Резюме

  • AS0 ROA — это подписанный отказ от публичного анонсирования маршрутов. Поскольку номер AS 0 зарезервирован и не должен использоваться как реальный источник BGP, реальное объявление, покрываемое только таким ROA, будет классифицировано проверкой происхождения как Invalid (недействительное).
  • RFC 6491 даёт IANA стандартную основу для выпуска AS0 ROA для нераспределённых ресурсов, а также зарезервированных или специальных ресурсов, не предназначенных для глобальной маршрутизации. Он также запрещает такие ROA для зарезервированного или специального пространства, которое должно маршрутизироваться.
  • Полномочия RIR уже и определяются региональными правилами. Они основаны на текущем администрировании нераспределённого пространства, политиках сообщества и точных записях о ресурсах. APNIC и LACNIC внедрили политики покрытия AS0 для адресного пространства под своим управлением; это не создаёт власти над пулом другого RIR или над любыми спорными ресурсами.
  • AS0 полезен как средство консервации, поскольку выражает запрет по умолчанию на несанкционированное использование до момента выделения, а также потому, что одновременный положительный ROA может сделать разрешённый маршрут Valid. Он не доказывает, что каждый наблюдаемый маршрут вредоносен, и не устраняет право оператора выбирать локальную политику.
  • Главный риск управления — ошибка классификации в переходный момент. Доступное, зарезервированное, помещённое в карантин, возвращённое, изъятое, специальное, выделенное и унаследованное пространство имеют разные фактические и правовые истории. Ярлык, полученный из ежедневного снимка реестра, сам по себе не может разрешить спор о правах.
  • Отзыв должен предшествовать делегированию или быть безопасно скоординирован с ним. Удаление префикса из AS0 не завершено, пока обновлённая публикация не достигнет валидаторов, кэшей и маршрутизаторов. Операторы, отбрасывающие маршруты Invalid, также нуждаются в безопасном способе повторной оценки после поступления исправления.
  • Раздельные источники доверия и первоначальное использование в режиме мониторинга помогают ограничить риск. APNIC предупреждал, что ошибки могут нарушить маршрутизацию, и рекомендует использовать материалы AS0 в качестве рекомендательных или предупреждающих, а не для автоматической фильтрации. Такое разделение защищает выбор оператора только при условии, что источник доверия, область действия и поведение по умолчанию прозрачны.
  • Легитимная работа AS0 требует публичного правила области действия, подписанных и версионированных доказательств классификации, проверок конфликтов до публикации, быстрого аутентифицированного оспаривания, измеримых целей отзыва, сохранения истории и независимого наблюдения BGP. Сообщество номерных ресурсов может проверять эти механизмы как членская, исследовательская и правозащитная организация, не претендуя на полномочия распределять пространство, управлять RPKI или навязывать политику маршрутизации.

Ноль — это отказ, а не пункт назначения

AS0 работает благодаря встрече двух идей из стандартов. Первая — ROA: подписанный объект, указывающий, какой автономной системе разрешено анонсировать маршрут для адресного префикса в пределах заданной максимальной длины префикса. Вторая — резервирование самого номера AS 0. RFC 7607, опубликованный в 2015 году, требует, чтобы BGP-маршрутизаторы не создавали и не распространяли маршруты, содержащие AS 0 в соответствующих атрибутах пути, а также не устанавливали сессию с заявлением AS 0.

Таким образом, AS0 ROA не разрешает какой-либо особой «нулевой» сети анонсировать префикс. Он выбирает источник, который не может легитимно появляться в публичном пути BGP. RFC 6483 описывает результат как отказ: держатель префикса заявляет, что префикс и любые более специфичные префиксы не должны использоваться в контексте маршрутизации. Любая обычная публичная исходная AS не совпадёт с этой авторизацией AS0.

У логики проверки есть важная оговорка. Проверка происхождения изучает все подходящие ROA, покрывающие маршрут. Если хотя бы один действительный ROA разрешает наблюдаемый источник и длину префикса, маршрут считается Valid, даже если AS0 ROA сам по себе сделал бы его Invalid. Поэтому RFC 6483 указывает, что AS0 имеет более низкий приоритет по сравнению с одновременной положительной авторизацией. AS0 устанавливает запрет по умолчанию, но не является абсолютным вето при наличии совпадающего положительного ROA.

Это свойство делает AS0 одновременно полезным и деликатным. Реестр может пометить нераспределённый пул как не предназначенный для маршрутизации, не перечисляя все возможные несанкционированные источники. Когда позже он делегирует часть пула, правильно выпущенный положительный ROA может защитить объявление, пока меняется покрытие AS0. Однако полагаться на пересечение как на обычное решение означало бы скрывать плохой контроль изменений. По умолчанию всё равно следует удалить или перевыпустить объект AS0 до того, как новому держателю потребуется анонсировать.

Технический эффект уже, чем может показаться из некоторых формулировок политики. AS0 ROA приводит к классификации Invalid у полагающихся сторон, которые принимают соответствующий источник доверия и получают актуальный объект. Сам по себе он не удаляет маршрут из BGP. RFC 8481 оставляет политические действия за оператором. Одни сети отклоняют маршруты Invalid, другие понижают их приоритет или наблюдают за ними, третьи вообще не используют этот источник доверия AS0.

Таким образом, механизм представляет собой подписанную рекомендацию, подкреплённую криптографическими полномочиями на ресурсы и принятием операторами. Называть его просто информационным — недооценивать эффект. Называть его глобальным запретом маршрутизации — преувеличивать. Управление начинается с точной середины: авторитетный отказ по умолчанию, который независимые сети могут превратить в принудительную меру.

Вопрос о полномочиях имеет три разных ответа

Кто вправе разрешать AS0, зависит от того, какое адресное пространство описывается. IANA, RIR и обычный держатель ресурсов получают полномочия не из одного и того же отношения.

