Das Internet ist auf ein globales Routing-System angewiesen, das es Netzwerken, Rechenzentren, Cloud-Plattformen, Internetdienstanbietern und Unternehmen erm\u00f6glicht, Datenverkehr auszutauschen. Eines der wichtigsten Protokolle in diesem System ist das Border Gateway Protocol, allgemein bekannt als BGP. BGP erm\u00f6glicht es autonomen Systemen, anzuk\u00fcndigen, welche IP-Adressbereiche sie erreichen k\u00f6nnen. Ohne BGP k\u00f6nnte das moderne Internet nicht Millionen von Netzwerken \u00fcber verschiedene L\u00e4nder und Anbieter hinweg verbinden.\n\nAllerdings wurde BGP urspr\u00fcnglich entwickelt, um Routing-Informationen haupts\u00e4chlich auf Basis von Vertrauen auszutauschen. Wenn ein Netzwerk eine IP-Pr\u00e4fix-Ank\u00fcndigung sendet, k\u00f6nnen andere Netzwerke diese Ank\u00fcndigung akzeptieren, ohne \u00fcber starke kryptografische Methoden zu verf\u00fcgen, die best\u00e4tigen, ob das ank\u00fcndigende Netzwerk tats\u00e4chlich berechtigt ist, dieses Pr\u00e4fix zu verwenden. Dies f\u00fchrt zu einem Sicherheitsproblem. Eine falsche oder b\u00f6swillige Routenank\u00fcndigung kann den Datenverkehr umleiten, Dienste unterbrechen oder Daten unerw\u00fcnschten Pfaden aussetzen.<\/p>\n\n\n\n
RPKI wurde entwickelt, um die Sicherheit des Internet-Routings zu verbessern. Der Name steht f\u00fcr Resource Public Key Infrastructure. Es bietet eine M\u00f6glichkeit, Internet-Nummernressourcen, wie IPv4- und IPv6-Pr\u00e4fixe, mit der Autonomous System Number (ASN) zu verbinden, die autorisiert ist, diese zu originiert. Netzwerkbetreiber k\u00f6nnen dann diese Informationen nutzen, um festzustellen, ob eine BGP-Ank\u00fcndigung mit der aufgezeichneten Autorisierung \u00fcbereinstimmt.<\/p>\n\n\n\n
F\u00fcr Unternehmen, die ihr eigenes ASN betreiben, IP-Ressourcen verwalten, mehrere Upstream-Provider nutzen oder planen, IPv4- oder IPv6-Adressr\u00e4ume anzuk\u00fcndigen, wird das Verst\u00e4ndnis von RPKI zunehmend wichtiger. RPKI ersetzt BGP nicht und l\u00f6st nicht jedes Routing-Problem. Stattdessen bietet es eine zus\u00e4tzliche Verifikationsschicht, die Netzwerken hilft, sicherere Routing-Entscheidungen zu treffen.<\/p>\n\n\n\n
RPKI ist ein Sicherheitsframework, das digitale Zertifikate und kryptografische Datens\u00e4tze verwendet, um die Beziehung zwischen einem IP-Adresspr\u00e4fix und einem Ursprungs-ASN zu verifizieren. Ein IP-Pr\u00e4fix ist ein Block von Adressen, wie zum Beispiel ein IPv4 Die Grundidee ist einfach. Eine Organisation, die berechtigt ist, ein IP-Pr\u00e4fix zu verwenden, ver\u00f6ffentlicht eine signierte Erkl\u00e4rung, die angibt, welche ASN (Autonomous System Number) dieses Pr\u00e4fix im BGP (Border Gateway Protocol) originieren darf. Netzwerke, die BGP-Ank\u00fcndigungen empfangen, k\u00f6nnen diese Ank\u00fcndigung mit den ver\u00f6ffentlichten Informationen vergleichen. Wenn die Ank\u00fcndigung \u00fcbereinstimmt, kann sie als autorisiert behandelt werden. Wenn sie im Widerspruch zu den vorliegenden Informationen steht, kann die Ank\u00fcndigung als verd\u00e4chtig oder ung\u00fcltig betrachtet werden.<\/p>\n\n\n\n Die zur Ausdruckung dieser Autorisierung verwendeten Aufzeichnungen werden allgemein als Route Origin Authorizations (ROAs) bezeichnet. Eine ROA identifiziert ein IP-Pr\u00e4fix, eine autorisierte Ursprungs-ASN und, falls zutreffend, die maximale Pr\u00e4fixl\u00e4nge, die die ASN ank\u00fcndigen darf. Obwohl ROAs ein wichtiger Bestandteil von RPKI sind, konzentriert sich dieser Artikel auf den umfassenderen Zweck von RPKI und darauf, wie er die Routing-Sicherheit verbessert.<\/p>\n\n\n\n RPKI wird im Allgemeinen \u00fcber die Regionalen Internet-Registrierungsstellen betrieben, darunter RIPE NCC, ARIN, APNIC, LACNIC und AFRINIC. Je nach Region und Ressourcentyp kann der Ressourceninhaber oder die f\u00f6rdernde Organisation die entsprechenden Autorisierungsdatens\u00e4tze \u00fcber die Systeme der Registrierungsstelle erstellen und verwalten.