Nathalie Trenaman trancou também a porta da oficina das chaves

Summary

• Nathalie Trenaman consultou o Routing Working Group em março de 2021 sobre rejeitar anúncios RPKI inválidos no AS3333. O AS hospedava serviços centrais, inclusive o LIR Portal; um ROA incompatível podia bloquear a entrada de quem precisava ajustá-lo.
• A mudança entrou em vigor em 19 de abril. A RIPE NCC avisou organizações e instalou alertas no painel, sem criar acesso secreto ao portal nem alterar ROAs em nome dos titulares.

A chave errada corta o caminho até a bancada

O ROA declara qual sistema autônomo pode originar um prefixo e até que tamanho. Um erro nesses campos faz uma rota legítima aparecer como inválida. A filtragem vê o conflito, não a intenção: pode ser digitação equivocada ou sequestro de rota. Para a RIPE NCC, rejeitar inválidos no AS3333 trazia o problema para casa, pois ali também ficava a interface onde os membros administravam seus ROAs.

Na mensagem de 18 de março, Trenaman descreveu trânsito desigual: alguns provedores já filtravam inválidos, outros não. Um membro com configuração errada podia perder acesso pelos primeiros; um membro sequestrado havia relatado dificuldade de chegar ao site pelos segundos. A análise de 10 de fevereiro identificara 511 anúncios de membros ou usuários finais potencialmente afetados.

Em 7 de abril, a contagem era de 697 rotas inválidas de 215 organizações. A RIPE NCC as contatou e passou a alertar no painel quem estivesse prestes a publicar um ROA que não correspondesse ao BGP observado. A apresentação de maio relata outra checagem antes da ativação: 597 rotas ligadas às mesmas 215 organizações. São retratos de datas distintas, não uma medida de quantos usuários ficaram de fora.

O caminho de recuperação foi explícito: acessar por outra rede com anúncio válido ou sem ROA conhecido. Trenaman descartou uma porta dos fundos para my.ripe.net e recusou que a RIPE NCC editasse o ROA do membro. O aviso de serviço marcou 19 de abril, data confirmada depois; surgiram apenas poucas perguntas, sobretudo sobre a criação de ROAs. K-Root, AS25152, não fazia parte do AS3333.

O filtro ganhou força porque a instituição explicou antes do corte como um membro poderia voltar.

Fontes: consulta de março; relato de Trenaman; aviso; RIPE 82.