RFC 6491 касается объектов RPKI IANA для ресурсов, остающихся на вершине структуры распределения. Он предписывает IANA выпускать AS0 ROA для нераспределённых ресурсов. Для зарезервированных и специальных ресурсов критерием является предполагаемая публичная маршрутизация: IANA следует выпускать AS0 для ресурсов, не предназначенных для глобальной маршрутизации, и не должна выпускать какие-либо ROA для зарезервированных или специальных ресурсов, которые должны маршрутизироваться. Намеренное использование слова «следует» признаёт, что действия реестра и технические переходы могут потребовать удаления или отказа от выпуска до изменения статуса.

Полномочия RIR начинаются после того, как ресурсы переданы под его администрирование. RIR может сертифицировать нераспределённые части собственного пула, поскольку является текущим хранителем и поскольку региональная политика разрешает такое действие. Политика APNIC гласит, что только APNIC может создавать AS0 ROA для адресного пространства APNIC, ещё не переданного владельцу учётной записи, и что APNIC удалит префикс при делегировании пространства.

Принятая политика LACNIC аналогично ограничивает AS0 нераспределёнными, неназначенными, возвращёнными или изъятыми ресурсами под управлением LACNIC и требует аннулировать или перевыпустить затронутые ROA при выделении или назначении ресурсов.

Существующий держатель также может использовать AS0 для пространства, которое он контролирует и не хочет маршрутизировать. Его полномочия вытекают из сертификата и отношений по ресурсам, а не из общего мандата на консервацию. Такое использование может поддерживать дремлющий резерв или агрегированный блок, внутри которого маршрутизироваться должны только явно разрешённые более специфичные префиксы. Его не следует путать с заявлением RIR о том, что держателя не существует.

Эти различия предотвращают расширение полномочий. RIR не может выводить власть над пулом другого региона из того, что наблюдает объявление. Измерительный проект не может подписывать AS0 лишь потому, что регистрационные данные выглядят неполными. Орган стандартизации может определять, как следует использовать зарезервированное пространство, но не управляет автоматически соответствующим удостоверяющим центром. Судебный спор о унаследованном блоке нельзя решить, назвав блок «доступным» в списке для удобства.

Корректное заявление о полномочиях указывает префикс, текущую административную цепочку, классификацию, основу политики и период действия. Если какой-либо из этих элементов оспаривается, публикация AS0 всё же может быть оправдана как временная защита, но путь оспаривания и обжалования должен быть заметен. Криптографическая возможность подписи является необходимым доказательством контроля, но сама по себе не доказывает, что каждая базовая классификация была процедурно корректной.

Сохранение ресурсов — реальная обязанность в дефицитной и подверженной злоупотреблениям среде

Положительный довод в пользу AS0 не должен теряться из-за опасений по поводу запрета. Нераспределённое адресное пространство не является свободным для оппортунистического использования. RIR хранят его для будущих выделений, особых нужд, возвратов, карантина или целей, определённых политикой. Объявления из такого пространства могут возникать из-за ошибок, утечки частных конфигураций в публичную маршрутизацию, устаревших фильтров или намеренного злоупотребления. Машиночитаемый отказ может помочь операторам отличать такое пространство от просто неподписанных, но законно маршрутизируемых префиксов.

До AS0 операторы обычно полагались на списки «bogon»-префиксов, составленные по записям о распределении. Такие списки требуют регулярного обновления и осторожной интерпретации. RPKI может привязать предупреждение к той же иерархии сертификатов, которая используется для положительной авторизации происхождения маршрутов. Затем валидатор может доставлять результат вместе с другими данными, а маршрутизатор — применять единую политику проверки происхождения вместо отдельного непроверенного списка.

Обоснование политики APNIC явное: адресное пространство, помеченное как нераспределённое или неназначенное под управлением APNIC, не должно публично анонсироваться, а AS0 предназначен для ограничения распространения объявлений, покрывающих его. Обоснование LACNIC аналогично связывает хранение с распределением по политике и стремится снизить нагрузку на операторов, поддерживающих отдельные фильтры. Это легитимные цели в общественных интересах.

Преимущество для безопасности носит превентивный характер. Злоумышленник не может сделать маршрут Valid, просто выбрав исходную AS, поскольку ни одна маршрутизируемая AS не совпадает с нулём. Если операторы отклоняют маршруты Invalid, AS0 повышает вероятность того, что ошибочный источник из неиспользуемого пространства будет остановлен у границы импорта. Он также создаёт аутентифицированное предупреждение для операторов, которые ещё не отклоняют.

Но консервация — это не право собственности в обычном имущественном смысле, а видимость маршрута не является окончательным доказательством кражи. Некоторые записи исторические, некоторые ресурсы находятся в процессе перехода, а некоторые способы использования адресов являются частными или специальными. Публичный маршрут может выявить ошибку в классификации самого реестра, а не злонамеренный источник. Ценность AS0 — в установлении сильной опровержимой презумпции, а не неопровержимого обвинения.

Таким образом, ограниченный тезис выступает за сохранение ресурсов. RIR и IANA должны иметь возможность защищать действительно нераспределённые, немаршрутизируемые ресурсы в пределах своих полномочий. Делать это следует с дисциплиной, ожидаемой от средства контроля, ошибки которого могут повлиять на связность: узкая область действия, надёжные записи, предупреждение перед изменением, где возможно, быстрый отзыв, наблюдаемое распространение и осмысленная процедура оспаривания.

«Нераспределённое» и «зарезервированное» — не синонимы

Политика AS0 часто начинается со списка меток: доступное, зарезервированное, нераспределённое, неназначенное, возвращённое, изъятое или помещённое в карантин. Все эти метки могут обосновывать отказ от маршрутизации в конкретной ситуации, но они не взаимозаменяемы.

Нераспределённое пространство не было делегировано вниз по соответствующей административной цепочке. Ситуация по умолчанию проста: ни одна сеть в настоящее время не имеет полномочий публично анонсировать его. Неназначенное пространство может находиться внутри более крупного выделенного блока, но не быть назначено конечному пользователю или суб-держателю. Может ли RIR подписывать его напрямую, зависит от структуры сертификатов и политики; вышестоящий держатель может сохранять соответствующие полномочия.