<\/p>\n\n\n\n BGP wurde zu einer Zeit entwickelt, als das Internet noch kleiner war und die Anzahl der teilnehmenden Netzwerke begrenzt. Sein Hauptzweck bestand im Austausch von Erreichbarkeitsinformationen zwischen autonomen Systemen. BGP kann Pfade basierend auf Richtlinien, Pfadl\u00e4nge, lokaler Pr\u00e4ferenz und anderen Attributen ausw\u00e4hlen, aber das Protokoll selbst \u00fcberpr\u00fcft nicht automatisch, ob eine ASN berechtigt ist, ein bestimmtes IP-Pr\u00e4fix zu originate.<\/p>\n\n\n\n Dies bedeutet, dass ein Konfigurationsfehler manchmal \u00e4hnlich wie eine b\u00f6sartige Ank\u00fcndigung aussehen kann. Wenn ein Netzwerk versehentlich ein Pr\u00e4fix ank\u00fcndigt, das einer anderen Organisation geh\u00f6rt, k\u00f6nnen andere Netzwerke die Route zun\u00e4chst akzeptieren. Die Folge kann sein, dass Datenverkehr an das falsche Ziel geleitet wird, Verbindungsprobleme auftreten oder das Routing instabil wird.<\/p>\n\n\n\n Ein bekanntes Beispiel ist ein Route Leak oder Prefix Hijack. Bei einem Hijack k\u00fcndigt eine ASN einen Prefix an, den sie nicht kontrolliert oder von dem sie nicht die Urspr\u00fcnge haben sollte. Die Ank\u00fcndigung kann spezifischer sein als die legitime Route oder gen\u00fcgend Netzwerke erreichen, um den Traffic zu beeinflussen. Selbst wenn der Vorfall unbeabsichtigt ist, kann die operative Auswirkung erheblich sein.<\/p>\n\n\n\n RPKI unterst\u00fctzt Netzwerkbetreiber, indem es eine externe Quelle f\u00fcr Autorisierungsinformationen bereitstellt. Anstatt sich ausschlie\u00dflich auf den Inhalt einer BGP-Ank\u00fcndigung zu verlassen, kann ein Router oder ein Routing-Sicherheitssystem pr\u00fcfen, ob die Ursprungs-ASN vom Inhaber des Adressraums autorisiert wurde. Dies verhindert nicht jeden Routing-Zwischenfall, erleichtert jedoch die Identifizierung und Filterung einer wichtigen Klasse von Routing-Fehlern.<\/p>\n\n\n\n RPKI funktioniert \u00fcber eine Vertrauenskette. Internet-Nummernressourcen werden von Regionalen Internetregistrierungsstellen verwaltet, und diese Registrierungsstellen bilden die Grundlage f\u00fcr die entsprechenden digitalen Zertifikate. Der Inhaber einer IP-Ressource kann einen Autorisierungseintrag erstellen, der angibt, welche ASN das Pr\u00e4fix originated darf.<\/p>\n\n\n\n Die signierten Datens\u00e4tze werden in Repositorien gesammelt, die von Routing-Sicherheitssoftware abgerufen werden k\u00f6nnen. Ein Netzwerkbetreiber betreibt einen RPKI-Validator oder nutzt einen Dienst, der die Validierung f\u00fcr ihn durchf\u00fchrt. Der Validator l\u00e4dt die verf\u00fcgbaren Datens\u00e4tze herunter, \u00fcberpr\u00fcft deren Signaturen, pr\u00fcft, ob sie aktuell sind, und erzeugt einen validierten Datensatz.<\/p>\n\n\n\n Der validierte Datensatz wird anschlie\u00dfend mit der Routing-Infrastruktur des Netzwerks verbunden. Wenn eine BGP-Routeninformation empfangen wird, vergleicht der Router oder das Routing-Policy-System den angek\u00fcndigten Prefix und die Ursprungs-ASN mit den validierten RPKI-Informationen. Das Ergebnis wird normalerweise als \u201eValid\u201c, \u201eInvalid\u201c oder \u201eNot Found\u201c klassifiziert.<\/p>\n\n\n\n Dieser Prozess erfolgt unabh\u00e4ngig von der BGP-Sitzung selbst. BGP setzt den Austausch von Routing-Informationen fort, w\u00e4hrend RPKI zus\u00e4tzliche Autorisierungsdaten bereitstellt, die in der Routing-Policy verwendet werden k\u00f6nnen. Ein Netzwerk kann entscheiden, wie es jedes Validierungsergebnis behandelt. Beispielsweise kann es ung\u00fcltige Routen ablehnen, ihnen eine geringere Priorit\u00e4t zuweisen oder Warnungen zur weiteren \u00dcberpr\u00fcfung generieren.<\/p>\n\n\n\n Der Prozess ist so konzipiert, dass er verteilt und skalierbar ist. Gro\u00dfe Netzwerke k\u00f6nnen viele Tausend Pr\u00e4fixe validieren, ohne dass jede Organisation eine direkte Beziehung zu jedem anderen Netzwerk aufbauen muss. Dies ist wichtig, da das Internet eine enorme Anzahl unabh\u00e4ngiger Betreiber mit unterschiedlichen Richtlinien und technischen Umgebungen umfasst.<\/p>\n\n\n\n Eine Route Origin Authorization (ROA) ist ein signierter Eintrag, der angibt, welche ASN berechtigt ist, ein bestimmtes IP-Pr\u00e4fix zu origo. Sie ist einer der sichtbarsten und praktischsten Teile der RPKI-Bereitstellung.