Кратко

  • После завершения ARIN убирает переданные ресурсы и связанные ROA из сертификата отправителя; ROA оставшихся ресурсов сохраняются.
  • Сертификат уже подключённого получателя расширяется автоматически, но новые ROA создаёт он сам. Вне RPKI сначала нужна регистрация.

У передачи адресов есть удобная иллюзия: раз реестр перенёс ресурс и сертификат, значит, маршрутизация тоже получила новое разрешение. Инструкция ARIN по RPKI разбивает эту картину. Сертификаты меняются автоматически в момент завершения передачи. Новую ROA — разрешение объявлять префикс от имени определённой автономной системы — создаёт получатель. Машина закрывает регистрационную половину работы; вторую половину должен выполнить человек с планом сети.

У отправителя старое право заканчивается довольно решительно. Когда ARIN завершает передачу, переданные ресурсы удаляются из его RPKI-сертификата вместе с относящимися к ним ROA. Если у отправителя остаются другие ресурсы, сертификат перевыпускается с оставшимся составом, а соответствующие ROA сохраняются. Если переданы все IP-адреса и ASN, охваченные соглашением, нынешний сертификат исчезает полностью, а ROA для ушедших ресурсов удаляются из репозитория. Старое разрешение не сопровождает блок как бирка на чемодане.

Получатель видит автоматизацию другого масштаба. Если у него уже есть сертификат ARIN RPKI, реестр добавляет в него вновь полученные ресурсы. В документации это названо автоматическим обновлением. Но существующие ROA от добавления не меняются и новая ROA не возникает. Если получатель ещё не участвует в RPKI, сначала ему нужно зарегистрироваться. Сам факт передачи его не подключает.

Почему ARIN останавливается на сертификате? ROA содержит три эксплуатационных решения: какой префикс разрешён, какая AS может быть его источником и до какой длины допустимо разбивать объявление. Реестр знает, кому теперь принадлежит ресурс. Из записи о новом держателе невозможно вывести правильную AS и максимальную длину для будущих анонсов. Автоматическая ROA означала бы, что ARIN решила эти вопросы за оператора. Поэтому сертификат лишь открывает возможность подписать разрешение, а содержание определяет новый держатель.

Так возникает короткий, но существенный разрыв состояний. В момент передачи старая ROA уже удалена. Сертификат зарегистрированного получателя уже может включать адрес. Нового разрешения на происхождение маршрута ещё может не быть. Проверка только сертификата покажет успешное действие реестра, но не покажет, завершил ли оператор свою часть. Три состояния следует фиксировать отдельно и по времени, а не складывать в одну галочку «передано».

ARIN в рекомендациях по передаче напоминает также об IRR и обратном DNS. У каждой из этих систем свой цикл обслуживания. Смена держателя в реестре, переработка сертификата, публикация ROA и исправление операционных записей не являются одной транзакцией, даже если помещаются в один календарный день. Регистр автоматизирует то, что знает из договора и учёта ресурсов. Получатель отвечает за то, как эти ресурсы появятся в маршрутах.

Опубликованные правила ARIN описывают процесс, а не конкретный сбой. Для оценки последствий отдельной передачи нужны датированный снимок репозитория RPKI и наблюдение результата проверки маршрутов в то же время. Но распределение обязанностей уже видно: сертификат может прибыть автоматически, ROA за получателя не напишется. В акте приёмки должны стоять два времени, потому что у передачи два механизма завершения.

ARIN