Internet depende de un sistema de enrutamiento global que permite a las redes, centros de datos, plataformas en la nube, proveedores de servicios de Internet y empresas intercambiar tráfico. Uno de los protocolos más importantes en este sistema es el Protocolo de Puerta de Enlace Fronterizo, conocido comúnmente como BGP. BGP permite que las redes independientes anuncien qué rangos de direcciones IP pueden alcanzar. Sin BGP, Internet moderno no podría conectar millones de redes en diferentes países y proveedores. Sin embargo, BGP fue diseñado originalmente para intercambiar información de enrutamiento basada principalmente en la confianza. Cuando una red anuncia un prefijo de IP, otras redes pueden aceptar el anuncio sin tener un método criptográfico sólido para confirmar si esa red está realmente autorizada para usar el prefijo. Esto crea un problema de seguridad. Un anuncio de ruta incorrecto o malicioso puede redirigir el tráfico, interrumpir servicios o exponer datos a rutas no deseadas.
RPKI se desarrolló para mejorar la seguridad del enrutamiento de Internet. El nombre significa Infraestructura de Clave Pública de Recursos. Proporciona una forma de conectar los recursos numéricos de Internet, como las prefijos IPv4 e IPv6, con el Número de Sistema Autónomo autorizado para originarlos. Los operadores de red pueden utilizar esta información para determinar si un anuncio BGP es coherente con la autorización registrada.
Para las empresas que operan su propio ASN, gestionan recursos IP, utilizan múltiples proveedores de upstream o planean anunciar espacio IPv4 o IPv6, comprender RPKI se está volviendo cada vez más importante. RPKI no reemplaza a BGP ni resuelve todos los problemas de enrutamiento. En cambio, proporciona una capa adicional de verificación que ayuda a las redes a tomar decisiones de enrutamiento más seguras.
¿Qué es RPKI?
RPKI es un marco de seguridad que utiliza certificados digitales y registros criptográficos para verificar la relación entre un prefijo de dirección IP y un ASN de origen. Un prefijo de IP es un bloque de direcciones, como un IPv4 /24 or an IPv6 /48. Una ASN identifica una red independiente que participa en el enrutamiento BGP.
La idea básica es sencilla. Una organización autorizada para utilizar un prefijo de IP publica una declaración firmada que identifica qué ASN está autorizado a originar ese prefijo en BGP. Las redes que reciben anuncios BGP pueden comparar el anuncio con la información publicada. Si el anuncio coincide, puede considerarse autorizado. Si entra en conflicto con la información, el anuncio puede considerarse sospechoso o inválido.
Los registros utilizados para expresar esta autorización se denominan comúnmente Autorizaciones de Origen de Ruta, o ROA. Una ROA identifica un prefijo IP, un ASN de origen autorizado y, cuando corresponde, la longitud máxima de prefijo que el ASN está permitido anunciar. Aunque las ROA son una parte importante de RPKI, este artículo se centra en el propósito más amplio de RPKI y cómo mejora la seguridad del enrutamiento.
El RPKI se gestiona generalmente a través de los Registros Internacionales de Internet (RIR), incluidos RIPE NCC, ARIN, APNIC, LACNIC y AFRINIC. Dependiendo de la región y del tipo de recurso, el titular del recurso o la organización patrocinadora puede crear y gestionar las correspondientes autorizaciones mediante los sistemas del registro.
¿Por qué necesita BGP RPKI?
BGP fue creado en una época en la que Internet era más pequeña y el número de redes participantes era limitado. Su propósito principal era intercambiar información de alcanzabilidad entre sistemas autónomos. BGP puede seleccionar rutas basándose en políticas, longitud de ruta, preferencia local y otros atributos, pero el protocolo en sí no verifica automáticamente si un ASN está autorizado a originar un prefijo IP específico.
Esto significa que un error de configuración puede parecerse en ocasiones a un anuncio malicioso. Si una red anuncia accidentalmente un prefijo perteneciente a otra organización, otras redes pueden aceptar inicialmente la ruta. El resultado puede ser tráfico dirigido al destino incorrecto, pérdida de conectividad o enrutamiento inestable.