<\/p>\n\n\n\n Zum Beispiel kann eine Organisation das IPv4-Pr\u00e4fix kontrollieren Die Autorisierung kann auch eine maximale Pr\u00e4fixl\u00e4nge angeben. Dies ist wichtig, da ein Netzwerk m\u00f6glicherweise das Ank\u00fcndigen des genauen Aggregatpr\u00e4fixes durch die Ursprungs-ASN zulassen m\u00f6chte, nicht jedoch kleinerer, spezifischerer Pr\u00e4fixe. Eine sorgf\u00e4ltig ausgew\u00e4hlte maximale L\u00e4nge kann das Risiko verringern, dass eine unerwartete Ank\u00fcndigung als autorisiert behandelt wird.<\/p>\n\n\n\n Die ROA-Konfiguration erfordert Aufmerksamkeit, da ein falscher Eintrag eine legitime Route ung\u00fcltig erscheinen lassen kann. Wenn eine Organisation ihren Transitanbieter wechselt, ein Pr\u00e4fix zu einer anderen ASN verschiebt, eine Ank\u00fcndigung in spezifischere Pr\u00e4fixe aufteilt oder Ressourcen an einen anderen Inhaber \u00fcbertr\u00e4gt, m\u00fcssen die Autorisierungseintr\u00e4ge m\u00f6glicherweise aktualisiert werden. Ein veralteter Eintrag kann selbst bei korrekter BGP-Konfiguration zu einem Ausfall f\u00fchren.<\/p>\n\n\n\n Ein zuk\u00fcnftiger Artikel kann erkl\u00e4ren, wie man ein ROA erstellt, wie man eine maximale L\u00e4nge ausw\u00e4hlt und wie man Autorisierungen w\u00e4hrend einer ASN- oder IP-Ressourcenmigration aktualisiert.<\/p>\n\n\n\n Ein Valid-Ergebnis bedeutet, dass eine BGP-Ank\u00fcndigung von einer anwendbaren RPKI-Autorisierung abgedeckt ist und dass die Ursprungs-ASN das Ank\u00fcndigen des Pr\u00e4fixes erlaubt. Es zeigt in der Regel an, dass das angek\u00fcndigte Pr\u00e4fix, die Pr\u00e4fixl\u00e4nge und die Ursprungs-ASN mit der ver\u00f6ffentlichten Autorisierung \u00fcbereinstimmen.<\/p>\n\n\n\n Ein ung\u00fcltiges Ergebnis bedeutet, dass eine Autorisierung existiert, die BGP-Ank\u00fcndigung jedoch nicht damit \u00fcbereinstimmt. Dies kann geschehen, weil der Ursprungs-ASN nicht autorisiert ist, weil die Ank\u00fcndigung spezifischer als die zul\u00e4ssige maximale L\u00e4nge ist oder weil das Pr\u00e4fix mit einer Autorisierung f\u00fcr einen anderen Ursprung \u00fcberlappt. Ung\u00fcltige Routen erfordern sofortige Aufmerksamkeit, da sie einen Hijack, eine versehentliche Konfiguration oder eine unvollst\u00e4ndige Migration darstellen k\u00f6nnen.<\/p>\n\n\n\n Ein \u201eNot Found\u201c-Ergebnis bedeutet, dass keine anwendbare Autorisierung f\u00fcr die Ank\u00fcndigung gefunden wurde. Es bedeutet nicht automatisch, dass die Route b\u00f6sartig oder falsch ist. Es bedeutet lediglich, dass RPKI den Ursprung anhand der aktuell ver\u00f6ffentlichten Datens\u00e4tze nicht best\u00e4tigen kann. Viele legitime Routen bleiben als \u201eNot Found\u201c markiert, weil der Ressourceninhaber keine Autorisierung erstellt hat.<\/p>\n\n\n\n Die Unterscheidung zwischen \u201eInvalid\u201c (ung\u00fcltig) und \u201eNot Found\u201c (nicht gefunden) ist wichtig. \u201eInvalid\u201c weist auf einen Konflikt mit bestehenden Autorisierungsdaten hin, w\u00e4hrend \u201eNot Found\u201c das Fehlen von Autorisierungsdaten anzeigt. Netzbetreiber behandeln oft ung\u00fcltige Routen ernster, doch ihre genaue Routing-Politik h\u00e4ngt von ihrer Risikotoleranz, den Serviceanforderungen und den Betriebsverfahren ab.<\/p>\n\n\n\n Der IPv4-Adressraum ist begrenzt, und viele IPv4-Pr\u00e4fixe werden heute in komplexen Arrangements eingesetzt, die Anbieter, Rechenzentren, Cloud-Plattformen, Leasingunternehmen und \u00dcbertragungsgesch\u00e4fte umfassen. Diese Arrangements machen eine pr\u00e4zise Routing-Genauigkeit besonders wichtig.<\/p>\n\n\n\n Wenn ein IPv4-Pr\u00e4fix zwischen Organisationen \u00fcbertragen oder verschoben wird, kann sich auch der BGP-Origin \u00e4ndern. Wenn die Autorisierung des vorherigen Inhabers weiterhin aktiv ist und der neue Inhaber das Pr\u00e4fix von einer anderen ASN aus ank\u00fcndigt, kann die Route zu RPKI Invalid werden. Dies ist einer der Gr\u00fcnde, warum RPKI-Planung in IPv4-\u00dcbertragungs- und Migrationsarbeiten einbezogen werden sollte.