Кратко

  • В публикации LACNIC Blog раздельно объясняются martian-адреса, bogon, связанные со статусом ресурсов, и маршруты RPKI Invalid. Автор оговаривает, что изложенные взгляды могут не совпадать с позицией LACNIC.
  • Все три класса могут попасть в один фильтр, однако их доказательная основа различна: реестр адресов специального назначения, снимок статуса ресурсов и набор проверенных ROA в локальном кэше.
  • RFC 6811 задаёт Invalid через проверенные данные авторизации происхождения, допускает расхождения локальных кэшей и оставляет действие по результату на усмотрение локальной политики. Проверка происхождения не проверяет весь путь.
  • Для объяснения агрегата достаточно сохранить по каждой категории источник, версию, время, область и локальное действие; публиковать префиксы, клиентов, соседей и конфигурации для этого не нужно.

У трёх отказов нет общей шкалы времени

Операционная сводка нередко начинает с количества результатов фильтрации. Это может быть полезно: число помогает заметить нагрузку или изменение. Однако число перестаёт быть нейтральным, когда ему приписывают общую причину или общий эффект. Статья LACNIC о martians, bogons и RPKI Invalids важна именно тем, что не смешивает эти понятия до такого уровня.

В ней martian связывается с адресами, зарезервированными для специальных целей. Bogon, в описанном значении, связан с пространством, статус доступности, делегирования или распределения которого имеет значение для списка. RPKI Invalid относится к соответствию между объявлением, префиксом, исходным AS и доступной авторизацией ROA. Эти разъяснения нельзя выдать за правило LACNIC. Статью подписал Sergio Kleiman, а в конце прямо указано, что мнение автора не обязательно отражает взгляды LACNIC. В ней нет утверждения о региональном инциденте, текущем количестве или единой практике операторов.

Вместо этого она позволяет задать более точный вопрос: каким данным и какому времени обязан своим смыслом конкретный результат? Для martian первая опора — реестр IANA IPv4 Special-Purpose Address Registry. Он задаёт свойства специального IPv4-пространства. Если правило опиралось на такую запись, в записи о решении нужна применённая версия или хотя бы время получения реестра. Иначе свойство, прочитанное в определённый момент, легко представить как неизменное свойство адреса.

У bogon, основанных на статусе ресурса, другое время. В статье отмечается, что наборы данных меняются, когда ресурсы становятся доступными, делегируются или распределяются. Значит, наблюдение должно быть связано со снимком ресурса. Позднейшее распределение может подсказать, что прежний список следует проверить, но не меняет задним числом то, какие данные использовались ранее. Важно отдельно видеть изменение статуса ресурса, задержку обновления списка и решение локального правила.

Третье время принадлежит точке проверки RPKI. В RFC 6811 маршрут является Invalid, если проверенные ROA-данные его покрывают, но ни одна авторизация не соответствует наблюдаемой паре префикса и исходного AS. Документ допускает, что локальные кэши будут различаться из-за времени обновления и получения данных. Он также проводит две границы: принять, записать, понизить предпочтение или отклонить маршрут — решение локальной политики; проверка происхождения не является проверкой полного AS-пути.

Поэтому один общий показатель может годиться для очереди работы и одновременно не годиться для вывода о причине. Он не доказывает, что маршруты имели одинаковую ошибку, одинаковый риск, одинакового ответственного или одинаковый способ исправления. Он также не доказывает, что некая угроза была остановлена. Чтобы агрегат оставался честным, он должен сохранять возможность восстановить три разных времени данных.

Нужна квитанция о доказательствах, а не раскрытие топологии

Для такой проверки не требуется открывать BGP-таблицу, префиксы, номера AS, имена соседей, клиентов, устройства, заявки или фрагменты правил. По каждой категории можно хранить источник и его версию либо идентификатор снимка, время получения, время наблюдения, IPv4/IPv6, входящее или исходящее направление, широкую роль соседа, локальное действие, тип исключения, агрегированное число, ритм обновления и канал исправления.

Такая квитанция отделяет возможные рабочие поверхности. Для специального адреса проверяется запись реестра; для статуса ресурса — снимок; для Invalid — связь авторизации или локальное исключение. Она не приписывает конкретной сети вину и не выносит маршрутные данные наружу. Зато она делает последующую корректировку возможной, если число изменилось после обновления источника, кэша или политики.

Источники