Un ejemplo bien conocido es una filtración de ruta o un secuestro de prefijo. En un secuestro, un ASN anuncia un prefijo que no controla o del cual no debería ser el origen. El anuncio puede ser más específico que la ruta legítima, o puede alcanzar suficientes redes como para afectar al tráfico. Incluso cuando el incidente es accidental, el impacto operativo puede ser significativo.
El RPKI ayuda proporcionando a los operadores de red una fuente externa de información de autorización. En lugar de depender únicamente del contenido de un anuncio BGP, un router o un sistema de seguridad de enrutamiento puede verificar si el ASN de origen ha sido autorizado por el titular del espacio de direcciones. Esto no previene todos los incidentes de enrutamiento, pero facilita la identificación y filtrado de una clase importante de errores de enrutamiento.
¿Cómo funciona RPKI?
El RPKI funciona a través de una cadena de confianza. Los recursos numéricos de Internet son gestionados por Registros Internacionales de Números (RIR), y estos registros proporcionan la base para los certificados digitales correspondientes. El titular de un recurso IP puede crear un registro de autorización que indique qué ASN puede originar el prefijo.
Los registros firmados se recopilan en repositorios que pueden ser accedidos por software de seguridad de enrutamiento. Un operador de red ejecuta un validador RPKI o utiliza un servicio que realiza la validación en su nombre. El validador descarga los registros disponibles, verifica sus firmas, comprueba si están vigentes y produce un conjunto de datos validado.
El conjunto de datos validado se conecta entonces a la infraestructura de enrutamiento de la red. Cuando se recibe una ruta BGP, el router o el sistema de políticas de enrutamiento compara el prefijo anunciado y el ASN de origen con la información RPKI validada. El resultado normalmente se clasifica como Válido, Inválido o No encontrado.
Este proceso se produce de forma independiente a la propia sesión BGP. BGP sigue intercambiando información de enrutamiento, mientras que RPKI proporciona datos adicionales de autorización que pueden utilizarse en la política de enrutamiento. Una red puede decidir cómo gestionar cada resultado de validación. Por ejemplo, puede rechazar las rutas Invalid, asignarles una menor preferencia o generar alertas para su revisión posterior.
El proceso está diseñado para ser distribuido y escalable. Las redes grandes pueden validar miles de prefijos sin necesidad de que cada organización establezca una relación directa con todas las demás redes. Esto es importante porque Internet incluye un gran número de operadores independientes con políticas y entornos técnicos diferentes.
¿Qué es una Autorización de Origen de Ruta?
Una Autorización de Origen de Ruta es un registro firmado que indica qué ASN está autorizado a originar un prefijo IP específico. Es una de las partes más visibles y prácticas del despliegue de RPKI.
Por ejemplo, una organización puede controlar el prefijo IPv4 192.0.2.0/24 y utiliza ASN AS64500 para anunciarlo. La organización puede crear una autorización que permita AS64500 originar 192.0.2.0/24. Si otra ASN anuncia posteriormente el mismo prefijo, las redes que realicen validación RPKI podrán detectar que el origen no coincide con la autorización.
La autorización también puede especificar una longitud máxima de prefijo. Esto es importante porque una red puede querer permitir que el ASN de origen anuncie el prefijo agregado exacto, pero no prefijos más específicos y menores. Una longitud máxima cuidadosamente seleccionada puede reducir el riesgo de que un anuncio inesperado sea tratado como autorizado.
La configuración de ROA requiere atención porque un registro incorrecto puede hacer que una ruta legítima parezca inválida. Si una organización cambia su proveedor de tránsito, mueve un prefijo a un ASN diferente, divide un anuncio en prefijos más específicos o transfiere recursos a otro titular, es posible que sea necesario actualizar los registros de autorización. Un registro desactualizado puede provocar una interrupción del servicio incluso cuando la configuración de BGP es correcta.
Un artículo futuro puede explicar cómo crear un ROA, cómo elegir una longitud máxima y cómo actualizar las autorizaciones durante una migración de recursos ASN o IP.
¿Qué significan válido, inválido y no encontrado?