<\/p>\n\n\n\n Bevor eine Organisation ein IPv4-Pr\u00e4fix akzeptiert oder ank\u00fcndigt, sollte sie best\u00e4tigen, welche Entit\u00e4t die Ressource kontrolliert, welche ASN erwartet wird, es zu originated, und ob die relevanten Autorisierungsdaten den geplanten Routing-Entwurf widerspiegeln. Die \u00f6ffentlichen Registry-Eintr\u00e4ge, BGP-Ank\u00fcndigungen und RPKI-Informationen sollten gemeinsam \u00fcberpr\u00fcft werden. RPKI ist besonders n\u00fctzlich, wenn ein Unternehmen mehrere Transitanbieter nutzt. Eine konsistente Ursprungsautorisation kann das Pr\u00e4fix unabh\u00e4ngig davon sch\u00fctzen, welcher Upstream-Anbieter die Route tr\u00e4gt. Dennoch muss die Organisation sicherstellen, dass alle Anbieter die korrekte ASN und Pr\u00e4fixl\u00e4nge verwenden.<\/p>\n\n\n\n Unternehmen, die einen IPv4-Block bewerten, k\u00f6nnen auch \u00f6ffentliche Tools nutzen, um aktuelle Registrierungsdaten, Informationen zum Ursprungs-ASN, den RPKI-Status und die BGP-Sichtbarkeit zu \u00fcberpr\u00fcfen. Diese Pr\u00fcfungen ersetzen keine vertragliche Due-Diligence oder Reputationsscreening, k\u00f6nnen jedoch offensichtliche Routing-Inkonsistenzen vor einer Transaktion oder Implementierung aufdecken.<\/p>\n\n\n\n IPv6-Netzwerke profitieren von denselben Validierungsprinzipien f\u00fcr den Ursprung wie IPv4-Netzwerke. IPv6-Pr\u00e4fixe werden \u00fcber BGP angek\u00fcndigt, und ein falscher Ursprung kann \u00e4hnliche Risiken verursachen, darunter Verkehrsunterbrechungen, Route-Leaks und unbefugte Ank\u00fcndigungen.<\/p>\n\n\n\n IPv6-Implementierungen beinhalten h\u00e4ufig gr\u00f6\u00dfere Adressbl\u00f6cke und strukturiertere Adressierungspl\u00e4ne. Eine Organisation kann eine breite Zuteilung erhalten und ein Aggregat ank\u00fcndigen, w\u00e4hrend sie kleinere interne Subnetze f\u00fcr Standorte, Rechenzentren oder Dienste verwendet. Die RPKI-Autorisierung sollte mit den Pr\u00e4fixen \u00fcbereinstimmen, die tats\u00e4chlich f\u00fcr das \u00f6ffentliche Routing vorgesehen sind.<\/p>\n\n\n\n Ein h\u00e4ufiger Fehler besteht darin, anzunehmen, dass IPv6-Routing automatisch sicherer ist, weil IPv6 \u00fcber einen viel gr\u00f6\u00dferen Adressraum verf\u00fcgt. Die Gr\u00f6\u00dfe des Adressraums beseitigt nicht die Notwendigkeit, den Ursprung von Routen zu \u00fcberpr\u00fcfen. Wenn ein IPv6-Pr\u00e4fix von einer falschen ASN angek\u00fcndigt wird und keine Autorisierung vorliegt, k\u00f6nnen andere Netzwerke die Ank\u00fcndigung nur schwer von einer legitimen Route unterscheiden. Organisationen, die IPv6 einf\u00fchren, sollten RPKI bereits in ihre initiale Routing-Planung aufnehmen, anstatt abzuwarten, bis das Netzwerk vollst\u00e4ndig betriebsbereit ist. Dies erleichtert die Koordination des Adressplans, der ASN-Nutzung, der Upstream-Anbieter und der Autorisierungsdatens\u00e4tze, bevor der Produktionsverkehr von der Ank\u00fcndigung abh\u00e4ngt.<\/p>\n\n\n\n Der Hauptvorteil von RPKI besteht darin, dass es eine weithin anerkannte Methode zur Validierung des Ursprungs einer BGP-Routen bereitstellt. Dies gibt Netzwerkadministratoren eine st\u00e4rkere Grundlage f\u00fcr die Filterung und \u00dcberwachung von Ank\u00fcndigungen als alleinige BGP-Informationen.<\/p>\n\n\n\n RPKI kann das Risiko verringern, Routen zu akzeptieren, die eindeutig mit der vom Ressourceninhaber angegebenen Autorisierung unvereinbar sind. Es kann auch dazu beitragen, operative Fehler w\u00e4hrend Netzwerkmigrationen, Providerwechseln, \u00c4nderungen der ASN-Sponsoring-Verh\u00e4ltnisse sowie IPv4- oder IPv6-Ressourcen\u00fcbertragungen zu identifizieren.<\/p>\n\n\n\n F\u00fcr IP-Ressourceninhaber zeigt RPKI, dass die Organisation die Routing-Sicherheit ihres Adressraums aktiv verwaltet. Dies kann die Koordination mit Transit-Providern verbessern und Verwirrung reduzieren, wenn mehrere Parteien dieselbe Prefix ank\u00fcndigen.<\/p>\n\n\n\n F\u00fcr Transitanbieter und Hosting-Unternehmen kann die RPKI-Validierung Teil eines umfassenderen Routing-Sicherheitsprogramms werden. Anbieter k\u00f6nnen Validierungsergebnisse zusammen mit Prefix-Filtern, IRR-Daten, BGP-Monitoring und internen Routing-Richtlinien nutzen. Keine einzelne Datenquelle ist perfekt, aber die Kombination mehrerer Signale bietet eine bessere operative Transparenz.