Summary

  • Ondřej Caletka рассказал на RIPE 92, как сеть встречи начала отбрасывать пути, признанные ASPA недействительными, и перестала достигать CZ.NIC по IPv6. Единственный аплинк передал ей только лучший путь — именно тот, который фильтр удалил.
  • Оператор CZ.NIC добавил AS6939 в список провайдеров ASPA. По словам Caletka, запись появилась в маршрутной информации примерно через десять минут. Спор в зале касался того, где ставить фильтр, когда входящий транзит остаётся последним выходом.

«Фильтр работает» звучит убедительно, пока рядом не мигает жалоба на недоступный адрес. Ondřej Caletka вынес этот случай на пленарную сцену RIPE 92. Сеть конференции подписала объект ASPA для собственного ASN и стала отклонять недействительные пути. Затем коллега из CZ.NIC сообщил: с площадки конференции его сеть не открывается по IPv6. Caletka выбрал открытый разбор вместо красивой истории о внедрении нового механизма.

В официальной стенограмме описана короткая схема: один аплинк, полная таблица BGP и отсутствие маршрута по умолчанию. Лучший путь к CZ.NIC шёл через AS6939, Hurricane Electric. Компания предоставляла бесплатный транзит IPv6, но в соответствующих списках провайдеров ASPA её не было. Проверка признала путь недействительным; маршрутизатор конференции его отбросил. Аплинк передал клиенту лишь свой лучший путь. Другой разрешённый вариант мог существовать выше по сети, но до конференции не добрался. Правило удалило единственный маршрут, который этот маршрутизатор вообще видел.

Оператор CZ.NIC внёс AS6939 в свой список ASPA, и, по оценке Caletka, обновление дошло до таблицы маршрутизации за десять минут. Инструкция RIPE NCC объясняет, почему подпись требует постоянного ухода: панель RPKI сама не определяет реальные отношения каждого ASN с провайдерами. Пир, который одновременно даёт транзит, должен быть указан; при изменении связности список обновляют. Нулевая цена не делает транзит невидимым для топологии.

В зале возник настоящий спор. Job Snijders предлагал исправлять удалённую авторизацию или саму транзитную связь и возражал против вывода, будто виновата проверка. Caletka отвечал с позиции клиента с одним аплинком: он не может выбрать альтернативу, которую аплинк ему не экспортировал. Gert Doering предложил принимать маршруты от последнего транзитного провайдера, а фильтровать на пиринговых соединениях. Запись обсуждения полезна именно различием этих точек зрения: они относятся к разным рычагам одной сети.

Согласно профилю RIPE NCC, Caletka строит учебные лаборатории. В программе его занятия по ASPA на RIPE 93 указаны настройка проверки и поиск причин сбоев. Эдинбургский опыт просится в первое упражнение: прежде чем удалить «плохой» путь, посчитай, сколько путей тебе присылают.