Un resultado válido significa que un anuncio BGP está cubierto por una autorización RPKI aplicable y que el ASN de origen tiene permiso para anunciar el prefijo. Por lo general, indica que el prefijo anunciado, la longitud del prefijo y el ASN de origen son coherentes con la autorización publicada.
Un resultado no válido significa que existe una autorización, pero el anuncio BGP no cumple con ella. Esto puede ocurrir porque el ASN de origen no está autorizado, porque el anuncio es más específico que la longitud máxima permitida, o porque el prefijo se superpone con una autorización para un origen diferente. Las rutas no válidas requieren atención inmediata, ya que pueden representar un secuestro de ruta (hijack), una configuración accidental o una migración incompleta.
Un resultado de Not Found significa que no se encontró ninguna autorización aplicable para el anuncio. Esto no implica automáticamente que la ruta sea maliciosa o incorrecta. Simplemente significa que RPKI no puede confirmar el origen utilizando los registros publicados actualmente. Muchas rutas legítimas siguen siendo Not Found porque el titular del recurso no ha creado una autorización.
La distinción entre Inválido y No encontrado es importante. Inválido indica un conflicto con los datos de autorización existentes, mientras que No encontrado indica la ausencia de datos de autorización. Los operadores de red suelen tratar las rutas inválidas con mayor seriedad, pero su política de enrutamiento exacta depende de su tolerancia al riesgo, los requisitos del servicio y los procedimientos operativos.
Why RPKI Matters for IPv4 Networks
El espacio de direcciones IPv4 es limitado, y muchas prefijos IPv4 se utilizan ahora en complejas configuraciones que involucran proveedores, centros de datos, plataformas en la nube, empresas de arrendamiento y transacciones de transferencia. Estas configuraciones hacen que la precisión del enrutamiento sea especialmente importante.
Cuando un prefijo IPv4 se transfiere o mueve entre organizaciones, el origen BGP también puede cambiar. Si la autorización del propietario anterior sigue activa mientras el nuevo propietario anuncia el prefijo desde una ASN diferente, la ruta puede volverse inválida según RPKI. Esta es una de las razones por las que la planificación de RPKI debe incluirse en los trabajos de transferencia y migración de IPv4.
Antes de aceptar o anunciar un prefijo IPv4, una organización debe confirmar qué entidad controla el recurso, qué ASN se espera que lo origine y si los registros de autorización pertinentes reflejan el diseño de enrutamiento previsto. Los registros del registro público, las anuncios BGP y la información RPKI deben revisarse conjuntamente. El RPKI es especialmente útil cuando una empresa utiliza múltiples proveedores de tránsito. Una autorización de origen coherente puede proteger el prefijo independientemente de cuál sea el proveedor upstream que transporte la ruta. Sin embargo, la organización aún debe asegurarse de que todos los proveedores estén utilizando el ASN y la longitud de prefijo correctos.
Las empresas que evalúan un bloque de IPv4 también pueden utilizar herramientas públicas para revisar los datos de registro actuales, la información del ASN de origen, el estado RPKI y la visibilidad BGP. Estas comprobaciones no sustituyen a la diligencia debida contractual ni al análisis de reputación, pero pueden revelar inconsistencias evidentes en el enrutamiento antes de una transacción o despliegue.
Why RPKI Matters for IPv6 Networks
Las redes IPv6 se benefician de los mismos principios de validación de origen que las redes IPv4. Los prefijos IPv6 se anuncian a través de BGP, y un origen incorrecto puede crear riesgos similares, incluyendo interrupciones del tráfico, filtraciones de rutas y anuncios no autorizados.
Los despliegues de IPv6 suelen implicar bloques de direcciones más grandes y planes de direccionamiento más estructurados. Una organización puede recibir una asignación amplia y anunciar un agregado mientras utiliza subredes internas más pequeñas para sitios, centros de datos o servicios. La autorización RPKI debe coincidir con los prefijos que realmente están destinados al enrutamiento público.
