摘要

  • 10 月 26 日，RIPE NCC 的 Ondřej Caletka 在 RIPE 93 教程中演示 BIRD 如何把本地 ASN 加入待验证路径。
  • 他随即提醒：普通对等会话若照搬这一步，上行路径验证反而会被破坏。

多加的 ASN 像一位认真过头的稽核员。查客户名单时，它找出了“你怎么没把我列为提供商”；查自己的上游时，它又能指出“我怎么把上游漏了”。轮到对等邻居，它还照着提供商名册点名，场面就变得尴尬：对方本来不是给你提供转接服务的。

RIPE 93 的正式日程列出 Caletka 10 月 26 日的 ASPA 教程。他的原始幻灯片给出 BIRD 实例：来自上游的路由接受 aspa_check(aspas, bgp_path.prepend(2121), false) 检查。2121 是示例里的本地 ASN；false 选择下行验证。示例遇到无效路径会拒收，同时注释写明，可先改为打印结果观察。

收到的 BGP 路径通常止于对端，尚未包含接收方自己的 ASN。第 57 页指出，这会漏掉紧挨本地网络的两类错误：客户的 ASPA 没把你列为提供商，或你的 ASPA 没列出自家上游。把本地 ASN 临时放进验证用的路径，才能检查这一跳；这不等于声称收到的通告本来就带着你的号码。

但普通对等连接不走这套提供商关系。BIRD 团队自己的说明明确区分：客户与上游检查可以加入本地 ASN，横向对等检查不能加。它也说明，这是一项实现与运维选择；IETF 现行 ASPA 验证草案没有把这一步写成要求，而是要求单独核对本地关系。

RIPE NCC 的 ASPA 指南要求准确列出提供商，也区分普通对等方。到了路由器配置里，这条界线同样不能丢。一份套遍所有邻居的过滤模板固然省事，省下的工时可能换来一批方向判断错了的拒收记录。

原始资料