Резюме

  • Сотрудники AFRINIC сообщили, что тесты показали: отзыв объектов AS0 занимал около пяти минут, но удаление у издателя было лишь началом распределённой коррекции, а не доказательством того, что репозитории, валидаторы, маршрутизаторы и клиенты восстановились в течение пяти минут.
  • Единственное доказанное изменение между Draft 1 и Draft 2 — возможность разместить генерируемые реестром объекты AS0 под отдельным Trust Anchor Locator. Это делало приём добровольным и позволяло проводить раздельные измерения, по крайней мере на начальном этапе, оставляя основные операционные решения за AFRINIC.
  • Самое сильное обоснование предложения было реальным: корректно ограниченный, отдельно выбираемый поток AS0 мог предоставлять аутентифицированные свидетельства о ресурсах, для которых не предполагается обычный источник маршрута, не заставляя ни одну сеть использовать его.
  • Его нерешённой слабостью было восстановление после ошибок. Объём, срок действия, экстренное оспаривание, доказательства отзыва, распределённая сходимость и ответственность требовали публичного операционного контракта, при этом каждая полагающаяся сеть сохраняла выбор: отслеживать, понижать приоритет, отклонять или игнорировать получившееся состояние валидации.

Пятиминутный тест и более длинный отсчёт

Пять минут — привлекательная операционная цифра. Она достаточно короткая, чтобы её запомнить, достаточно конкретная, чтобы её повторить, и достаточно успокаивающая, чтобы заменить собой ощущение отзывчивости системы. На AFRINIC-32 сотрудники сообщили о тестах, в которых отзыв объектов AS0 перед выдачей занял около пяти минут. Однако в том же протоколе встречи содержится причина, по которой к этой цифре нужно относиться осторожно: публикация или отзыв объекта — лишь один шаг, и на то, что видят наблюдатели, влияют и другие факторы. Тест описывал операцию рядом с источником.

Он не устанавливал, что каждый репозиторий, валидатор, кэш, маршрутизатор или затронутый клиент увидит исправленное состояние в течение того же интервала.

Это различие находится в центре AFPUB-2019-GEN-006-DRAFT02, опубликованного 30 июля 2020 года, даже если оно не выглядит самой заметной особенностью текста. Доказанное изменение Draft 2 относительно Draft 1 получило название «Distinct TAL». Генерируемые реестром объекты AS0 можно было разместить под отдельным Trust Anchor Locator, что делало специальный сервис добровольным и отдельно измеримым, по крайней мере на этапе первоначального развёртывания. Предложение оставляло этот выбор, как и другие операционные детали, за AFRINIC. Оно не заменяло прежние механизмы выдачи и отзыва новой системой.

Оно добавляло переключатель и границу измерения вокруг них.

Переключатель имел значение. Без отдельного якоря доверия решение оператора получать обычную информацию RPKI, выпущенную держателями, могло быть переплетено с решением получать особый класс объектов, генерируемых из собственных инвентарных записей AFRINIC. При разделении сеть могла выбрать обычный доверенный материал, не принимая обязательно этот генерируемый реестром класс AS0. Другая сеть могла принимать и то и другое. Третья могла принимать отдельный поток для наблюдения, но отказаться делать от него зависимой политику маршрутизации. Это существенно разные позиции, и это различие принадлежит оператору, а не реестру.

Граница измерения тоже имела значение. Если объекты AS0 можно было наблюдать отдельно от обычных авторизаций держателей, исследователи и операторы могли задавать конкретные вопросы об этом классе: когда объект был выпущен, какое состояние инвентаря его обосновывало, когда он был отозван и когда различные точки наблюдения перестали его видеть. Раздельное измерение не гарантировало бы точность, но оно могло сделать точность и качество отзыва более проверяемыми. Сервис, который можно изолировать, легче тестировать, чем тот, чьи эффекты смешаны с более широким потоком обычных авторизаций.

