요약

  • RFC 8206은 로컬에서 구성된 BGPsec PE가 두 ASN 모두에 대해 유효한 키를 유지할 것을 요구합니다. 여기에는 관련 eBGP 세션이 마이그레이션을 마칠 때까지 기존 키를 보존하는 것이 포함되며, 이는 조건부 경로 인증 메커니즘이지 기업 기록이 아닙니다.
  • 동시 ROA, 이중 서명 또는pCount=0전환 세그먼트는 정의된 신뢰 경계 안에서만 좁은 라우팅 결론을 지원할 수 있습니다. 어느 것도 합병, 인수, 완료된 마이그레이션, 피어의 동의, 전달된 트래픽 또는 서비스 성공을 증명하지 않습니다.

오래된 번호에는 강력한 수사적 끌림이 있습니다. 오래된 번호는 역사를 암시하고, 새 번호는 계승을 암시합니다. 두 번호가 같은 경로에 서명할 수 있다면, 완성된 기업 서사를 이야기하고 싶은 유혹이 생깁니다. 두 시스템이 하나가 되었고, 기존 신원은 서류상으로만 남았으며, 기술적 흔적이 외부인에게 지금 누가 무엇을 통제하는지 알려준다는 이야기입니다. 그러나 그 이야기는 BGPsec 업데이트에 담긴 증거보다 훨씬 큽니다.

Wesley George와 Sandy Murphy가 RFC 8206을 쓴 것은 훨씬 소박한 문제를 풀기 위해서였습니다. 이 문서는 프로바이더가 AS를 병합하거나, 일정 기간 레거시 식별자를 유지하거나, 프로바이더 에지 라우터가 피어에게 기존 ASN처럼 보이게 만들 수 있는 자율 시스템(AS) 마이그레이션을 다룹니다. 조건부 표현이 중요합니다. 프로바이더가 AS를 병합할 수도(may) 있다고 되어 있을 뿐, RFC는 실제로 그렇게 한 사업체를 특정하지 않습니다. 이 문서는 마이그레이션 중에 생길 수 있는 프로토콜 제약 조건을 기술할 뿐, 기업 행위의 등록부가 아닙니다.

시작 조건은 의도적으로 정돈되어 있지 않습니다. 마이그레이션은 오래 걸릴 수 있습니다. RFC는 모든 BGP 스피커가 동시에 바뀌도록 요구하지 않고, 모든 고객과의 조율을 강제하지도 않습니다. 운영자가 로컬 세션과 구성을 옮기는 동안 기존 ASN은 계속 사용될 수 있습니다. 그렇기 때문에 기존 키는 운영상의 의존 관계로 이해해야 합니다. 어떤 PE에 구성된 기대치가 아직 옮겨지지 않은 인접 세션이 남아 있다면, 키는 여전히 유효할 수 있습니다. 키는 보도 자료도, ASN 뒤에 있는 조직에 대한 공증된 진술도 아닙니다.

오리진 검증은 이 구분을 더 선명하게 만듭니다. 전환 기간 동안 대체 ASN이 프리픽스에 대한 ROA를 필요로 하는 동안, 기존 ASN을 사용하는 PE가 같은 프리픽스를 오리진으로 광고할 수도 있습니다. RFC 8206은 동시 오리진 승인을 허용합니다. 그러나 ROA가 말하는 것에는 한계가 있습니다. 해당 RPKI 권한의 보유자가 오리진 검증 목적으로 어떤 ASN이 프리픽스를 오리진으로 광고하는 것을 승인했다는 것뿐입니다. ROA는 회사의 소유권, 합병 계약, 모든 라우터의 상태, 원격 네트워크가 선택한 선호도, 사용자 트랜잭션의 결과를 판정하지 않습니다. 두 개의 ROA는 허용된 오리진 집합을 넓힐 뿐, 그 집합을 완료 증명서로 바꾸지 않습니다.

BGPsec 경로 검증은 또 다른 층위에 있습니다. RFC 8205는 암호학적 모델을 기술합니다. RPKI 인증서는 AS 번호와 IP 주소 공간의 할당을 증명하고, 서명자는 대응하는 개인 키를 사용하며, 수신자는 그 키 없이 경로를 검증합니다. 따라서 유효한 서명은 구성된 BGPsec 경로에 관한 제한된 질문에만 답합니다. 누가 상거래 거래를 협상했는지, 변경 작업이 완료되었는지, 트래픽이 목적지에 도달했는지에는 답하지 않습니다.