Un error común es asumir que el enrutamiento IPv6 es automáticamente más seguro porque IPv6 tiene un espacio de direcciones mucho mayor. El tamaño del espacio de direcciones no elimina la necesidad de verificar el origen de las rutas. Si un prefijo IPv6 es anunciado por una ASN incorrecta y no existe autorización, otras redes pueden tener capacidad limitada para distinguir el anuncio de una ruta legítima. Las organizaciones que implementen IPv6 deberían incluir RPKI en su diseño inicial de enrutamiento en lugar de esperar hasta que la red esté completamente operativa. Esto facilita coordinar el plan de direcciones, el uso de ASN, los proveedores upstream y los registros de autorización antes de que el tráfico de producción dependa del anuncio.
¿Cuáles son los principales beneficios de RPKI?
El principal beneficio de RPKI es que proporciona un método ampliamente reconocido para validar el origen de una ruta BGP. Esto ofrece a los operadores de red una base más sólida para filtrar y monitorear anuncios que la información de BGP por sí sola.
El RPKI puede reducir el riesgo de aceptar rutas que sean claramente inconsistentes con la autorización declarada del titular de los recursos. También puede ayudar a identificar errores operativos durante migraciones de red, cambios de proveedor, modificaciones en el patrocinio de ASN y transferencias de recursos IPv4 o IPv6.
Para los titulares de recursos IP, RPKI demuestra que la organización está gestionando activamente la seguridad del enrutamiento de su espacio de direcciones. Esto puede mejorar la coordinación con los proveedores de tránsito y reducir la confusión cuando múltiples partes participan en el anuncio del mismo prefijo.
Para los proveedores de tránsito y las empresas de alojamiento, la validación RPKI puede formar parte de un programa más amplio de seguridad de enrutamiento. Los proveedores pueden utilizar los resultados de la validación junto con filtros de prefijos, datos del IRR, monitoreo BGP y políticas internas de enrutamiento. Ninguna fuente de datos es perfecta por sí sola, pero combinar varias señales proporciona una mejor visibilidad operativa.
RPKI también mejora la respuesta a incidentes. Cuando aparece un anuncio BGP inesperado, el equipo de red puede verificar rápidamente si el origen está autorizado. Esto puede ayudar a distinguir un posible secuestro de ruta de un cambio de enrutamiento legítimo pero no documentado.
Lo que RPKI no puede hacer
RPKI es valioso, pero no es un reemplazo completo para la seguridad de enrutamiento. Valida la relación entre un prefijo y un ASN de origen. No demuestra que cada salto en la ruta BGP sea confiable, ni garantiza que el tráfico siga la ruta física más óptima o segura.
RPKI no cifra el tráfico de las aplicaciones. No protege las sesiones web, las consultas DNS, el correo electrónico ni los datos privados contra la interceptación. Las tecnologías de cifrado como TLS, VPN y protocolos seguros de aplicación siguen siendo necesarias para esos fines.
El RPKI tampoco impide automáticamente cada fuga de rutas. Una ruta puede ser originada por el ASN correcto pero aún así propagarse a lugares donde no debería aparecer. La validación de origen puede clasificar dicha ruta como válida porque el origen está autorizado, aunque la ruta más amplia sea operativamente incorrecta.
RPKI no demuestra por sí mismo la propiedad legal. Los registros del registro, los contratos, los documentos de transferencia y la autorización organizativa siguen siendo importantes. Un resultado válido indica que la ruta coincide con una autorización publicada; no confirma que se hayan cumplido todos los requisitos comerciales o legales.
Por último, el RPKI solo funciona eficazmente cuando se mantienen los registros. Una organización que crea autorizaciones y luego olvida actualizarlas después de un cambio de proveedor o ASN puede provocar su propia interrupción del enrutamiento.
¿Cómo puede una empresa empezar a utilizar RPKI?
El primer paso es crear un inventario de todos los prefijos IPv4 e IPv6 que la organización posee, alquila, patrocina o espera anunciar. Para cada prefijo, registre el ASN de origen previsto, los proveedores de anuncio, la longitud del prefijo y si el prefijo es actualmente visible en BGP.