Базовый сигнал прост по своей сути. ROA с AS0 говорит, что охваченный префикс и его более специфичные префиксы не должны использоваться в маршрутизации. Валидация источника маршрута затем производит технические состояния, которые полагающаяся сеть может включить в собственный процесс принятия решений. Подписанный объект — это свидетельство, сгенерированное из состояния реестра. Это не команда маршрутизатору, не юридический вывод о держателе и не конфискация адресного пространства.

Способность AFRINIC подписывать данные о ресурсах, зафиксированных в его сервисе как невыделенные, — это исключительный технический и административный контроль над этой функцией реестра. Это не публичная власть над префиксом, оператором, клиентом или интернетом.

Это ограничение — не семантическое украшение. Оно правильно определяет ответственность. AFRINIC может вести запись, создавать подписанные метаданные безопасности, отзывать их и публиковать данные о качестве этих действий. Он не может диктовать, как отреагирует сеть. Один оператор может использовать результат лишь для оповещения. Другой может понизить приоритет маршрута. Третий может отклонить маршрут. Четвёртый может вообще не предпринимать действий по маршрутизации. Один и тот же подписанный объект может, следовательно, приводить к разным операционным результатам, потому что последнее решение остаётся локальным.

Предложенная поверхность выдачи тем не менее была существенной. Draft 1 уже предлагал создаваемые AFRINIC ROA AS0 для всего невыделенного и неназначенного пространства IPv4 и IPv6 в его администрировании. Он также позволял держателю создавать объекты AS0 для ресурсов, находящихся на его собственном аккаунте. Перед тем как AFRINIC выделял охваченное пространство, генерируемый реестром объект должен был быть отозван и перестать быть видимым в репозиториях. Draft 2 сохранил эту базовую конструкцию. Он не изобретал заново выдачу AS0, возможность держателя или требование отзыва перед выделением.

Оценка Draft 2 сотрудниками AFRINIC сделала предполагаемый поток инвентаря более конкретным. Доступное и зарезервированное пространство IPv4 и IPv6 попадало бы в область автоматической выдачи реестром. Новые префиксы, полученные от IANA или PTI, немедленно получали бы объекты AS0. Возвращённые или изъятые префиксы также получали бы их, согласно интерпретации сотрудников. Уже выделенные ресурсы членов находились вне автоматической области реестра, хотя держатели могли создавать собственные объекты AS0 для ресурсов на своих аккаунтах.

Перед выделением или назначением покрывающие объекты должны были быть отозваны и перестать быть видимыми в репозиториях.

Каждый шаг представляет точку, где правильный момент времени имеет значение. Инвентарная запись должна корректно описывать пространство. Выдача должна охватывать то, что сервис заявляет как охваченное, и исключать то, что он заявляет как исключённое. Вновь полученный блок должен попадать в предполагаемое состояние. Возврат или изъятие должны быть представлены точно. Блок, приближающийся к выделению, должен выйти из покрытия AS0 до того, как выделение или назначение будет выполнено. Репозиторий должен перестать отдавать отозванный объект. Последующие системы должны получить новое представление.

Оператор должен интерпретировать получившуюся информацию валидации согласно своей политике.

Пятиминутный тест затрагивает лишь часть этой цепочки. Он говорит нечто полезное о проверенной способности AFRINIC выполнять публикацию или отзыв. Он ничего не говорит в общем виде о том, как часто опрашивается каждый репозиторий, как обновляются валидаторы, как кэши сохраняют предыдущий материал, как системы маршрутизации получают обновлённое состояние валидации или как быстро оператор меняет решение. Даже слово «видимый» требует точки наблюдения. Не виден где, кем проверен, в какой момент времени и при каких условиях обновления?

Издатель может завершить собственный отзыв, пока удалённая полагающаяся сторона всё ещё видит более старое состояние.

Следствием этого разрыва не обязательно является сбой. Доказательства не устанавливают затронутый префикс, отклонённый маршрут, потерю держателя или какое-либо производственное событие. Следствием является структура риска. Если запись реестра ошибочна или отзыв запоздал, легитимный источник может выглядеть Invalid для полагающейся сети, выбравшей отдельный TAL. Что произойдёт дальше, зависит от политики этой сети. Ошибка может вызвать лишь предупреждение на панели мониторинга и ничего больше. Она может привести к понижению приоритета. Она может привести к отклонению.