RFC 8206은 경로 질문을 더 좁힙니다. 이 절차는 관련된 기존 ASN과 새 ASN으로 로컬 구성되고 기존 eBGP 피어를 마주하는 PE에서 동작합니다. 아웃바운드의 경우 PE는 구성된 두 ASN으로 모두 서명합니다. 기존 ASN에 대한 전환 서명은pCount=0입니다. 일반적인 비-BGPsec 피어가 재구성된AS_PATH를 필요로 할 때, 이 숨겨진 전환 세그먼트는 재구성된 경로에 나타나지 않고 BGPsecSecure_Path에 그대로 남습니다. 인바운드의 경우, 여전히 기존 ASN을 기대하는 CE를 마주하는 PE는 자신의 로컬 조건에 따라 정의된pCount=0세그먼트를 추가합니다.

이것은 기업적 주장을 인터넷 전역으로 운반하는 기법이 아닙니다. RFC는 신뢰할 수 없는 고객 도메인이pCount=0세그먼트를 그냥 받아들이도록 기대할 수 있다는 생각을 배제합니다. 이 절차는 기존의 신뢰 경계, 로컬 정책, 알려진 인접 세션에 의해 제약됩니다. 원격 CE 재구성, 전역적으로 동기화된 구성, 더 긴 가시적AS_PATH를 요구하지 않습니다. 바로 그 광범위한 요구를 피하기 때문에, 그 요구들이 다른 곳에서 충족되었음을 입증할 수도 없습니다.

키 보존 규칙도 마찬가지로 조건부입니다. PE는 두 ASN 모두의 유효한 키를 필요로 하며, 자신의 모든 관련 eBGP 세션이 마이그레이션을 마칠 때까지 기존 키를 보존해야 합니다. “모든 세션이 마이그레이션될 때까지”는 PE 운영자에게 부과된 유지보수 의무이지, 단일 서명이 내놓는 사실이 아닙니다. 경로 검증자는 이후 자신이 구성한 신뢰와 사업 관계에 따라 수신된 경로를 판단합니다. 어떤 검증자의 수용은 그 시점의 그 정책과 그 서명된 경로에 관한 증거일 뿐, 모든 피어링 관계에서의 마이그레이션 진행 상황에 대한 인구조사가 아닙니다.

여기에서 유용한 증거의 사다리가 나옵니다. 공개 RFC는 절차를 제공합니다. RPKI 객체는 범위가 한정된 승인을 제공합니다. 키 상태는 암호학적 행위를 가능하게 합니다. BGPsec 업데이트는 서명된 경로를 기록합니다. 검증자의 결과는 정책 결정을 기록합니다. 세션 텔레메트리는 특정 인접 세션이 바뀌었음을 보여줄 수 있습니다. 패킷 및 포워딩 기록은 트래픽이 무엇을 했는지 보여줄 수 있습니다. 법적 문서, 레지스트리 기록, 기업 공시는 제도적 사실에 대한 별개의 기록입니다. 세 번째나 네 번째 단에서 합병에 관한 주장으로 건너뛰는 것은 추론이 아니라 치환입니다.

Lu Heng의 최소 초기 명세 원칙은 RFC를 이런 절제 속에서 읽어야 하는 이유를 설명합니다. 공통 프로토콜 층은 상호 운용 가능하고 보안된 동작에 필요한 결정론적 최소한을 정해야 합니다. 그보다 넓은, 여전히 로컬에 남아 있는 선택을 병합해서는 안 됩니다. 구성을 언제 바꿀지, 어떤 피어를 마이그레이션할지, 누가 키를 보유할지, 고객이 계획을 받아들일지, 상거래 거래가 실제인지 같은 것들입니다. 자발적 채택은 호환 가능한 주체들이 구현하고 검증하고 수용할 때에만 운영상으로 실체가 됩니다. RFC 8206은 얇은 공유 규칙을 제공할 뿐, 그 주변의 로컬 마이그레이션을 전역적 선언으로 바꾸지 않습니다.

따라서 실제 전환을 조사하는 운영자에게 필요한 것은 극적인 단일 아티팩트가 아니라 증거의 사슬입니다. PE 구성 범위, 관련 세션 목록, 기존 및 새 키의 유효 기간, ROA 상태, 정확한 BGPsec 경로, 검증자의 정책과 결과, 각 인접 세션이 옮겨진 시각, 독립적인 패킷 또는 서비스 측정을 보존하십시오. 질문이 기업 지배라면, 적절한 기업 및 레지스트리 기록을 별도로 확보하십시오. 기존 키는 의미가 있습니다. 다만 RFC가 그 키를 둔 자리, 즉 키와 경로의 층위에서만 의미가 있습니다.

출처