IRR
Второй, старший способ заявить право на анонс блока — и почему он слабее подписи, но всё ещё нужен.
Право объявлять блок в интернет заявляют двумя независимыми способами. RPKI — криптографическая подпись владельца; IRR — запись в реестре маршрутов. Они не заменяют друг друга и проверяются по-разному, поэтому и показаны отдельно.
IRR (Internet Routing Registry) — база, куда операторы вносят объекты route: «блок такой-то объявляется сетью такой-то». Записи вносятся вручную, подписью не защищены и годами не пересматриваются. Это заявление о намерении, а не доказательство права.
Параметры
| Поле | Что означает | Значения |
|---|---|---|
| IRR | Есть ли для блока запись в реестре маршрутов | registered — запись найдена; none — не найдена; прочерк — источник не прочитан |
⚠️ Прочерк и none — разные ответы. none означает «реестр прочитан, записи нет». Прочерк — «реестр недоступен», и вывода из него делать нельзя.
Как читать
registered — оператор внёс запись. Это норма для крупных сетей: без объекта route многие транзитные провайдеры просто не примут анонс, поэтому у магистральных операторов записи есть почти всегда.
none — записи нет, и само по себе это не нарушение. Записи требуют не все, и особенно редко их заводят на короткоживущие анонсы, внутренние блоки и адреса, объявляемые только своему провайдеру.
Сигналом none становится в сочетании:
| Сочетание | Что оно значит |
|---|---|
none + анонс идёт |
Право на анонс ничем не заявлено. Само по себе слабо, но в паре с расхождением держателя и оператора — повод проверить |
none + RPKI invalid |
Оба способа заявить право отсутствуют или противоречат друг другу. Сильный сигнал |
registered + RPKI valid |
Право заявлено дважды и независимо. Лучшее, что бывает |
registered + RPKI invalid |
Заявления противоречат: старая запись в реестре против свежей подписи. Верить подписи |
Чем IRR слабее подписи
Запись не проверяется. Внести объект route может тот, у кого есть доступ к реестру, и старые реестры принимали записи почти от кого угодно. Проверка «а ваш ли это блок» появилась не везде и не сразу.
Запись не устаревает сама. Блок давно у другого оператора, а объект route со старым номером сети продолжает лежать. Отсюда часть расхождений с RPKI.
Реестров несколько, и они не согласованы между собой. Запись может быть в одном и отсутствовать в другом.
Поэтому при расхождении с RPKI верить следует подписи: она проверяема криптографически и привязана к владельцу блока, а не к тому, кто первым успел внести строку.
Что с этим делать
Для оценки чужого блока: none — не повод для выводов, но и не довод в пользу. Смотрите вместе с RPKI и с тем, совпадают ли держатель и оператор.
Для своего блока: запись в IRR стоит завести, даже если есть подпись. Часть транзитных операторов до сих пор строит фильтры по IRR, и без объекта route анонс может просто не разойтись по интернету.
Обновлено