Разные сети могут принимать разные решения, и их представления могут обновляться в разное время.

Для клиента или оператора такие различия создают затраты ещё до серьёзного ущерба. Устранение неполадок усложняется, когда одна сеть видит исправленное состояние, а другая сохраняет более старое. Персоналу, возможно, придётся сравнивать записи реестра, представления репозиториев, результаты валидаторов и поведение маршрутизаторов. Транзитным командам и командам поддержки, возможно, придётся объяснять, почему доступность различается в зависимости от пути или полагающейся стороны. Клиент, который не контролирует инвентарную запись AFRINIC или интервал обновления удалённых валидаторов, всё равно может нести бремя диагностики расхождения.

Фокус LARUS на непрерывности инфраструктуры здесь уместен: небольшая ошибка на уровне координации может стать операционными расходами в другом месте именно потому, что те, кто платит эту цену, не контролируют все часы.

Отдельный TAL снижает одну часть этой подверженности. Сеть может отказаться принимать специальный поток. Она также может начать с мониторинга, а не с более жёсткой реакции в маршрутизации. Если появляются проблемы, у оператора есть чистый концептуальный выход: прекратить полагаться на этот отдельный якорь доверия, продолжая использовать обычные авторизации держателей. Это подлинное ограничение охвата сервиса. Оно делает замену или отказ от доверия более практичным, чем если бы генерируемый реестром класс был неотделим от остального.

Но переключатель выхода — это не система коррекции. Он защищает свободу полагающегося оператора; он не устанавливает, что исходная запись AFRINIC точна, что затронутая сторона может быстро её оспорить, что издатель аутентифицирует оспаривание или что отозванное состояние распространилось. Добровольное принятие также не отвечает на вопрос, как будут урегулированы потери или нарушения для клиентов. Draft 2 оставил процедуры валидности и выпуска внутренним процессам персонала.

Его текст не давал полного публичного описания состояния по умолчанию для отдельного TAL, порядка развёртывания, определения измерения, экстренного контакта, цели коррекции или распределённого наблюдения.

Именно здесь роль NRS становится уместной, не превращая NRS в ещё один центр контроля. Независимая проверка со стороны членов может сравнивать заявленное состояние инвентаря с подписанными объектами и представлениями, видимыми из нескольких точек. Она может настаивать на канале коррекции, который члены могут проверять, помогать операторам сохранять выход и резервирование, а также документировать расхождения. NRS — не распределитель, не подписант, не регулятор и не орган маршрутизации. Его ценность в том, чтобы сделать координационный сервис оспариваемым и наблюдаемым извне института, публикующего объект.

Метод BTW «сначала реальность» задаёт параллельную дисциплину. Широкий спор о том, служат ли ROA AS0 сохранению ресурсов или превентивному отказу, уже существует в другом месте и не является предметом здесь. Более узкий вопрос — что именно изменил Draft 2 и что это изменение может доказать. Оно доказывает возможный отдельный якорь доверия, добровольную конструкцию и основу для раздельного измерения. Оно не доказывает развёртывание, принятие, производственный объект, инцидент или пользу. Сохранять эти границы видимыми — не робость.

Это то, что не позволяет полезному варианту конструкции превратиться в заявление о результатах, которые никогда не демонстрировались.

Поэтому первое прочтение Draft 2 должно быть сбалансированным. Предложение приобрело значимый тормоз: сети не обязаны принимать генерируемый реестром класс AS0 лишь потому, что хотят обычные материалы RPKI, а наблюдатели получили возможность измерять этот сервис отдельно. Тем не менее предложение по-прежнему опиралось на модель отзыва, в которой самая запоминающаяся цифра описывала тест издателя, а не восстановление распределённой системы. Пять минут могут быть началом отсчёта. Судя по этим материалам, это не конец.