Кратко

  • Nathalie Trenaman назначила три этапа для RIPE NCC RPKI Validator: с января 2021 года прекратить новые функции, с марта — внедрение новых RFC и правил RIR, с 1 июля — всю поддержку. Исправления безопасности выпускались до последней даты.
  • В июне RIPE NCC призвал оставшихся пользователей перейти на поддерживаемое ПО, в июле подтвердил окончание обслуживания, а в сентябре сменил программу под общедоступным информационным сайтом.

Отправить программу безопасности на пенсию сложнее, чем выключить старый экран. Рассказ Nathalie Trenaman на RIPE Labs начинает отсчет с 13 декабря 2011 года: RIPE NCC запустил Validator 2.0 с веб-интерфейсом, позволявшим увидеть, как проверка происхождения маршрутов повлияет на объявления BGP. Позже программу переписали на Java. Версия 3 потребляла слишком много памяти, и после серьезной переделки в июле 2019 года вышла 3.1. Каждый новый стандарт и каждое изменение безопасности продолжали требовать работы.

В октябре 2020 года RIPE NCC наблюдал, по словам Trenaman, около 450 активных экземпляров своего валидатора. Для этих пользователей она объявила последовательность: с 1 января 2021 года новые функции не добавлять, с 1 марта не внедрять новые RFC и политики реестров, с 1 июля прекратить обслуживание и отправить проект в архив. Исправления безопасности сохранялись до последнего дня. Информирование пользователей и обновление учебных материалов входили в план перехода.

Ресурсы инженерной команды нужно было направить туда, где у реестра постоянная обязанность. RIPE NCC обслуживает устойчивый и безопасный сертификационный центр RPKI. Программа проверяющей стороны, которой пользуется оператор, загружает и проверяет глобальные данные RPKI, а ее результат поступает в решения о маршрутах. Это разные звенья. Продолжать собственную разработку валидатора означало делить рабочее время между ним и центром сертификации. Trenaman выбрала четкую границу.

Уведомление RIPE NCC в июне 2021 года призвало перейти на другое обслуживаемое ПО до 1 июля. Июльское сообщение участникам подтвердило прекращение поддержки. В сентябре адрес rpki-validator.ripe.net еще открывался. В пояснении Trenaman сказано, что информационный сайт перешел на Routinator. Знакомый адрес оставался, но его прежний движок уже не получал исправлений.

Она не дождалась, пока старый инструмент станет загадкой для техподдержки. Публичные сроки позволили сетям испытать замену, а реестру — удержать инженеров на работе с сертификационным центром. Такая пенсия выглядит скучно лишь тогда, когда подготовка удалась.