<\/p>\n\n\n\n RPKI verbessert auch die Incident Response. Wenn eine unerwartete BGP-Ank\u00fcndigung erscheint, kann das Netzwerkteam schnell pr\u00fcfen, ob der Ursprung autorisiert ist. Dies kann helfen, einen potenziellen Hijack von einer legitimen, aber nicht dokumentierten Routing-\u00c4nderung zu unterscheiden.<\/p>\n\n\n\n RPKI ist wertvoll, stellt jedoch keinen vollst\u00e4ndigen Ersatz f\u00fcr die Routing-Sicherheit dar. Es validiert die Beziehung zwischen einem Prefix und einem Ursprungs-ASN. Es beweist nicht, dass jeder Hop im BGP-Pfad vertrauensw\u00fcrdig ist, und es garantiert auch nicht, dass der Verkehr den besten oder sichersten physischen Weg nimmt.<\/p>\n\n\n\n RPKI verschl\u00fcsselt keinen Anwendungsdatenverkehr. Es sch\u00fctzt keine Websitzungen, DNS-Abfragen, E-Mails oder private Daten vor Abh\u00f6rangriffen. F\u00fcr diese Zwecke sind weiterhin Verschl\u00fcsselungstechnologien wie TLS, VPNs und sichere Anwendungsprotokolle erforderlich.<\/p>\n\n\n\n RPKI verhindert auch nicht automatisch jede Weitergabe von Routen. Eine Route kann zwar vom korrekten ASN origin\u00e4r bereitgestellt werden, aber dennoch an Stellen weitergeleitet werden, an denen sie nicht erscheinen sollte. Die Ursprungsvalidierung kann eine solche Route als \u201eValid\u201c einstufen, da der Ursprung autorisiert ist, obwohl der \u00fcbergeordnete Pfad operativ falsch ist.<\/p>\n\n\n\n RPKI beweist nicht allein den rechtlichen Eigentumsstatus. Eintr\u00e4ge in Registern, Vertr\u00e4ge, \u00dcbertragungsdokumente und die organisatorische Autorisierung bleiben wichtig. Ein \u201eValid\u201c-Ergebnis zeigt an, dass die Route mit einer ver\u00f6ffentlichten Berechtigung \u00fcbereinstimmt; es best\u00e4tigt jedoch nicht, dass alle kommerziellen oder rechtlichen Anforderungen erf\u00fcllt sind.<\/p>\n\n\n\n Schlie\u00dflich funktioniert RPKI nur effektiv, wenn die Eintr\u00e4ge gepflegt werden. Eine Organisation, die Autorisierungen erstellt und vergisst, diese nach einem Provider- oder ASN-Wechsel zu aktualisieren, kann ihre eigenen Routing-Ausf\u00e4lle verursachen.<\/p>\n\n\n\n Der erste Schritt besteht darin, ein Verzeichnis aller IPv4- und IPv6-Pr\u00e4fixe zu erstellen, die die Organisation besitzt, pachtet, sponsert oder ank\u00fcndigen wird. F\u00fcr jedes Pr\u00e4fix sind der beabsichtigte Ursprungs-ASN, die ank\u00fcndigenden Provider, die Pr\u00e4fixl\u00e4nge sowie die aktuelle Sichtbarkeit im BGP zu dokumentieren.<\/p>\n\n\n\n Der n\u00e4chste Schritt besteht darin, die Registry- und Ressourcen-Eintr\u00e4ge zu best\u00e4tigen. Die Organisation sollte sicherstellen, dass der Adressraum mit dem richtigen Konto, der Organisation, dem f\u00f6rdernden LIR oder dem Ressourceninhaber verkn\u00fcpft ist. Wenn die \u00f6ffentlich zug\u00e4nglichen Registrierungsdaten veraltet sind, sollten sie vor der Erstellung neuer Routing-Autorisierungen korrigiert werden. Nach Best\u00e4tigung des Ressourceninventars kann die Organisation die entsprechenden Autorisierungseintr\u00e4ge \u00fcber ihre regionale Internet-Registry oder ihren f\u00f6rdernden Provider erstellen. Die Ursprungs-ASN und die maximale Pr\u00e4fixl\u00e4nge sollten den tats\u00e4chlichen Routing-Plan widerspiegeln. Wenn mehrere ASNs rechtm\u00e4\u00dfig verwendet werden, sollte das Design sorgf\u00e4ltig dokumentiert werden, anstatt breite Autorisierungen ohne klaren Grund hinzuzuf\u00fcgen.<\/p>\n\n\n\n Die Organisation sollte die Datens\u00e4tze anschlie\u00dfend mit einem RPKI-Validator oder einem etablierten \u00dcberwachungsdienst validieren. Es ist wichtig zu best\u00e4tigen, dass die beabsichtigten Ank\u00fcndigungen ein \u201eValid\u201c-Ergebnis zur\u00fcckgeben, bevor strenge Filterrichtlinien f\u00fcr Kunden- oder Produktionsverkehr angewendet werden.<\/p>\n\n\n\n Das Deployment sollte als ein operativer Prozess betrachtet werden, nicht als einmalige Konfigurationsaufgabe. \u00c4nderungen an Upstream-Providern, ASN-Sponsoring, Prefix-Aggregation, Rechenzentrumsstandorten und IPv4-Transfervereinbarungen k\u00f6nnen sich alle auf RPKI-Datens\u00e4tze auswirken. \u00dcberwachung und \u00c4nderungsmanagement sollten Teil des normalen Netzwerkworkflows sein.