Зарезервированное пространство удерживается по какой-то причине. Некоторые резервы не предназначены для глобальной маршрутизации, например для частного использования или документации. Другие могут предназначаться для будущего маршрутизируемого сервиса или временной процедуры назначения. RFC 6491 прямо признаёт зарезервированные и специальные ресурсы, которые должны маршрутизироваться глобально, и запрещает IANA выпускать ROA для таких случаев. Поэтому «зарезервированное» не может быть механическим синонимом «никогда не маршрутизировать».

Карантин добавляет время и историю. Возвращённый или изъятый блок может удерживаться до повторной выдачи, чтобы устаревшие записи о маршрутизации, репутации, геолокации или злоупотреблениях устоялись. У реестра могут быть веские основания препятствовать публичному анонсированию во время карантина. Ему также нужно знать, продолжает ли прежний держатель заявлять права, завершена ли передача и является ли остаточный маршрут неразрешённым спором, а не случайным злоупотреблением.

«Доступное» обычно означает, что ресурс может быть выделен в соответствии с политикой. Метка может меняться ежедневно по мере обработки запросов, резервирований и делегирований. Объект AS0, созданный на основе списка доступных ресурсов, должен быть связан с транзакционными механизмами контроля, чтобы префикс нельзя было делегировать, пока он случайно остаётся покрытым, без действующей положительной авторизации.

Ресурсы, удерживаемые по историческим основаниям, — самая сложная категория. История регистрации может предшествовать современным соглашениям и сервисам сертификатов. Ресурс может выглядеть плохо документированным, не будучи нераспределённым. Классификация должна опираться на историю регистрации, записи о передаче, договоры, переписку и наблюдаемую маршрутизацию, а не только на отсутствие современного поля. AS0 никогда не должен становиться коротким путём для отклонения неудобного требования.

Легитимная служба публикации определяет каждый включённый статус и исключения. Она называет авторитетный набор данных, время обновления и правила сверки. Она выполняет проверки на пересечения с текущими сертификатами, назначениями, положительными ROA, ожидающимися делегированиями и известными спорами. Если служба не может объяснить, почему префикс входит в набор, этот набор не готов влиять на маршрутизацию.

Ежедневная статистика — это доказательства, а не правоустанавливающие документы

Формат обмена статистикой RIR предоставляет полезный публичный снимок выделений и назначений. Участвующие регистратуры публикуют файлы по регулярному графику с общей структурой именования и записей. Расширенные формы могут включать статусы, используемые операционными системами. Реализация AS0 в APNIC формирует свой набор нераспределённых ресурсов из ресурсов, помеченных как доступные или зарезервированные в публикуемой статистике.

Это хорошая отправная точка, поскольку входные данные публичны, машиночитаемы и воспроизводимы. Наблюдатель может сравнить классифицированный набор ресурсов с данными AS0 и выявить необъяснимые расхождения. Версионирование и контрольные суммы повышают целостность. Автоматизация снижает вероятность того, что поддерживаемый вручную список незаметно устареет.

Формат также указывает свои ограничения. Он обобщает текущие выделения и назначения и не даёт транзакционных или исторических деталей. Количество записей не равно объёму адресного пространства. Передачи могут создавать временные пересечения в файлах реестров. Некоторые исторические назначения вне реестров не попадают в записи, создаваемые RIR. Снимок может сообщать статус, не доказывая, как, когда и на основании каких спорных полномочий он возник.

Именно поэтому ежедневная статистика не должна быть единственным основанием для запрета. Служба AS0 должна сверять её с рабочей системой регистрации, реестром сертификатов, положительными ROA, ожидающимися операциями выделения, блокировками передачи и отметками о спорах. При конфликте источников следует отказываться от публикации, а не выбирать наиболее удобную метку. Путь проверки человеком особенно важен для изъятого, возвращённого и унаследованного пространства.

Общественность должна иметь возможность восстановить логику решения без доступа к частным данным учётных записей. Для каждого включённого префикса подписанный манифест или запись прозрачности может указывать исходный статус, время наблюдения, разрешающую политику и объект AS0. Для каждого удаления — новый статус и время отзыва. Конфиденциальные данные о клиентах могут оставаться защищёнными до тех пор, пока обычные правила регистрации не разрешат раскрытие.

Внешние наблюдатели тогда могут задать содержательный вопрос: соответствовал ли набор AS0 заявленному реестром набору нераспределённых ресурсов в тот момент? Им не нужно принимать юридический вывод реестра в каждом споре, чтобы проверить операционную согласованность. Если префикс числится назначенным, но всё ещё находится в AS0, расхождение становится заметным до того, как инцидент маршрутизации спишут на ошибку держателя.

Машиночитаемые доказательства делают возможной проверку полномочий, но не превращают публикацию данных в судебное разбирательство. Реестр остаётся ответственным за процедуру классификации, стоящую за записью, и за исправление ошибок, когда документы меняют результат.

Переход из-под AS0 — определяющий момент

Самый простой случай AS0 — блок, который остаётся неиспользуемым годами. Сложный случай — момент, когда он становится пригодным к использованию. Новое выделение превращает презумпцию сохранения в право держателя разрешать маршрутизацию. Если процессы реестра не координируют этот переход, средство безопасности может запретить именно то использование, которое выделение должно было обеспечить.

Текущая политика APNIC гласит, что при делегировании пространства владельцу учётной записи APNIC удалит префикс из AS0 ROA. Политика LACNIC требует аннулировать ROA, содержащие ресурс, который собираются выделить или назначить, и выпустить заменяющие ROA без этого ресурса. Порядок важен. Запрет должен быть снят до выделения или в рамках транзакции, безопасно скоординированной с новыми полномочиями.

Однако публикация не мгновенна. Удаление префикса во внутренней системе выделения не сразу удаляет все проверенные данные. Репозиторий должен опубликовать согласованное новое состояние. Полагающиеся стороны получают данные по собственному графику. Сессии между кэшем и маршрутизатором используют обновление и повторные попытки. Маршрутизаторы должны получить отзыв и переоценить маршруты. В процессе сходимости разные сети могут иметь разные действительные представления.

