Кратко

  • После Invalid→Valid многосвязные сети достигали отметки доступности для половины точек наблюдения за медианные 9 минут; сети с одним аплинком — за 12 минут.
  • При переходе Valid→Invalid порядок менялся: половина точек теряла доступность через 42 минуты у сетей с несколькими аплинками и через 30 минут у сетей с одним.

Два аплинка могут вернуть маршрут быстрее и убрать его позже. Резервный путь не читает мысли соседа; он читает собственную копию состояния RPKI — и часто не в ту же минуту.

Результаты представили на RIPE 93 в докладе о том, сколько времени изменения статуса RPKI доходят до плоскости данных. Исследователи отслеживали около 25 тысяч изменений в репозитории RIPE, менявших проверенные payload, а затем выделили примерно 1 500 событий с одиночным переходом. После обнаружения смены VRP они запускали traceroute с более чем 300 узлов CAIDA Ark примерно каждые три минуты в течение часа.

Измерялось время до момента, когда половина точек наблюдения снова могла достичь префикса или переставала его достигать. Отсчёт не начинался с редактирования ROA и не заканчивался первым скачиванием объекта валидатором. Публикация, проверка и пересылка пакетов идут по разным расписаниям; один зелёный индикатор не склеивает их в одно событие.

Возврат: второй аплинк сокращает ожидание

После перехода Invalid→Valid медиана до восстановления доступности у половины точек составила 9 минут для сетей с несколькими аплинками и 12 минут для сетей с одним. У каждого провайдера собственное ПО relying party и свой цикл обновления. Две независимые цепочки дают больше шансов, что одна раньше получит и обработает новую авторизацию.

У многосвязных сетей был короче и медленный хвост распределения. Причина не в особой магии BGP: один валидатор мог получить новый объект раньше другого. Когда один путь уже использует обновлённое состояние, сеть может вернуть маршрут по нему, пока второй аплинк ждёт своего цикла загрузки.

Дополнительный аплинк не превращает ROA в Valid. ROA разрешает происхождение маршрута, а валидатор вычисляет состояние на основе опубликованных объектов. Измеренное преимущество появляется позже — когда аплинки и маршрутизаторы применяют новое состояние.

Исчезновение: резервный путь задерживает финал

При переходе Valid→Invalid картина развернулась. До потери доступности у половины измерительных точек проходила медиана в 30 минут у сетей с одним аплинком и 42 минуты у сетей с несколькими. Один провайдер уже обновил представление RPKI и изменил обработку маршрута; другой мог всё ещё видеть прежнее состояние и продолжать объявлять его. Резервный путь продлевает видимость объявления.

В инциденте Invalid — не всемирная команда «отключить». Каждая сеть применяет собственную политику к недействительным объявлениям, а валидаторы не забирают данные одновременно. Пока где-то остаётся анонс, BGP может выбрать этот путь. Поэтому контролируемое состояние способно уже измениться, а traceroute всё ещё проходит к префиксу.

Исследование включало случаи с одним источником и исключало те, где префикс перекрывался более специфичным объявлением. Traceroute шёл один час. Значения 9, 12, 30 и 42 минуты — медианы этой выборки; они показывают, где сеть задержалась в этих наблюдениях. Для оператора практический вопрос — какой аплинк уже обновился, а какой ещё распространяет маршрут.

У изменения ROA несколько часов

Между изменением ROA и новой доступностью стоят публикация объекта, загрузка и проверка валидатором, передача состояния маршрутизаторам, локальная политика и сходимость плоскости данных. На этом фоне фраза «RPKI обновлён» выглядит как отчёт о сделанной работе без ответа на вопрос, дошла ли она до пользователей.

Команда наблюдала источник репозитория RIPE и использовала оптимизированный валидатор. По словам докладчика, сигнал опережал сравниваемые публичные валидаторы минимум на 57 секунд, а по медиане — на пять минут. Это позволило начать traceroute до реакции большей части наблюдаемых сетей. Преимущество было частью метода измерения, а не способом управлять чужими расписаниями загрузки.

Докладчик советовал готовить ROA заранее, проверять интервалы загрузки валидаторов и включать RRDP там, где его поддерживает ПО. Для интервала он предложил пять–десять минут. Но подтверждение реального эффекта исправления требует журнала: время публикации, наблюдения валидаторов, состояние каждого аплинка и результаты независимых проб. Один зелёный значок такой журнал не заменит.

Источники: официальная сессия и аннотация RIPE 93; официальная стенограмма пленарного заседания RIPE 93; RFC 6811: проверка источника префикса BGP.