Кратко

  • На RIPE 93 Robachevsky описал проект рабочей группы: Route Origin Validation должен стать обязательным, а каждый анонсируемый участником MANRS префикс должен иметь действительную ROA.
  • Оператор не всегда может выпустить такое подтверждение сам. Владельцы старых ресурсов без договора с ARIN не получают доступ к RPKI ARIN, а клиент, арендующий префикс, может не создать ROA.

Анализ

Маршрут объявляет оператор. Право подтвердить его происхождение иногда остаётся у клиента или владельца ресурса. Именно это несовпадение полномочий ставит под вопрос, как MANRS добьётся стопроцентного покрытия RPKI.

27 октября на RIPE 93 Andrei Robachevsky рассказал о пересмотре программы MANRS для сетевых операторов. С момента запуска в 2014 году её требования существенно не обновлялись. Рабочая группа разделила требования и руководство по реализации и аудиту, а для ясности использовала формулировки IETF MUST и MUST NOT. В представленном проекте ROV становился MUST, регистрация в IRR — SHOULD. Для действия по публикации маршрутной информации обсуждалось полное покрытие RPKI: на каждый префикс, который анонсирует участник, должна приходиться действительная ROA.

Это была стадия разработки, а не действующее правило MANRS. Robachevsky говорил о финальном обсуждении внутри группы и последующем открытом сборе комментариев. Текст должен был учитывать мнение не только участников рабочей группы и нынешних членов MANRS. Официальная стенограмма RIPE фиксирует именно этот рабочий статус.

В мартовском опросе MANRS было 38 ответов, главным образом от сетевых операторов. Участники хотели яснее сформулированных требований и более понятного аудита; половина поставила программу операторов на первое место среди направлений пересмотра. Опубликованная страница не сообщает, сколько людей получили приглашение, поэтому долю ответивших посчитать нельзя.

Доступ к RPKI зависит не только от маршрутизатора. ARIN указывает: владельцы старых ресурсов без соглашения с реестром не могут пользоваться его RPKI и IRR. Подписав соглашение, они получают доступ. ROA также может охватывать только те ресурсы, которые входят в сертификат владельца. Оператор не может собственным сертификатом авторизовать чужой ресурс.

Robachevsky назвал две проблемные группы: владельцев старых ресурсов в зоне ARIN без доступа к RPKI и клиентские префиксы, которые оператор объявляет, хотя клиент не оформил ROA. Трафик идёт через оператора, но запись в реестре контролирует клиент или владелец ресурса. При бинарной проверке отметка о несоответствии может появиться у стороны, которая не распоряжается недостающей авторизацией.

IRR остаётся в проекте, хотя его статус ниже: SHOULD против MUST для ROV. Некоторые сети продолжают использовать IRR, а рабочая группа ещё обсуждала, какие реестры и объекты учитывать. Считать любую запись IRR полной заменой RPKI — значит стереть предложенное различие. Исключить IRR — значит игнорировать инструмент, который операторы всё ещё используют для описания маршрутов и построения фильтров.

По словам Robachevsky, MANRS выросла с девяти операторов в 2014 году примерно до 1 400 участников к моменту его выступления. Смысл базовой нормы — широкое принятие, а не максимальный балл для немногих. Если из-за правила уйдут сети с трудными отношениями владения ресурсами, процент соответствия оставшихся участников может вырасти, а охват маршрутов — сократиться.

Поэтому цифра «100%» требует плана: какие анонсы входят в расчёт, кто выпускает ROA, что делать при контроле клиента над ресурсом и сколько времени получат действующие участники. Без ответов норма распределит вину между компаниями, но не создаст недостающую авторизацию.

Источники

сессия RIPE 93 и стенограмма; опрос сообщества MANRS; рабочая группа по пересмотру; обновление о ходе работы в августе; услуги ARIN для старых ресурсов; правила ARIN для ROA.