Анализ влияния RIPE NCC 2019 года для одного предложения по AS0 проиллюстрировал проблему, а не решил её. В нём отмечалось, что операционные триггеры могут затруднить заблаговременный отзыв, а глобальная обработка может занять время. Точные оценки из анализа предложения не следует считать универсальными текущими показателями, но институциональный урок остаётся: готовность выделения и маршрутизации требует явного периода передачи.

Существуют три практические меры защиты. Во-первых, подготавливать удаление заранее, когда решение о выделении достаточно окончательно для безопасного выполнения. Во-вторых, позволить новому держателю создать совпадающий положительный ROA до анонсирования, поскольку проверка происхождения считает совпадающую положительную авторизацию Valid даже при наличии AS0. В-третьих, проверить по независимым валидаторам, что ожидаемое состояние данных распространилось, прежде чем советовать держателю анонсировать.

Эти меры требуют сервисных обязательств. Уведомление о выделении должно указывать, покрывал ли AS0 ресурс ранее, когда было опубликовано удаление, где держатель может это проверить и когда положительный ROA стал пригодным к использованию. Если ожидается срочная маршрутизация, инженер реестра должен подтвердить внешнюю проверку, а не полагаться на статус в портале.

Переход является определяющим, потому что показывает, чьи права и когда имеют приоритет. Сохранение легитимно, пока ни один держатель не имеет полномочий. Как только полномочия предоставлены, институт должен быстро и заметно отказаться от запрета. Реестр, который может автоматически добавлять AS0, но не может удалить его по измеримому критерию, создал одностороннюю власть.

Ошибочная классификация AS0 имеет характерную картину сбоя

Предположим, /16 классифицирован как нераспределённый и покрыт AS0 ROA, хотя законный держатель маршрутизирует из него /24. До AS0 маршрут мог иметь статус NotFound и приниматься. После того как валидаторы получают объект, /24 становится Invalid, потому что префикс AS0 покрывает его более специфичные маршруты, а совпадающего положительного ROA нет. Сети, отклоняющие маршруты Invalid, могут потерять достижимость в разное время.

Видимая картина может напоминать реакцию на перехват: одни сети перестают передавать маршрут, другие продолжают. Держатель может сначала обвинить транзитного оператора, тот укажет на свой валидатор, а валидатор корректно покажет подписанные данные AS0. Каждый участник может быть технически прав в своих границах, тогда как базовая классификация реестра ошибочна.

Исправление должно начинаться на уровне полномочий. Локальное исключение у оператора может восстановить один путь, но не может удалить объект AS0, видимый другим сетям. Реестр должен аутентифицировать заявителя, изучить доказательства по ресурсу, отозвать или сузить объект и опубликовать обоснованное исправление. Затем валидаторы должны обработать изменённое состояние репозитория, а маршрутизаторы — переоценить маршруты.

Сбой может сохраняться и после отзыва, если доказательства слабые. Один валидатор может не получить новое состояние. Кэш может быть устаревшим. Маршрутизатор мог отбросить маршрут и нуждаться в безопасном механизме восстановления. Некоторые операторы могут отдельно вести bogon-списки, основанные на том же ошибочном статусе. Исправление только RPKI может не устранить все запреты.

Такая картина требует скоординированной записи об инциденте. В ней следует указать ошибочную классификацию, первую публикацию AS0, затронутые префиксы, наблюдаемые источники BGP, разрешение на исправление, отзыв из репозитория, сходимость независимых валидаторов, восстановление кэшей и маршрутизаторов, а также остаточные фильтры вне RPKI. Запись должна отличать подтверждённые эффекты от предполагаемых.

Компенсации и ответственность должны следовать из доказательств. Реестр, ошибочно классифицировавший ясные записи, несёт более серьёзную обязанность, чем имеющий дело с добросовестным спором о правах. Оператор, применивший задокументированную строгую политику, не создавал классификацию, но может нести ответственность за отсутствие пути эскалации для клиента или за необработку исправления. Держатель, маршрутизировавший без поддержания контактов или записей об авторизации, мог способствовать задержке, не теряя при этом всех требований.

Цель — не сделать AS0 безрисковым. Цель — обеспечить, чтобы у средства контроля был обратимый режим сбоя и чтобы ни один институт не мог вечно указывать на следующее звено в цепочке.

Раздельные источники доверия ограничивают зону поражения, только если операторы их замечают

Публичные примечания APNIC к его AS0 ROA отличаются необычной откровенностью. Они предупреждают, что ошибки могут вызвать непреднамеренные перерывы маршрутизации в зависимости от конфигурации маршрутизатора, рекомендуют использовать данные в качестве рекомендаций или предупреждений, а не для автоматической фильтрации, и описывают отдельный указатель точки доверия (Trust Anchor Locator), призванный предотвратить случайное использование. Материал охватывает только адресное пространство, для которого APNIC обладает полномочиями.

Такая конструкция отделяет решение доверять обычным положительным данным RPKI от решения использовать широкий отказ, создаваемый реестром. Оператор может проверять набор AS0 в режиме мониторинга, сравнивать его с BGP и регистрационными данными и выбирать, применять ли меры и где. Ошибка не обязательно автоматически затронет каждую сеть, использующую стандартную точку доверия APNIC.

Разделение — не волшебство. Если программное обеспечение включает дополнительный источник доверия как незаметный параметр по умолчанию, выбор исчезает. Если управляемый валидатор маркирует поток обобщённо, оператор маршрутизатора может не знать, что AS0 поступил из отдельного источника. Если оператор объединяет данные из нескольких кэшей без сведений о происхождении, он может не суметь определить, какой источник доверия сделал маршрут Invalid.

Поэтому механизму нужна видимость в интерфейсе. Валидаторы должны показывать источники доверия AS0 отдельно, указывать количество и охват данных, не создавая впечатления всеобщего покрытия, и помечать происхождение в диагностике. Операторы должны фиксировать явное согласие, предполагаемый режим, охваченные маршрутизаторы и политику. Изменения источника доверия должны требовать проверки, сопоставимой с изменением политики маршрутизации.

