786 совпадений с IRR остались RPKI Invalid всю неделю

Маршрут предъявил запись. Подпись возразила.

Почему это важно

В интерфейсе фильтрации легко выбрать удобный сигнал и забыть о втором. Исследование, заявленное на RIPE 93, насчитало 786 пар префикс–источник, для которых точная запись IRR всю неделю соседствовала с результатом RPKI Invalid.

Daniel Kade27 октября 2026 г. в 03:54 UTCВремя чтения 2 минПоследнее обновление: 27 октября 2026 г.

У одного маршрута два сигнала, а решение принимает сеть.

Кратко

В официальной аннотации RIPE 93 описаны 786 пар префикс–исходная AS с точным совпадением в IRR, сохранявших статус RPKI Invalid с 8 по 14 августа 2026 года.
У 371 пары длина анонса превысила maxLength в ROA; у 415 отличалась исходная AS. Общий статус скрывает две разные проверки.

Маршрут может аккуратно совпасть с записью в реестре и всё же не пройти проверку подписанного разрешения. Именно такие 786 случаев описаны в аннотации RIPE 93 к выступлению Antonis Chariton и Usama Ejaz. Доклад запланирован на вторник, 27 октября. Пока опубликована аннотация с результатами измерения за август, а не запись выступления.

Половины этого числа требуют разных действий. В 371 случае объявленный префикс оказался длиннее предела в ROA. В 415 исходная AS не совпала с разрешённой. RIPE NCC объясняет обе причины Invalid. Для первой нужны фактический анонс и параметр maxLength; для второй — проверка права конкретной AS объявлять префикс. Наличие точного объекта route в IRR фиксирует утверждение источника IRR, но само по себе не меняет подписанную ROA.

Авторы совместили наблюдения за 8–14 августа из 57 коллекторов RIPE RIS и RouteViews, 19 источников IRR и 17 представлений валидаторов RPKI, доступных всю неделю. Точное совпадение IRR обнаружилось у 64,4% пар из недельного объединения наблюдений. Среди совпавших пар 79,9% встречались лишь в одном источнике IRR. Такой источник остаётся одним, даже если данные несколько раз прочитали разные программы.

Отдельно исследователи воспроизвели на данных 8 августа раскрытие AS-SET, указанных в PeeringDB. Сохранилось 99,27% точных совпадений IRR. Неполные и неразрешённые раскрытия оставили для проверки. Автоматический генератор фильтра может превратить сбой раскрытия в исчезновение номера AS из списка допущенных маршрутов.

RFC 6811 определяет состояние проверки, а действие с маршрутом отдаёт явно настроенной локальной политике. Прежде чем менять фильтр, полезно собрать префикс, исходную AS, источник IRR, параметры ROA, причину Invalid, время наблюдения и итог раскрытия AS-SET в одном протоколе. Владелец фильтра отвечает за действие.