Resumo

  • A interface Routinator mantida pela AFRINIC oferece a opção de descobrir no BGP o ASN de origem e, em seguida, validar o par prefixo–ASN contra o RPKI.
  • Na amostra preservada, riswhois forneceu AS33764 para 196.216.2.0/23 como correspondência exata. A busca não trouxe o horário da fotografia BGP; a resposta RPKI trouxe valid e generatedTime, mas não trouxe a fonte nem o horário BGP.
  • A interface exibe separadamente a atualidade das fontes RPKI, BGP e de alocação dos RIRs. A lacuna é de vínculo por consulta: a resposta não prova quais versões alimentaram aquele resultado específico.
  • Um recibo composto deve reunir entrada, regra de seleção, tuple escolhida e versão BGP, versão e serial do Routinator, VRPs considerados, tempo de resposta, digest e eventual substituição.

Uma caixa de seleção cria uma cadeia de custódia

O trabalho normal de validação de origem começa com uma pergunta bem delimitada: há um VRP que autorize determinado ASN a originar determinado prefixo, respeitada a extensão? Quando o operador informa os dois valores, o software não precisa decidir o objeto da pergunta. Quando o ASN vem do BGP, precisa.

Esse recurso é particularmente útil em atendimento e investigação. Muitas vezes o ponto de partida é um endereço visto em log, e não um inventário de ASNs. A interface reduz atrito e ainda deixa o usuário escolher entre correspondência exata e o prefixo correspondente mais longo. A escolha torna explícito um comportamento que outras ferramentas poderiam manter invisível.

Mas o clique adiciona uma autoridade de observação. Primeiro um serviço consulta uma visão BGP e seleciona o ASN. Depois Routinator compara a combinação com seu conjunto validado. As duas partes não necessariamente fecham no mesmo instante. O BGP pode avançar sem que um ROA mude; o repositório pode mudar sem que a rota mude; a regra de correspondência pode selecionar outro prefixo mesmo com as fontes estáveis.

O rótulo final, portanto, resume duas proposições. Uma diz o que riswhois observou e o que a interface escolheu. A outra diz como um ciclo de validação RPKI classificou essa combinação. Guardar só a segunda hora torna o resultado legível hoje e incompleto amanhã.

O desenho já oferece a melhor defesa

A AFRINIC não esconde que há várias fontes. A área Data Freshness publica horários independentes para RPKI, BGP e arquivos de alocação. O endpoint de status do Routinator informa versão, serial, campos de início e conclusão da atualização e contagens por âncora de confiança. O status do serviço de busca identifica riswhois como fonte BGP, com serial e lastUpdated, e lista também as cinco fontes de alocação.

As respostas observadas preservam semântica relevante. Em 12 de setembro de 2026, a busca por 196.216.2.0/23 devolveu o mesmo prefixo. Um bloco de metadados indicou AFRINIC como fonte de alocação. Outro indicou BGP, riswhois, AS33764 e correspondência exact-match.

A consulta subsequente ao Routinator testou AS33764 com 196.216.2.0/23. O estado foi valid. A resposta expôs o VRP compatível, com o mesmo ASN e prefixo e comprimento máximo 24, além de generatedTime. Isso permite verificar mais do que uma cor: o usuário conhece o objeto avaliado e a autorização que satisfez a regra.

O limite aparece na passagem entre as duas respostas. A busca não incluiu o lastUpdated da fonte BGP. A resposta de validade não incluiu riswhois, o momento da observação, o modo exato de seleção nem a versão do arquivo de alocação exibido como contexto. Tudo podia ser consultado em páginas paralelas, mas nada dizia de forma durável que aqueles eram os estados consumidos por aquela resposta.

Uma tabela global de atualidade é uma fotografia do serviço quando alguém a abre. Um recibo por consulta é a identidade dos insumos realmente usados. Depois de uma nova atualização, a primeira fotografia descreve o presente, não o passado de um chamado salvo.

Nem o verde nem o registro mandam no roteador

O resultado observado foi valid, e isso deve permanecer pequeno. Significa que ao menos um VRP cobria o prefixo e combinava com o ASN e a extensão. Não prova que o AS_PATH inteiro é confiável, que a rota aparece para todo mundo, que não existe vazamento, que um roteador a aceitou ou que a política local deve preferi-la.

O arquivo de alocação da AFRINIC também não produz a validação. Ele ajuda a classificar recursos e relacionar prefixos na interface. Registro, anúncio BGP e autorização RPKI são três declarações com emissores diferentes. Colocá-las na mesma tela melhora o contexto; não transfere autoridade de uma para outra.

A amostra é só uma transação pública limitada. Não revela defeito, indisponibilidade, ataque, rota envelhecida, erro de membro ou prejuízo. Também não permite afirmar que a AFRINIC não mantém logs internos mais completos. O que se pode afirmar é que o objeto público salvo não carrega a junção necessária para repetir a transação com os mesmos insumos.

Um formato pequeno para uma prova suficiente

O recibo proposto não precisa reproduzir bases inteiras. Ele deve registrar:

  • prefixo pedido e ASN fornecido manualmente, se houver;
  • ativação da busca de ASN no BGP;
  • correspondência exata ou prefixo mais longo;
  • prefixo e ASN selecionados e ID da fonte BGP;
  • serial e lastUpdated da fonte BGP;
  • fonte de alocação usada como contexto, serial e hora;
  • versão do Routinator, serial de validação e conclusão do ciclo;
  • estado e digests dos VRPs compatíveis ou incompatíveis;
  • hora da resposta, digest do recibo e referência de correção.

É decisivo nomear os atos corretamente. A fonte BGP observa. O RIR registra alocação. Routinator valida objetos e compara tuples. O operador decide a consequência. Um recibo que mantenha esses verbos reduz a chance de alguém transformar uma consulta hospedada em ordem de roteamento.

O formato pode proteger informação operacional. Para consultas públicas, prefixo e ASN já são visíveis. Em caso confidencial, o recibo completo pode ficar no chamado, enquanto a organização compartilha apenas digest, versões, horários e classe do resultado. Nenhuma proposta aqui exige publicar topologia interna ou identidade de cliente.

Uma boa ferramenta não deve virar um árbitro por acidente

A combinação entre marca institucional e resposta simples produz atalhos de linguagem. “Deu válido na página da AFRINIC” pode se tornar “a AFRINIC validou a rota”, como se registro, observação, criptografia e política fossem uma só função. O recibo permite uma frase mais exata: a interface escolheu esse ASN nessa versão de riswhois e o comparou com esse ciclo do Routinator.

Essa precisão protege o usuário e a AFRINIC. O usuário demonstra o que viu sem inventar alcance global. A AFRINIC documenta o serviço que prestou sem garantir comportamento de roteadores. Um testador consegue comparar versões com insumos fixos. Uma auditoria distingue mudança de fonte, mudança de regra e mudança de software.

Os relógios já estão no produto. O avanço necessário não é criar outra tela; é fazer com que o resultado leve consigo os relógios que o tornaram possível.

Fontes

A página de certificação de recursos da AFRINIC fornece o contexto e a interface Routinator hospedada executa a consulta. O registro congelado reúne o status do Routinator, o status das fontes BGP e RIR, a busca do prefixo de amostra e a resposta RPKI correspondente. A documentação de interface da NLnet Labs explica o papel da aplicação, e o bundle versionado da interface mostra a lógica observada de pesquisa BGP e atualidade.