Кратко

  • Работу над новым ядром RPKI LACNIC начала в конце 2022 года. По словам Cano, сохранность кэшей валидаторов оказалась одной из самых тонких задач: тестировали разные версии, некоторым старым потребовался перезапуск.
  • После адаптации ядра к базе пользователей финальным шагом стала смена DNS-записей. Позже Cano описал главный ключ якоря доверия, хранящийся вне сети, и три церемонии подписи со свидетелями.

Чужой кэш не присутствует на открытии

Реестр может закончить переключение по своему расписанию. Программа проверки у оператора живёт по расписанию полученных и сохранённых объектов. В рассказе о миграции Jorge Cano называет целостность клиентского кэша одним из самых сложных мест. Команда LACNIC проверяла несколько версий разных валидаторов. Для части старых версий понадобился перезапуск. Именно здесь новое ядро встречается с существующей сетью, а пресс-релиз — с дежурным инженером.

Cano, старший архитектор программного обеспечения LACNIC, описывает систему в три слоя. Первый выполняет криптографические операции; второй готовит и предварительно проверяет публикацию; третий отдаёт проверенные данные. Пользователь размещённого RPKI создаёт ROA через MiLACNIC, а ключами и сертификатами распоряжается сам реестр. Удобство интерфейса означает, что за кулисами появилась общая точка зависимости.

В конце 2022 года LACNIC решила заменить старое ядро. Основой выбрали открытый проект Krill и приспособили его к базе участников и задачам реестра. Примерно через два года новую систему ввели в работу. Последний шаг — изменить DNS-записи. Такая короткая развязка возможна лишь тогда, когда длинную часть работы уже проделали: подготовили данные, публикацию и реакцию валидаторов.

Есть и операция, для которой повседневный доступ был бы плохой привычкой. В публикации января 2025 года Cano пишет: главный ключ якоря доверия хранится вне сети и ненадолго включается для повторной подписи верхнего сертификата. К тому моменту в Casa de Internet в Уругвае прошли три церемонии с сотрудниками разных отделов и свидетелями. Контрольный список фиксирует шаги и исключения. Публичной таблицы испытанных версий валидаторов нет; она показала бы, какие старые кэши пришлось перезапускать.