식 발표 페이지는 Fedor Vompe도 공동 발표자로 적었다. 뒤이어 나온 AS-SET 순환 수치는 Vompe가 맡은 부분이다.

Becker는 2024년 본인이 보낸 공지에서 AS3320이 RPKI 무효 기원을 거부하고 알 수 없는 상태는 계속 받을 계획이라고 밝혔다. 기원 검증과 고객 관계 기록은 각각 다른 결정을 돕는다. 사전 시험이 실제로 몇 건을 막았는지 알려면 날짜가 남은 필터 차이, 수신 경로, 수정 기록이 필요하다.

첫 경로가 들어오기 전에 명단을 점검하는 이유가 여기 있다. 관계를 정확히 적으면 자동화가 시간을 아낀다. 뒤섞인 명단을 넣으면 오래된 실수만 더 빠르게 실행된다.

자료: RIPE 92 공식 속기록 · 공식 발표 페이지 · RIPE NCC 인물 소개 · Becker의 2024년 원문 공지.