Первоначальное использование в режиме мониторинга имеет существенную ценность. Оператор может получить предупреждение, когда в BGP появляется префикс, покрытый AS0, связаться с предполагаемым источником или вышестоящим оператором и сравнить независимые регистрационные записи до отклонения. Это особенно разумно на раннем этапе внедрения или при сложной истории классификации. Это также создаёт данные о ложных срабатываниях и распространении, не рискуя немедленным разрывом связи.

Недостаток в том, что мониторинг сам по себе не защищает маршруты. Решительный нарушитель может продолжать анонсировать. Зрелые операторы могут обоснованно перейти к отклонению после демонстрации качества данных и способности исправлять ошибки. Требование к управлению — не вечная осторожность, а осознанная эскалация: измерять, уведомлять, проверять исключения, публиковать дату и затем применять меры в соответствии с задокументированной политикой.

Разные региональные подходы легитимны, если они прозрачны. По состоянию на рассмотренные материалы APNIC и LACNIC внедрили механизмы AS0, а официальное руководство NRO 2025 года описывает отдельные точки доверия AS0 и рекомендует предупреждения или мониторинг вместо автоматической фильтрации из-за рисков. Это не следует обобщать в утверждение, что каждый RIR публикует или управляет AS0 одинаково.

Окончательное решение о применении остаётся за локальной политикой

AS0 ROA не обходит RFC 8481. Валидаторы устанавливают состояние проверки происхождения; политику определяет конфигурация оператора. Это важно, потому что институты, подписывающие AS0, и те, кто несёт риски связности, — разные стороны.

Сеть может отклонять каждый маршрут, ставший Invalid исключительно из-за принятых данных AS0. Это даёт сохранению прямой эффект и упрощает политику. Но это также требует уверенности в надёжности процедур классификации, отзыва и исключений. Сеть должна знать, возник ли статус Invalid из стандартных ROA, выпущенных держателем, из потока AS0 реестра или из локальных утверждений, даже если в итоге один и тот же элемент route-map отклоняет все три.

Другая сеть может отдельно предупреждать о AS0. Она может связаться с клиентом до применения мер, отклонять на пиринговых и транзитных сессиях, но разрешать временное аутентифицированное исключение для клиента, или применять меры только после независимого подтверждения. Такие различия могут быть легитимными, поскольку отношения и доказательства отличаются. Они не должны становиться постоянными лазейками, через которые клиенты могут анонсировать любое нераспределённое пространство.

Понижение приоритета — несовершенный компромисс. Более специфичный маршрут Invalid может привлекать трафик поверх менее специфичного маршрута Valid, потому что пересылка использует самый длинный префикс до учёта предпочтений BGP среди маршрутов к одному префиксу. Сохранение пути Invalid исключительно для быстрой переоценки отличается от допуска его в пересылку. Описания политики должны различать эти состояния.

Операторам также нужен план действий, когда данные проверки исчезают. Истечение срока действия кэша может удалить сигнал AS0 или изменить его обработку. Открытый режим при сбое может пропустить нежелательный маршрут; закрытый режим для всех неизвестных данных может нанести более широкий вред достижимости. Резервные кэши и явная политика истечения уменьшают, но не устраняют этот выбор.

Ни один реестр не может оценить эти локальные риски для каждой сети. Провайдер в государственном секторе, обслуживающий экстренные службы, может выбрать поэтапное исключение после аутентификации вновь выделенного префикса. Магистральная сеть с широким наблюдением и развитой эскалацией может отклонить немедленно. Небольшое предприятие может полностью полагаться на вышестоящего оператора. Институциональная легитимность проистекает из ясных ролей, а не из одинаковой конфигурации.

Решение оператора всё равно должно быть объяснимым. При отклонении маршрута сеть должна иметь возможность указать данные AS0, источник доверия, время проверки валидатором и применённую политику. При предоставлении исключения следует указать область действия, доказательства, утвердившего и срок действия. Локальная автономия без записи неотличима для затронутой стороны от произвольного обращения.

Внешние измерения — часть обоснования безопасности

Издатель AS0 может проверить собственные объекты и всё же упустить самое важное расхождение: префикс, который он называет неиспользуемым, заметно анонсируется в BGP. Маршрут может быть несанкционированным, но может также свидетельствовать, что классификация заслуживает пересмотра до широкого применения мер. Поэтому внешние измерения должны проводиться до публикации, во время работы и после отзыва.

Первое сравнение — между предлагаемым покрытием AS0 и текущими наблюдениями BGP. RIPE RIS и RouteViews собирают маршруты от участвующих сетей в нескольких точках и архивируют таблицы маршрутизации и обновления. Издатель может пометить каждый предлагаемый префикс или более специфичный маршрут, появившийся у любого выбранного коллектора. Результат — очередь на проверку, а не автоматическое освобождение. Видимость коллекторов частична, а отсутствие наблюдения не доказывает, что маршрута не существует.

Второе сравнение — между авторитетным статусом ресурса и набором проверенных данных. Независимые валидаторы должны получать одни и те же ожидаемые записи AS0 из опубликованных объектов. Расхождения могут указывать на задержку репозитория, ошибки сертификатов или особенности интерпретации программным обеспечением. Отчёт должен указывать источники доверия и время наблюдения, а не считать валидаторы как голоса.

Третье сравнение касается эффекта. Контролируемое наблюдение может показать, остаются ли объявления, покрытые AS0, видимыми из выбранных точек наблюдения, меняется ли видимость после принятия операторами и возвращается ли исправленный префикс. Оно не может установить точный глобальный процент отклонения. Коллекторы BGP собирают данные от добровольных пиров, и изменения путей могут скрывать политику. Активные тесты требуют этических и маршрутизационных гарантий и всё равно измеряют лишь выбранные пути.

Четвёртое сравнение касается ложных срабатываний. Каждое аутентифицированное обращение следует классифицировать: ошибка данных реестра, ожидающееся делегирование, устаревший маршрут, ошибка держателя, спорное требование, локальное частное использование или необъяснённое объявление. Время первого ответа, исправление полномочий, сходимость валидаторов и наблюдаемое восстановление следует сообщать в виде распределений с ясными знаменателями. Период без обращений не является доказательством безупречной точности, если затронутые стороны не могли найти контакт.

