Summary

  • В письме рабочей группе 18 марта 2021 года Nathalie Trenaman спросила, следует ли RIPE NCC отклонять RPKI-недействительные маршруты в AS3333. Эта сеть обслуживала LIR Portal; ошибочный ROA мог не пустить владельца к инструменту его исправления.
  • 19 апреля правило включили. До этого RIPE NCC предупредила организации и добавила сигнал в интерфейс, но не открыла скрытый вход в портал и не стала править ROA за участников.

Ошибка перекрывает путь к исправлению

ROA указывает, какой автономной системе разрешено анонсировать префикс и какой может быть его максимальная длина. Неверная цифра способна сделать законный маршрут «недействительным». Фильтр обнаруживает расхождение с BGP, но не знает, опечатка это или перехват. В сети AS3333 риск возвращался к самому реестру: там находился портал, через который участник меняет ROA.

Trenaman вынесла вопрос в Routing Working Group, когда вышестоящие сети уже действовали по-разному. Одни отбрасывали недействительные маршруты, другие пропускали. Участник с ошибочным ROA мог потерять доступ через первых; после перехвата маршрута другой участник, по полученному сообщению, не мог открыть сайт через вторых. Проверка 10 февраля выявила 511 потенциально затрагиваемых анонсов участников и конечных пользователей.

В записи от 13 апреля она привела снимок на 7 апреля: 697 недействительных маршрутов от 215 организаций. RIPE NCC связалась с ними и добавила предупреждение перед публикацией ROA, не совпадающего с видимым BGP. В майских материалах RIPE 82 указан иной предзапусковой срез: 597 маршрутов тех же 215 организаций. Эти числа относятся к разным проверкам; ни одно не равно числу реально заблокированных участников.

Запасной путь был строгим: войти через другую сеть с действительным или неизвестным маршрутом. Trenaman отказалась от потайного доступа к my.ripe.net и от правки ROA сотрудниками RIPE NCC вместо владельца. Служебное объявление назначило запуск на 19 апреля; позже она подтвердила его и сообщила лишь о нескольких вопросах, главным образом о создании ROA. K-Root на AS25152 не входил в AS3333.

Сила этого решения — не в кнопке «отклонить», а в открытом объяснении, как вернуться после собственной ошибки.

Источники: письмо; RIPE Labs; объявление; RIPE 82.