<\/p>\n\n\n\n Ein h\u00e4ufiger Fehler besteht darin, eine Autorisierung f\u00fcr die falsche Ursprungs-ASN zu erstellen. Dies geschieht oft w\u00e4hrend einer Anbietermigration, wenn die alte ASN weiterhin im Record enthalten ist, das Netzwerk jedoch bereits Ank\u00fcndigungen von einer neuen ASN aus sendet.<\/p>\n\n\n\n Ein weiterer Fehler besteht darin, die maximale Pr\u00e4fixl\u00e4nge falsch festzulegen. Wenn eine Organisation nur ein Aggregat autorisiert, aber einen spezifischeren Route ank\u00fcndigt, kann die Ank\u00fcndigung des spezifischeren Pfads ung\u00fcltig werden. Wenn die maximale L\u00e4nge zu weit gefasst wird, kann die Autorisierung Ank\u00fcndigungen zulassen, die die Organisation nicht h\u00e4tte erlauben wollen.<\/p>\n\n\n\n Veraltete Datens\u00e4tze sind ebenfalls ein gro\u00dfes Problem. Eine Autorisierung, die vor einigen Jahren noch korrekt war, entspricht m\u00f6glicherweise nicht mehr dem aktuellen Netzwerkdesign der Organisation. Regelm\u00e4\u00dfige \u00dcberpr\u00fcfungen sind insbesondere nach einem IPv4-Transfer, einer Fusion, einem Wechsel des f\u00f6rdernden LIR oder einer ASN-Renummerierung besonders wichtig.<\/p>\n\n\n\n Einige Organisationen gehen auch davon aus, dass ein \u201eNot Found\u201c-Ergebnis bedeutet, dass eine Route abgelehnt werden sollte. In den meisten F\u00e4llen bedeutet \u201eNot Found\u201c, dass keine Autorisierung vorliegt. Dies sollte gem\u00e4\u00df der Richtlinie und dem Risikomodell des Netzwerks behandelt werden, anstatt automatisch als b\u00f6swillig eingestuft zu werden.<\/p>\n\n\n\n RPKI ist ein Teil eines umfassenderen Ansatzes zur Routing-Sicherheit. IRR-Datenbanken enthalten Routing-Policy-Objekte, die von Netzwerk-Betreibern zur Generierung von Filtern verwendet werden k\u00f6nnen. Diese Objekte k\u00f6nnen beschreiben, welche ASN erwartet wird, ein Prefix zu originiert, aber sie verwenden ein anderes Vertrauens- und Validierungsmodell als RPKI.<\/p>\n\n\n\n Die BGP-\u00dcberwachung zeigt, was tats\u00e4chlich angek\u00fcndigt wird und wo die Ank\u00fcndigung sichtbar ist. Sie kann Routen\u00e4nderungen, unerwartete Urspr\u00fcnge, Pfad\u00e4nderungen und Phasen der Instabilit\u00e4t aufdecken. RPKI zeigt an, ob der Ursprung autorisiert ist, liefert jedoch nicht die vollst\u00e4ndige operative Historie einer Route.<\/p>\n\n\n\n Aus diesem Grund werden RPKI, IRR und BGP-Monitoring h\u00e4ufig gemeinsam eingesetzt. Eine umfassende Routing-\u00dcberpr\u00fcfung kann den Registry-Eintrag, die erwartete ASN, das IRR-Objekt, die RPKI-Autorisierung und live BGP-Beobachtungen vergleichen. Wenn diese Quellen \u00fcbereinstimmen, ist die Routing-Situation leichter zu verstehen. Wenn sie nicht \u00fcbereinstimmen, sollte der Unterschied vor Abschluss einer Migration oder eines Transfers untersucht werden.<\/p>\n\n\n\n Die RPKI-Wartung sollte mit dem Netzwerk-\u00c4nderungsmanagement verkn\u00fcpft sein. Wenn eine Organisation plant, ihre Ursprungs-ASN, ihren Upstream-Anbieter, die Pr\u00e4fixl\u00e4nge oder den Ank\u00fcndigungsstandort zu \u00e4ndern, sollte sie vor der \u00c4nderung die erwarteten Auswirkungen auf die Autorisierungsdatens\u00e4tze \u00fcberpr\u00fcfen.<\/p>\n\n\n\n Das Monitoring sollte das Netzwerkteam alarmieren, wenn ein erwarteter Prefix ung\u00fcltig wird, eine Autorisierung entfernt wird oder ein zuvor unbekannter Origin auftritt. Alarme sind am n\u00fctzlichsten, wenn sie den betroffenen Prefix, die AS-Nummer des Origins, den aktuellen Validierungsstatus und den Zeitpunkt der \u00c4nderung enthalten.<\/p>\n\n\n\n Organisationen sollten auch dokumentieren, wer f\u00fcr das Management von RPKI verantwortlich ist. In einigen Unternehmen \u00fcbernimmt dies das Netzwerk-Engineering-Team, in anderen der f\u00f6rdernde LIR, der Managed-Service-Anbieter oder das Sicherheitsteam. Eine klare Zust\u00e4ndigkeit hilft, Verz\u00f6gerungen bei St\u00f6rf\u00e4llen und Providerwechseln zu vermeiden.