Resumo

  • O RFC 7115, escrito por Randy Bush, exige a conferência dos ROAs de todas as subalocações anunciadas por outros ASes antes da emissão de um ROA para o bloco maior. Uma rota de cliente esquecida pode receber o estado Invalid.
  • Os dados validados seguem pelos caches até os roteadores, onde cada rede decide o efeito pela própria política. Bush recomenda mais de um cache, incluindo um local, e sincronização periódica.

A assinatura no prédio, a luz vermelha no andar de baixo

O titular de um grande bloco de endereços quer assinar um ROA para o conjunto. Dentro dele há um pedaço delegado a um cliente, anunciado pelo AS desse cliente. O titular publica; o anúncio pequeno continua circulando. Quando o novo dado alcança o cache RPKI e o roteador, a validação pode marcar aquela rota como Invalid. A mão que assina e a operação que recebe a etiqueta pertencem a organizações diferentes.

Randy Bush pôs esse risco no centro do RFC 7115, documento de melhores práticas operacionais de janeiro de 2014. Antes de emitir ROA para um superbloco, o operador deve verificar se todas as subalocações anunciadas por outros ASes — clientes, por exemplo — têm ROAs corretos. Sem isso, tais anúncios serão vistos como Invalid. Enquanto os clientes registram seus próprios ROAs, o texto admite usar dados BGP ao vivo para preencher autorizações provisórias. Conferir as subalocações vem antes da assinatura grandiosa.

O RFC 6811 explica os três resultados possíveis da validação de origem: Valid, NotFound e Invalid. O cálculo compara prefixo e AS de origem anunciados com os ROAs validados. Um ROA que cobre o bloco pai muda o contexto de uma rota mais específica; se a origem ou o comprimento permitido divergir, aparece a etiqueta Invalid. O roteador então aplica a política local da rede. Onde Invalid é rejeitado, a falha na lista de clientes pode atingir a conectividade.

Há também o caminho que transporta a decisão. Bush e Rob Austein assinaram o RFC 6810, protocolo que entrega dados de origem do cache ao roteador. O RFC 7115 recomenda que o roteador consulte mais de um cache, pelo menos um local. Caches locais usados em decisões de roteamento devem se sincronizar ao menos a cada quatro a seis horas; quem recebe dados do cache de um provedor a montante deve validá-los de novo. A publicação do ROA, a atualização dos caches e a política do roteador são etapas do mesmo acontecimento.

A biografia de Bush publicada pelo RIPE NCC registra sua longa atuação em segurança de roteamento, RPKI e validação de origem. O texto dele trata segurança como ordem de operações: inventário primeiro, assinatura depois, observação contínua em seguida. A foto identificada pelo RIPE NCC fundamenta o rosto do retrato editorial; os dois racks ao fundo foram imaginados.

Uma planilha de subalocações parece menos emocionante que criptografia. Ainda assim, é nela que um cliente pode desaparecer antes de um ROA ir ao ar. Bush transforma essa planilha em condição de lançamento: cada prefixo menor, cada AS anunciante e cada autorização precisam caber na mesma conferência.