Кратко

  • В опубликованном анонсе доклада RIPE NCC для RIPE 93 сказано: предварительный анализ обнаружил отсутствие до 10% провайдерских ASN в объектах ASPA. Среди причин названы пропущенные апстримы и соседи, которых ошибочно считают только пирами.
  • Руководство RIPE NCC предупреждает, что отсутствие настоящего провайдера в подписанном ASPA может привести к отклонению маршрутов через него. Текущая панель RPKI не предлагает провайдеров по данным BGP.

«Пир» в карточке, провайдер в пути

Самая дорогая строка в подписанном ASPA может быть пустой. Соседа по-прежнему называют «пиром», хотя часть маршрутов проходит через него как через апстрим. В списке авторизованных провайдеров его нет. Когда получатель проверит путь, отсутствие имени станет ответом «Not Provider» — ровно в тот момент, когда оператор ожидал подтверждения. RIPE NCC теперь оценила масштаб такого пропуска.

В анонсе RPKI-доклада на RIPE 93 регистратор сообщает: предварительный анализ показывает до 10% пропущенных провайдерских ASN в объектах ASPA. Речь идет об ASN провайдеров, а не о доле организаций или объектов с ошибкой. RIPE NCC называет две причины — забытый апстрим и неверная классификация соседа, который наряду с пиринговой связью играет роль провайдера.

ASPA представляет подписанное заявление владельца AS о том, какие другие AS могут выступать его вышестоящими провайдерами. Цифровая подпись подтверждает автора заявления, включая точность воспроизведения всех его пропусков. Проверка подписи не сверяет список с коммерческими отношениями и реальными путями сети.

Руководство RIPE NCC по ASPA требует указать всех апстримов, соседей со смешанной ролью и непрозрачные route server, если они появляются в AS_PATH как провайдеры. Чистые боковые пиры и клиенты туда не включаются. Таким образом, сверка объекта с конфигурацией сессий — только начало. Нужен ответ на вопрос, какую функцию выполняет каждая связь.

Отсутствующая строка говорит «нет»

По модели, которую объясняет RIPE NCC, подписанный ASPA с указанным провайдером дает Provider. Тот же объект без провайдера дает Not Provider. Если владелец AS вообще не опубликовал ASPA, получается No Attestation. Молчание и подписанный неполный список имеют разный смысл для проверяющего маршрутизатора.

RIPE NCC предупреждает: маршруты через упущенного провайдера могут быть отклонены. Для реального отклонения важны конкретный путь, проверка ASPA и политика принимающей сети. Анонс не содержит числа потерянных маршрутов. Он задает более насущную работу для оператора: перед ужесточением фильтра сравнить подписанный объект с транзитными соглашениями, смешанными ролями соседей и тем, какие route server реально стоят в пути.

Нынешняя панель RPKI не подсказывает провайдеров, которых видно в BGP. Доклад RIPE NCC должен представить планы улучшения подсказок ASPA. Подсказка полезна, если показывает наблюдаемый путь и время появления связи. Решение добавить ASN в авторизацию остается за владельцем сети: маршрут может показать след, но не условия договора.

Числу нужна методика

Анонс не дает периода наблюдения, объема выборки, числителя, знаменателя и правил определения провайдерской роли. Датированный отчет с этими данными уточнит, к чему относится «до 10%». До его появления проверка собственных ASPA остается практической мерой, а не спором о глобальной распространенности ошибки.

Зеленая отметка подписи не подскажет дежурному, какой апстрим пропал из списка. Эту строку можно найти только сверкой ASPA с действующими связями — пока фильтр еще не принял решение за оператора.

Источники: анонс RPKI-доклада RIPE 93; руководство RIPE NCC по ASPA; проект IETF о проверке ASPA, версия 29.