Публичные измерения придают достоверность заявлению о сохранении ресурсов. Они показывают, действительно ли покрытое пространство наблюдалось в маршрутизации, снизилось ли число злоупотреблений и восстановились ли законные переходы. Они также дисциплинируют расширение. Издателю не следует добавлять новые категории лишь потому, что генерация технически проста; нужно показать, что текущий набор точен, обратим и полезен.

Самые сильные доказательства — это данные на уровне событий и воспроизводимые. Ежемесячное заявление о том, что «AS0 защищает миллионы адресов», мало говорит об операционной ценности и может вводить в заблуждение, поскольку подсчёт адресов придаёт крупным блокам большой вес. Запись об обнаруженных объявлениях, рассмотренных конфликтах, исправлениях и измеренной сходимости показывает институтам, что средство действительно делало.

Быстрый отзыв — это право, а не просто инженерная цель

Когда AS0 ошибочен, затронутой стороне нужно больше, чем заявка в поддержку. Подписанное заявление реестра может повлиять на далёких операторов, с которыми у держателя нет договора. Поэтому заслуживающая доверия процедура оспаривания — часть права на публикацию.

Точка входа должна быть публичной, постоянно отслеживаемой и способной аутентифицировать срочных заявителей. Заявитель должен указать префикс, заявляемые полномочия, исходную AS, доказательства маршрутизации и контакт. Реестр должен немедленно вернуть идентификатор дела и указать, находится ли префикс в AS0 сейчас, на основании какой политики и какой записи о статусе.

Сортировка должна отделять явную административную ошибку от оспариваемых прав. Если вновь выделенный префикс остался покрытым из-за сбоя обработки изменений, отзыв не должен ждать комитета по политике. Если претензия касается возвращённого или унаследованного блока с противоречивыми записями, реестру может потребоваться юридическая и документальная проверка. Даже в этом случае следует рассмотреть временную меру снижения риска, объяснить промежуточное решение и сохранить возможность обжалования.

Цели отзыва следует определять на контролируемых этапах: одобрение, публикация в репозитории и подтверждение указанными независимыми валидаторами. Сквозное восстановление маршрута следует измерять и сообщать, но не гарантировать повсеместно, поскольку операторы управляют собственным опросом и политикой. Реестр должен продолжать помогать, пока репрезентативные внешние наблюдения не покажут, что исправление распространилось, или пока оставшееся препятствие не будет локализовано в другом месте.

Историческая запись должна сохраняться и после исправления. Незаметное пересоздание крупного агрегированного объекта без подробного журнала изменений мешает узнать, что префикс вообще был покрыт. Запись прозрачности должна фиксировать прежнюю и новую область действия, категорию причины, разрешение и временные метки. Она может защищать частные данные заявителя, показывая институциональные действия.

Должна существовать возможность обжалования, когда реестр отказывается отозвать. Орган пересмотра должен иметь доступ к регистрационным и политическим доказательствам, быть достаточно независимым, чтобы ставить под сомнение классификацию персонала, и публиковать мотивированный результат с необходимыми изъятиями. Судебные права и договорные средства защиты сохраняются, где применимо; техническая проверка не должна делать вид, что решает все вопросы о правовом титуле.

Быстрый отзыв — это право, поскольку обратимость оправдывает превентивные полномочия. Институт просит операторов полагаться на классификацию до наступления вреда. Взамен он должен предложить ошибочно классифицированной стороне быстрый и доказательный выход. Без этой симметрии сохранение превращается в превентивный запрет без надлежащей процедуры.

Превентивные полномочия требуют более строгого контроля изменений, чем обычные списки

Статический bogon-список может быть ошибочным, но объект AS0 в RPKI несёт криптографические полномочия и может попасть в автоматизированную политику маршрутизатора. Контроль изменений должен отражать этот более высокий уровень влияния.

Генерация должна быть детерминированной на основе заявленных входных данных, но не слепой. Кандидатный набор можно вычислять из статуса ресурсов, затем проверять по сертификатам, положительным ROA, ожидающимся выделениям, записям о передачах, отметкам о спорах и наблюдаемому BGP. Каждое исключение и конфликт следует регистрировать. Добавления с высоким риском, такие как возвращённые, изъятые или унаследованные диапазоны, должен утверждать второй человек или независимый механизм контроля.

Объекты следует ограничивать по охвату, чтобы уменьшить совместную судьбу. RFC 9455 в более общем плане предупреждает, что ROA, содержащие несколько префиксов, разделяют действительность как один подписанный объект. Для операций AS0 чрезмерно широкое объединение может усложнить расследование и исправление, даже если семантика проверки маршрутов остаётся специфичной для префикса. Меньшие, логически сгруппированные объекты могут обеспечить более ясные записи об изменениях при условии соблюдения операционного масштаба и производительности репозитория.

Симуляция до публикации должна вычислять, какие наблюдаемые объявления BGP в независимых валидаторах сменят статус с NotFound или Valid на Invalid. Проверка должна включать более специфичные маршруты, поскольку AS0 предназначен для их покрытия. Конфликт с положительной авторизацией следует объяснять, а не игнорировать. Результат становится артефактом одобрения и исходной точкой для наблюдения после публикации.

Внедрение должно быть поэтапным. Сначала публиковать в источник доверия для мониторинга, приглашать операторов к проверке, сравнивать наблюдения, исправлять классификации, затем рассматривать рекомендации по применению. Реестр по-прежнему может быстро реагировать на явные злоупотребления; поэтапное принятие касается уверенности полагающихся сторон, а не задержки подписания каждого объекта.

Удаление заслуживает такого же инженерного внимания. Системы выделения не должны иметь возможность завершить делегирование без создания связанного события удаления AS0. Служба должна проверять публикацию в репозитории и представления независимых валидаторов. Сбой удаления должен вызывать ответственную команду по пейджеру, а не ждать, пока получатель обнаружит маршрут Invalid.

