Cloudflare Radar에 RPKI ASPA 경로 검증 도구 추가, BGP AS_PATH 유효성 확인 지원

Cloudflare가 Radar의 Routing 섹션에 ASPA 검증 기능을 추가했다. 이 도구는 입력한 BGP AS_PATH를 현재 공개된 RPKI의 ASPA 레코드와 대조해 경로 유효성을 판정하며, 특히 Invalid 결과를 경로 누수 징후로 해석할 수 있게 설계됐다.

AS_PATH를 입력해 ASPA 기준으로 판정

새 도구는 사용자가 BGP AS_PATH를 직접 넣으면 현재 공개된 ASPA 레코드와 비교해 Valid, Invalid, Unknown 중 하나의 결과를 반환한다. 단순 조회가 아니라 경로 승인 체인이 끝까지 이어지는지 확인하는 방식이어서, 라우팅 이상 징후를 빠르게 가려내는 데 초점이 있다.

특히 Invalid는 전체 경로를 덮는 provider authorization 체인이 없다는 의미로 설명됐다. 원문은 이를 route leak의 시그니처로 규정하고 있어, 업스트림 경로 이상이나 경로 전달 정책 점검이 필요한 상황에서 참고 지표로 활용할 수 있다.

판정 기준은 IETF 초안 기반

검증은 draft-ietf-sidrops-aspa-verification을 따른다. 따라서 같은 초안을 구현한 다른 검증기와 결과를 맞출 수 있다는 점이 특징이다.

다만 이 초안은 아직 RFC가 아니므로, 운영 환경에서 결과를 절대 기준으로 단정하기보다 RPKI 검증기, 라우터 로그, 피어링 정책과 함께 교차 확인하는 접근이 적절하다.

입력 형식과 동작 방식

경로는 BGP wire order로 해석된다. 즉 오른쪽 끝 AS가 origin이고, 왼쪽 끝 AS는 해당 경로를 관측한 collector 또는 router에 가장 가까운 AS다.

AS 번호는 공백, 쉼표, 하이픈으로 구분할 수 있고 AS 접두어 유무도 허용된다. 또한 ASPA 스냅샷을 브라우저에 한 번 로드한 뒤에는 추가 요청 없이 verdict, graph, trace가 경로 수정에 맞춰 갱신된다.

네트워크 운영자가 볼 점검 포인트

IX, 트랜짓, 고객 회선을 함께 운영하는 네트워크에서는 외부에서 관측된 AS_PATH를 이 도구에 넣어 Invalid 여부를 먼저 확인한 뒤, 내부 라우트맵과 업스트림 광고 정책을 대조하는 식의 1차 점검에 활용할 수 있다.

국내·일본 IDC나 코로케이션 환경처럼 다중 회선과 다중 사업자 연결이 흔한 곳에서는, 고객 발표 경로나 상위 사업자 전달 경로가 설계와 다르게 보일 때 route leak 의심 정황을 좁히는 참고 도구가 될 수 있다. 다만 원문 기준으로는 판정 알고리즘이 IETF 초안 단계이므로, 필터 정책 변경 전에는 기존 RPKI·BGP 운영 절차와 함께 검토하는 것이 안전하다.

핵심 포인트

• Cloudflare Radar Routing 섹션에 ASPA 경로 검증 도구가 추가됐다.
• BGP AS_PATH를 입력하면 Valid, Invalid, Unknown 판정을 반환한다.
• Invalid는 provider authorization 체인이 경로 전체를 덮지 못하는 상태로, route leak의 시그니처로 설명됐다.
• 검증은 draft-ietf-sidrops-aspa-verification을 따르며, 초안은 아직 RFC가 아니다.
• 경로는 BGP wire order로 읽고, 브라우저에서 스냅샷을 한 번 로드한 뒤 추가 요청 없이 결과를 갱신한다.