Кратко

  • ASPA подписывает список разрешённых вышестоящих провайдеров и добавляет проверку пути к данным RPKI.
  • Публикация, валидация, классификация и отклонение — разные операционные состояния.
  • При частичном внедрении Unknown означает нехватку данных, а не Valid или Invalid.

Объект появился, маршрут остался

Новый ASPA виден в панели RPKI. Затем тот же намеренно некорректный клиентский путь объявляется на производственной границе. Он остаётся установленным, потому что производственная политика импорта не использует результат проверки ASPA. Объект выполнил свою задачу; испытание точно выявило отсутствие действия в политике импорта.

APNIC определяет ASPA как подписанный владельцем ASN список разрешённых upstream-провайдеров. ROA подтверждает право origin AS объявлять префикс, но не согласованность AS_PATH. Поэтому проект IETF различает приём от клиента, peer, provider, клиента route server и sibling.

При постепенном внедрении многие переходы не имеют ASPA и получают статус Unknown. Материалы RIPE объясняют, почему такие пути принимают: отсутствие аттестации не должно само создавать аварию. Invalid требует явного противоречия. Называть все принятые пути проверенными — значит скрывать неопределённость.

ASPA не предотвращает любую утечку, начатую локальной AS; проект IETF рекомендует дополнять его атрибутом OTC. Криптографический результат также не подтверждает доставку пакетов, ёмкость или коммерческий характер связи.