<\/p>\n\n\n\n Eine periodische \u00dcberpr\u00fcfung kann monatlich, viertelj\u00e4hrlich oder bei jeder gr\u00f6\u00dferen \u00c4nderung der Routing-Konfiguration geplant werden. Die geeignete H\u00e4ufigkeit h\u00e4ngt von der Gr\u00f6\u00dfe und Komplexit\u00e4t des Netzwerks ab. Der wichtige Punkt ist, dass RPKI als lebendiger Bestandteil des Routersystems behandelt werden sollte.<\/p>\n\n\n\n Nein. Ein Netzwerk kann BGP verwenden, ohne RPKI-Autorisierungsdatens\u00e4tze zu ver\u00f6ffentlichen. Allerdings wird RPKI zunehmend empfohlen, da es anderen Netzwerken eine M\u00f6glichkeit bietet, die Herkunft der von der Organisation angek\u00fcndigten Routen zu validieren.<\/p>\n\n\n\n RPKI verhindert nicht physisch, dass ein anderes Netzwerk eine unbefugte BGP-Ank\u00fcndigung sendet. Es erm\u00f6glicht empfangenden Netzwerken, Ank\u00fcndigungen zu identifizieren, die nicht mit den ver\u00f6ffentlichten Autorisierungen \u00fcbereinstimmen. Die Netzwerke k\u00f6nnen diese Routen dann gem\u00e4\u00df ihren Richtlinien ablehnen, herabstufen oder \u00fcberwachen.<\/p>\n\n\n\n No. RPKI supports both IPv4 and IPv6 prefixes. The same basic origin validation concept applies to both address families.<\/p>\n\n\n\n Nicht unbedingt. \u201eNot Found\u201c bedeutet, dass keine g\u00fcltige Autorisierung gefunden wurde. Es beweist nicht, dass die Route falsch ist. Ressourceninhaber sollten jedoch genaue Autorisierungen ver\u00f6ffentlichen, damit andere Netzwerke ihre Ank\u00fcndigungen validieren k\u00f6nnen.<\/p>\n\n\n\n Nr. RPKI und IRR dienen unterschiedlichen Zwecken und werden h\u00e4ufig zusammen verwendet. Einige Anbieter nutzen beide Systeme beim Erstellen von Routing-Filtern und bei der \u00dcberpr\u00fcfung von Ank\u00fcndigungen.<\/p>\n\n\n\n Ein falscher Eintrag kann dazu f\u00fchren, dass eine legitime BGP-Ank\u00fcndigung als ung\u00fcltig klassifiziert wird. Die Organisation sollte die Ursprungs-ASN, die Pr\u00e4fixl\u00e4nge und die maximale L\u00e4nge \u00fcberpr\u00fcfen und dann die Autorisierung aktualisieren, bevor sie strikte Routenfilterung anwendet.<\/p>\n\n\n\n RPKI is an important improvement to the security of Internet routing. It gives IP resource holders a way to publish cryptographic authorization for the ASNs that are allowed to originate their IPv4 and IPv6 prefixes. It also gives network operators a practical method for checking whether BGP announcements match that authorization.<\/p>\n\n\n\n Das Konzept ist einfach: Der Inhaber eines IP-Pr\u00e4fixes ver\u00f6ffentlicht den beabsichtigten Ursprung, und andere Netzwerke validieren die Ank\u00fcndigung anhand dieser Informationen. Das Ergebnis kann helfen, autorisierte Routen, widerspr\u00fcchliche Routen sowie Routen zu identifizieren, f\u00fcr die keine Autorisierung ver\u00f6ffentlicht wurde. RPKI ersetzt nicht sorgf\u00e4ltige Netzwerktechnik, Registry-Verwaltung, IRR-Eintr\u00e4ge, BGP-Monitoring oder vertragliche Sorgfaltspflichtpr\u00fcfung. Es garantiert auch nicht, dass jede Route sicher ist oder jeder Routing-Zwischenfall verhindert wird. Sein Wert liegt darin, dem Routing-Prozess ein zuverl\u00e4ssiges Autorisierungssignal hinzuzuf\u00fcgen.<\/p>\n\n\n\n F\u00fcr Organisationen, die eine ASN, IPv4-Adressraum, IPv6-Adressraum oder mehrere Upstream-Provider verwalten, sollte RPKI in das normale Routing-Design integriert werden. Bevor ein Prefix angek\u00fcndigt, Provider gewechselt, ein IPv4-Transfer abgeschlossen oder ein neues IPv6-Netzwerk bereitgestellt wird, sollten die Registry-Daten, die Ursprungs-ASN, die Autorisierungsdaten und der aktuelle BGP-Zustand gemeinsam \u00fcberpr\u00fcft werden. Dieser einfache Prozess kann vermeidbare Fehler verhindern und die allgemeine Zuverl\u00e4ssigkeit der Internetverbindung verbessern.