Наконец, органы управления должны публично рассматривать изменения охвата. Добавление пространства «в карантине» или «изъятого» может изменить права и не должно быть незаметным выпуском программного обеспечения. Политика должна определять включение, переход и обжалование. Технический персонал должен публиковать анализ влияния с конфликтами и ограничениями. Одобрение сообщества не гарантирует точность, но делает заявленный мандат на сохранение оспариваемым до того, как он станет кодом.

Доводы в пользу AS0 сильнее всего, когда его границы явно указаны

Самая сильная защита AS0 не утверждает безупречных записей, повсеместного внедрения или автоматического искоренения злоупотреблений. Она говорит нечто более скромное и более прочное: институты, которые сейчас администрируют адресное пространство, обязаны предотвращать несанкционированное использование до делегирования, а RPKI предлагает аутентифицированный способ выразить этот принцип по умолчанию для готовых к этому операторов.

У этой защиты есть условия. Институт должен обладать текущими административными полномочиями именно на этот префикс. Статус ресурса должен означать, что публичное анонсирование не предполагается. Специальные ресурсы, которые должны маршрутизироваться, необходимо исключить. Следует проверить существующих держателей, ожидающиеся делегирования, положительные ROA и видимые объявления. Региональная политика должна разрешать действие там, где его напрямую не регулирует правило стандартов верхнего уровня IANA.

Эффект также следует описывать честно. AS0 создаёт результат проверки происхождения; операторы выбирают применение. Маршрут с классификацией Invalid может отражать злонамеренное использование, операционную ошибку или неверную классификацию. Совпадающий положительный ROA может сделать маршрут Valid. Разные источники доверия могут приводить сети к разным представлениям. Наблюдения BGP выборочны, а не всеобъемлющи.

Самое важное: средство контроля должно быть обратимым. Издателю нужны измеримый отзыв, служба оспаривания, сохранённая история и независимое подтверждение. Новым держателям нужны доказательства перехода до анонсирования. Операторам — сведения о происхождении и безопасная переоценка. Средство, которое может добавить запрет за минуты, а исправить очевидную ошибку за дни, лишено институционального баланса, даже если его криптография безупречна.

Эти ограничения не ослабляют сохранение ресурсов. Они делают принятие операторами более оправданным. Сети с большей вероятностью будут применять сигнал, если знают, как он был создан и как устраняются ошибки. Держатели с большей вероятностью примут превентивное покрытие, если выделение надёжно его снимает. Исследователи могут измерять эффект, когда область действия и история публичны.

Поэтому режим AS0 должен публиковать компактное заявление о гарантиях: полномочия, включённые статусы, исключения, источники данных, график обновления, источник доверия, рекомендации по внедрению, проверки конфликтов, контакт для оспаривания, цели отзыва, внешние валидаторы и ограничения измерений. Такое заявление превращает широкое отрицательное утверждение в подотчётную службу.

Сообщество номерных ресурсов может проводить аудит, не становясь распределителем

Сообщество номерных ресурсов может играть полезную роль именно потому, что AS0 пересекает институциональные границы. Реестр контролирует классификацию и подписание. Операторы контролируют политику маршрутизации. Держатели несут последствия. Исследователи наблюдают лишь части системы маршрутизации. Ни один участник в одиночку естественно не собирает всё обоснование безопасности.

Сообщество может вести сравнительный реестр политик AS0: какой институт публикует, под каким источником доверия, для каких статусов, с каким порядком перехода, каналом оспаривания и записью прозрачности. Оно может проверять, соответствует ли опубликованный охват заявленным данным о ресурсах и сходятся ли независимые валидаторы. Оно может заказывать исследования событий вокруг добавлений, отзывов и вновь делегированных префиксов.

Оно также может представлять небольших держателей при исправлении ошибок. Общая форма доказательств и справочник эскалации сократили бы время, затрачиваемое на доказательство того, что маршрут Invalid связан с AS0. Сообщество могло бы отслеживать ответы и восстановление, не требуя раскрытия защищённых материалов учётных записей. Повторяющиеся сбои можно было бы поднимать в процессах сообщества RIR с конкретными доказательствами, а не обобщёнными подозрениями.

Граница важна. Сообщество не должно выпускать AS0 ROA для адресного пространства, которым не администрирует, решать спорные права на ресурсы, принуждать RIR к выделению или приказывать сетям передавать маршруты. Оно не должно объединять все региональные политики в один универсальный поток. Такие действия воспроизвели бы концентрацию, которую независимая проверка призвана сдерживать.

Его полномочия были бы репутационными и процедурными. Опубликованные методы, воспроизводимые сравнения, сбалансированное членство и заявленные конфликты интересов могут сделать его выводы полезными. RIR может отклонить рекомендацию, но должен объяснить почему. Оператор может выбрать более строгую или мягкую политику, но может сравнить доказательства, стоящие за каждым источником доверия.

Сообществу следует оценивать механизмы контроля, а не институты абстрактно. Есть ли у набора AS0 ясная основа полномочий? Может ли новое делегирование безопасно выйти? Рассматриваются ли наблюдаемые конфликты? Виден ли отзыв в независимых валидаторах? Может ли затронутый держатель получить объяснение? Публичны ли изменения политики и технические изменения? Эти вопросы дают практические улучшения.

Такая роль поддерживает позитивную повестку Сообщества номерных ресурсов: сохранение без конфискации, безопасность маршрутизации без скрытого центрального управления и региональная автономия с общей доказательной базой. Это превращает легитимность из заявления о благих намерениях в проверку обратимости власти.

Сохранение и запрет разделяет процедура

AS0 ROA — это одновременно инструмент сохранения ресурсов и превентивный запрет. Эти два описания не исключают друг друга. Механизм запрещает публичное анонсирование до того, как ожидается маршрутизация законным держателем. Такой запрет сохраняет ресурсы только при надёжных полномочиях, классификации и переходе.

Стандарты дают ограниченную основу. AS 0 непригоден как публичный источник BGP. RFC 6483 определяет отказ и позволяет совпадающим положительным ROA иметь приоритет. RFC 6491 разрешает IANA обрабатывать нераспределённое и немаршрутизируемое зарезервированное или специальное пространство, защищая при этом пространство, предназначенное для маршрутизации. RFC 8481 оставляет окончательное действие за политикой оператора.

