Resumo

  • Depois que a rota passou de Invalid para Valid, metade das sondas voltou a alcançar o prefixo em tempo mediano de 9 minutos nas redes multihomed e 12 nas redes com um só upstream.
  • Na mudança inversa, a ordem virou: foram 42 minutos para redes multihomed e 30 para as de upstream único até metade das sondas perder o alcance.

Dois upstreams podem trazer uma rota de volta mais cedo e deixá-la sair de cena mais tarde. A mesma redundância que oferece uma segunda porta de entrada também oferece à Internet uma segunda chance de continuar vendo o anúncio antigo.

O resultado veio de uma apresentação na RIPE 93 sobre a passagem de mudanças de estado do RPKI para o plano de dados. O estudo acompanhou cerca de 25 mil alterações no repositório da RIPE que mudaram os dados validados e separou aproximadamente 1.500 eventos de transição única. Detectada uma mudança de VRP, os pesquisadores enviaram traceroutes de mais de 300 nós CAIDA Ark, repetidos a cada três minutos durante uma hora.

O cronômetro parou no momento em que metade dos pontos de observação voltou a alcançar um prefixo — ou perdeu esse alcance. Antes disso, a ROA mudou, o repositório publicou e validadores buscaram o objeto. Cada etapa tem seu horário. Um painel que as espreme num único carimbo apaga o atraso que o cliente sente.

Na volta, ter uma segunda saída ajuda

Quando a rota passou de Invalid para Valid, o tempo mediano até metade dos pontos voltar a alcançá-la foi de 9 minutos em redes multihomed e 12 minutos nas de upstream único. Cada fornecedor mantém seu próprio relying party, seu próprio ciclo de atualização e sua própria versão do que acabou de acontecer. Dois caminhos independentes aumentam a chance de um deles descobrir a autorização nova primeiro.

A distribuição também teve uma cauda lenta menor no grupo multihomed. A vantagem não nasce de uma propriedade mágica da redundância: ela aparece porque os upstreams consultam e processam os dados em ritmos diferentes. Se um se adianta, a rede pode recuperar a rota por esse lado enquanto o outro ainda está conferindo a papelada criptográfica.

A ROA continua sendo a autorização do AS de origem. O validador calcula o estado a partir dos objetos publicados; a conectividade adicional não transforma um anúncio inválido em válido. O que muda é o número de caminhos por onde a notícia da mudança pode chegar ao roteamento.

Na saída, a porta extra prende a rota no corredor

Na transição de Valid para Invalid, as medianas foram 30 minutos para redes de upstream único e 42 para redes multihomed até metade dos pontos perder o alcance. Se uma operadora atualizou sua visão do RPKI e deixou de propagar a rota, outra que ainda trabalha com o estado antigo pode continuar anunciando-a. O caminho redundante que antes acelerou a volta agora prolonga a presença.

Isso muda a conversa numa resposta a incidente. Invalid não é um botão mundial de desligar. Cada rede decide como tratar anúncios inválidos, e os validadores não baixam os dados ao mesmo tempo. Enquanto anúncios persistirem, o BGP ainda terá caminhos para escolher. Um painel pode mostrar o novo estado enquanto algumas sondas continuam chegando ao prefixo.

A amostra analisada tratou casos de origem única e excluiu os que tinham anúncios mais específicos cobrindo o prefixo. As medições terminaram após uma hora; os 9, 12, 30 e 42 minutos são medianas desse conjunto observado. Para um operador, a pergunta prática é quais upstreams já mudaram de estado e quais ainda anunciam a rota.

A atualização tem mais de um relógio

Entre mudar uma ROA e alterar a conectividade há etapas: publicar o objeto, buscá-lo, validá-lo, distribuir o novo estado aos roteadores, aplicar a política local e deixar o plano de dados convergir. A apresentação mostrou por que a frase “o RPKI atualizou” costuma esconder a parte que interessa a quem está na linha de frente.

Para detectar as mudanças, a equipe monitorou a origem do repositório da RIPE e usou um validador otimizado. O apresentador disse que o sinal chegou pelo menos 57 segundos antes dos validadores públicos comparados e cinco minutos antes na mediana. Esse avanço permitiu começar os traceroutes antes da reação de boa parte da amostra. Foi um recurso metodológico do estudo, não um controle da RIPE NCC sobre os cronogramas de terceiros.

O palestrante recomendou preparar as ROAs antes de uma emergência, revisar os intervalos de busca dos validadores e habilitar RRDP quando o software der suporte. Sugeriu buscas a cada 5 a 10 minutos. Para provar quando uma correção entrou em vigor numa rede, porém, o registro útil reúne o horário de publicação, a observação de cada validador, o estado de cada upstream e o resultado das sondas. Um único selo verde não consegue fazer esse trabalho.

Fontes: sessão e resumo oficiais da RIPE 93; transcrição oficial da plenária da RIPE 93; RFC 6811, validação da origem de prefixos BGP.