<\/p>\n\n\n\n <\/p>","protected":false},"excerpt":{"rendered":" The Internet depends on a global routing system that allows networks, data centers, cloud platforms, Internet service providers, and enterprises to exchange traffic. One of the most important protocols in this system is the Border Gateway Protocol, commonly known as BGP. BGP allows independent networks to announce which IP address ranges they can reach. Without […]<\/p>\n","protected":false},"author":1,"featured_media":1088,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_seopress_titles_title":"What Is RPKI? A Beginner\u2019s Guide to Secure BGP Routing","_seopress_titles_desc":"Learn what RPKI is, how it protects BGP routing, why it matters for IPv4 and IPv6 networks, and how businesses can start using route origin validation.","_seopress_robots_index":"","_seopress_robots_follow":"","_seopress_robots_imageindex":"","_seopress_robots_snippet":"","_seopress_robots_primary_cat":"","_seopress_robots_breadcrumbs":"","_seopress_robots_freeze_modified_date":"","_seopress_robots_custom_modified_date":"","_seopress_robots_canonical":"","_seopress_social_fb_title":"","_seopress_social_fb_desc":"","_seopress_social_fb_img":"","_seopress_social_fb_img_attachment_id":0,"_seopress_social_fb_img_width":0,"_seopress_social_fb_img_height":0,"_seopress_social_twitter_title":"","_seopress_social_twitter_desc":"","_seopress_social_twitter_img":"","_seopress_social_twitter_img_attachment_id":0,"_seopress_social_twitter_img_width":0,"_seopress_social_twitter_img_height":0,"_seopress_redirections_value":"","_seopress_redirections_enabled":"","_seopress_redirections_enabled_regex":"","_seopress_redirections_logged_status":"","_seopress_redirections_param":"","_seopress_redirections_type":0,"_seopress_analysis_target_kw":"","footnotes":""},"categories":[1],"tags":[],"class_list":["post-1086","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-article"],"_links":{"self":[{"href":"https:\/\/junglelabs.uk\/de\/wp-json\/wp\/v2\/posts\/1086","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/junglelabs.uk\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/junglelabs.uk\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/junglelabs.uk\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/junglelabs.uk\/de\/wp-json\/wp\/v2\/comments?post=1086"}],"version-history":[{"count":3,"href":"https:\/\/junglelabs.uk\/de\/wp-json\/wp\/v2\/posts\/1086\/revisions"}],"predecessor-version":[{"id":1091,"href":"https:\/\/junglelabs.uk\/de\/wp-json\/wp\/v2\/posts\/1086\/revisions\/1091"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/junglelabs.uk\/de\/wp-json\/wp\/v2\/media\/1088"}],"wp:attachment":[{"href":"https:\/\/junglelabs.uk\/de\/wp-json\/wp\/v2\/media?parent=1086"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/junglelabs.uk\/de\/wp-json\/wp\/v2\/categories?post=1086"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/junglelabs.uk\/de\/wp-json\/wp\/v2\/tags?post=1086"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}\/24<\/code> or an IPv6 \/48<\/code>. Eine ASN identifiziert ein unabh\u00e4ngiges Netzwerk, das am BGP-Routing teilnimmt.<\/p>\n\n\n\nWarum ben\u00f6tigt BGP RPKI?<\/h2>\n\n\n\n
Wie funktioniert RPKI?<\/h2>\n\n\n\n
Was ist eine Route Origin Authorization?<\/h2>\n\n\n\n
192.0.2.0\/24<\/code> und verwenden Sie ASN AS64500<\/code> um es bekannt zu geben. Die Organisation kann eine Berechtigung erstellen, die AS64500<\/code> entstehen 192.0.2.0\/24<\/code>Wenn ein anderes ASN sp\u00e4ter dasselbe Prefix ank\u00fcndigt, k\u00f6nnen Netzwerke, die RPKI-Validierung durchf\u00fchren, feststellen, dass der Ursprung nicht mit der Autorisierung \u00fcbereinstimmt.<\/p>\n\n\n\nWas bedeuten \u201eG\u00fcltig\u201c, \u201eUng\u00fcltig\u201c und \u201eNicht gefunden\u201c?<\/h2>\n\n\n\n
Why RPKI Matters for IPv4 Networks<\/h2>\n\n\n\n
Why RPKI Matters for IPv6 Networks<\/h2>\n\n\n\n
Was sind die Hauptvorteile von RPKI?<\/h2>\n\n\n\n
Was RPKI nicht leisten kann<\/h2>\n\n\n\n
Wie kann ein Unternehmen mit der Nutzung von RPKI beginnen?<\/h2>\n\n\n\n
H\u00e4ufige Fehler bei der RPKI-Bereitstellung<\/h2>\n\n\n\n
RPKI, IRR und BGP-Monitoring<\/h2>\n\n\n\n
Wie sollte RPKI gewartet werden?<\/h2>\n\n\n\n
H\u00e4ufig gestellte Fragen zu RPKI<\/h2>\n\n\n\n
Ist RPKI erforderlich, um BGP zu verwenden?<\/h3>\n\n\n\n
Verhindert RPKI einen BGP-Hijack?<\/h3>\n\n\n\n
Ist RPKI nur f\u00fcr IPv4?<\/h3>\n\n\n\n
Ist ein RPKI-\u201eNot Found\u201c-Ergebnis gef\u00e4hrlich?<\/h3>\n\n\n\n
Kann RPKI ein IRR-Route-Objekt ersetzen?<\/h3>\n\n\n\n
Was passiert, wenn ein RPKI-Eintrag falsch ist?<\/h3>\n\n\n\n