Региональные политики добавляют вторую основу. APNIC и LACNIC связали AS0 с адресным пространством под собственным администрированием и описали удаление при делегировании ресурсов. Их выбор показывает, что охват RIR должна определять политика сообщества, а не только технические возможности. Отдельный источник доверия APNIC и осторожность в отношении автоматической фильтрации также признают цену ошибки.

Оставшаяся работа институциональна. Каждый включённый префикс должен иметь явную основу полномочий и статуса. Каждый переход должен координировать удаление, положительную авторизацию и внешнюю проверку. Каждое оспаривание должно получать аутентифицированный ответ и измеримое исправление. Каждый заявленный эффект должен указывать точки наблюдения BGP и ограничения. Каждый оператор должен знать, что именно он, а не реестр, окончательно решает, означает ли Invalid отказ.

С этими механизмами AS0 — легитимный инструмент сохранения: достаточно сильный, чтобы сдерживать ошибочную маршрутизацию, достаточно узкий, чтобы уважать полномочия держателя, и обратимый при изменении фактов. Без них тот же подписанный ноль может стать непрозрачным запретом, налагаемым до того, как затронутая сторона получит эффективную возможность быть услышанной.

Поэтому проверка управления практична, а не риторична. Спросите, кто подписал, какой именно статус оправдывал подпись, кто проверил существующее использование, когда запрет будет снят, как заявитель может его оспорить, какие валидаторы подтверждают изменение и что показывают выборочные маршруты после. Если на эти вопросы есть хорошие ответы, ноль может защищать общий ресурс. Если нет, криптографическая действительность лишь доказывает, что неверное институционально неподкреплённое утверждение было подписано корректно.

Источники

  • RFC 7607: Codification of AS 0 Processing— Требует, чтобы BGP-маршрутизаторы не создавали и не распространяли маршруты, содержащие AS 0 в указанных атрибутах пути. Объясняет, почему AS0 может служить немаршрутизируемым субъектом, но не уполномочивает какой-либо институт классифицировать конкретный префикс.
  • RFC 6483: Validation of Route Origination Using RPKI and ROAs— Определяет отказ AS0, обработку более специфичных маршрутов и возможность совпадающего положительного ROA давать результат Valid. Документ предшествует региональным политикам, рассмотренным здесь.
  • RFC 6491: Resource Public Key Infrastructure Субъекты Issued by IANA— Даёт стандартную основу для объектов AS0 IANA, покрывающих нераспределённые и немаршрутизируемые зарезервированные или специальные ресурсы, с явными исключениями для ресурсов, предназначенных для маршрутизации.
  • RFC 6811: BGP Prefix Origin Validation— Определяет состояния маршрута Valid, Invalid и NotFound. Состояние не объясняет, почему объявление конфликтует с авторизацией.
  • RFC 8481: Clarifications to BGP Origin Validation— Требует, чтобы действия политики проверки происхождения оставались под явной конфигурацией оператора. Не рекомендует какую-либо единственную политику AS0.
  • RFC 8416: Simplified Local Internet Number Resource Management with the RPKI— Описывает локальные фильтры и утверждения, включая случаи с зарезервированным или нераспределённым пространством. Локальные исключения не меняют глобальные представления других операторов.
  • RFC 8210: The RPKI to Router Protocol, Version 1— Определяет отзыв данных, серийные номера кэшей и тайминги между валидаторами и маршрутизаторами. Его таймеры не гарантируют универсальное сквозное время исправления.
  • RFC 9455: Avoiding ROAs Containing Multiple IP Prefixes— Объясняет общую судьбу действительности в объектах ROA с несколькими префиксами. Применение его урока о проектировании объектов к AS0 — это рекомендация по управлению, а не специфичное для AS0 требование в этом RFC.
  • APNIC prop-132: RPKI ROAs for Unallocated and Unassigned APNIC Address Space— Фиксирует региональное предложение, обоснование и статус внедрения для пространства под управлением APNIC. Не даёт APNIC полномочий над другими регионами.
  • APNIC Internet Number Resource Policies, section 5.1.4— Указывает, какие статусы APNIC получают покрытие AS0, и что APNIC удаляет префикс при делегировании ресурса. Текст публичной политики сам по себе не доказывает, что каждый операционный переход проходит без ошибок.
  • APNIC: Important Notes on the AS0 ROA— Предупреждает о риске перерывов, рекомендует использовать в качестве рекомендаций или предупреждений и описывает отдельный источник доверия. Это собственное операционное заявление APNIC, а не независимое исследование эффективности.
  • LACNIC policy LAC-2019-12— Фиксирует внедрённые региональные полномочия, охват и требования по удалению для ресурсов под управлением LACNIC. Политика не решает несвязанные исторические или межрегиональные споры.
  • RIPE NCC 2019-08 impact analysis— Изучал операционные сроки, охват и риски перехода для предложенного подхода AS0 или локальных утверждений. Это свидетельство проектных опасений, а не доказательство того, что проанализированный дизайн стал текущей практикой RIPE NCC.
  • RIR Statistics Exchange Format— Определяет публичные снимки выделений и назначений и объясняет отсутствие истории транзакций. Файлы статусов — это доказательства для классификации, а не замена разрешению споров о полномочиях.
  • RIPE RIS documentation— Описывает распределённые коллекторы BGP и архивы, пригодные для наблюдения до и после. Покрытие выборочно и не может установить повсеместное отклонение.
  • RouteViews API documentation— Документирует текущие и исторические наблюдения маршрутизации от участвующих коллекторов. Отсутствие наблюдения у коллектора не доказывает, что маршрута нет в другом месте.
  • LACNIC/NRO RPKI best-practice note— Описывает операционное руководство 2025 года по источникам доверия AS0, мониторингу и поэтапному внедрению ROV. Это руководство, и его не следует превращать в точный знаменатель внедрения.
  • NRS Charter— Поддерживает распределённое участие и ограничения на концентрацию полномочий над номерными ресурсами. Предлагаемые в этой статье функции аудита и оспаривания остаются перспективными и не передают NRS полномочия на выделение или маршрутизацию.