El siguiente paso es confirmar los registros del registro y los registros de recursos. La organización debe verificar que el espacio de direcciones esté asociado con la cuenta, organización, LIR patrocinador o titular de recursos correctos. Si los datos públicos de registro están desactualizados, deben corregirse antes de crear nuevas autorizaciones de enrutamiento. Una vez confirmado el inventario de recursos, la organización puede crear los registros de autorización correspondientes a través de su Registro Internet Regional o proveedor patrocinador. El ASN de origen y la longitud máxima del prefijo deben reflejar el plan de enrutamiento real. Si se utilizan varios ASNs legítimamente, el diseño debe documentarse cuidadosamente en lugar de añadir autorizaciones amplias sin una razón clara.
La organización debe validar entonces los registros utilizando un validador RPKI o un servicio de monitorización establecido. Es importante confirmar que los anuncios previstos devuelven un resultado válido antes de aplicar políticas estrictas de filtrado al tráfico de clientes o de producción.
El despliegue debe tratarse como un proceso operativo, no como una tarea de configuración puntual. Los cambios en los proveedores upstream, el patrocinio del ASN, la agregación de prefijos, las ubicaciones de los centros de datos y los acuerdos de transferencia de IPv4 pueden afectar a los registros RPKI. El monitoreo y la gestión de cambios deben formar parte del flujo de trabajo normal de la red.
Errores comunes en la implementación de RPKI
Un error común es crear una autorización para el ASN de origen incorrecto. Esto suele ocurrir durante una migración de proveedor, cuando el antiguo ASN sigue en el registro mientras la red comienza a anunciar desde un nuevo ASN.
Otro error es configurar incorrectamente la longitud máxima del prefijo. Si una organización autoriza únicamente un agregado pero anuncia una ruta más específica, el anuncio de esta última puede volverse Inválido. Si se establece una longitud máxima demasiado amplia, la autorización podría permitir anuncios que la organización no pretendía autorizar.
Los registros obsoletos también son un problema importante. Una autorización que era correcta hace varios años puede ya no coincidir con el diseño actual de la red de la organización. Las revisiones periódicas son especialmente importantes después de una transferencia de IPv4, una fusión, un cambio del LIR patrocinador o una renumeración de ASN.
Algunas organizaciones también asumen que un resultado de No encontrado significa que una ruta debe ser rechazada. En la mayoría de los casos, No encontrado significa que no existe autorización alguna. Debe manejarse según la política y el modelo de riesgo de la red, en lugar de tratarse como automáticamente malicioso.
RPKI, IRR y Monitorización BGP
RPKI es una parte de un enfoque más amplio de seguridad del enrutamiento. Las bases de datos IRR contienen objetos de política de enrutamiento que pueden ser utilizados por los operadores de red para generar filtros. Estos objetos pueden describir qué ASN se espera que origine un prefijo, pero utilizan un modelo de confianza y validación diferente al de RPKI.
La monitorización BGP muestra lo que realmente se anuncia y dónde es visible dicho anuncio. Puede revelar cambios de ruta, orígenes inesperados, modificaciones en la trayectoria y períodos de inestabilidad. RPKI indica si el origen está autorizado, pero no proporciona el historial operativo completo de una ruta.
Por esta razón, RPKI, IRR y la monitorización de BGP suelen utilizarse conjuntamente. Una revisión exhaustiva del enrutamiento puede comparar el registro del registro, el ASN esperado, el objeto IRR, la autorización RPKI y las observaciones de BGP en tiempo real. Cuando estas fuentes coinciden, la posición de enrutamiento es más fácil de entender. Cuando no coinciden, la diferencia debe investigarse antes de completar una migración o transferencia.
¿Cómo se debe mantener el RPKI?
El mantenimiento de RPKI debe estar conectado a la gestión de cambios de red. Cuando una organización planea cambiar su ASN de origen, proveedor principal, longitud de prefijo o ubicación de anuncio, debe revisar el efecto esperado en los registros de autorización antes de realizar el cambio.
El monitoreo debe alertar al equipo de red cuando un prefijo esperado se vuelva Inválido, cuando se elimine una autorización o cuando aparezca un origen previamente no visto. Las alertas son más útiles cuando incluyen el prefijo afectado, el ASN del origen, el estado actual de validación y la hora del cambio.
Las organizaciones también deben documentar quién es el responsable de gestionar RPKI. En algunas empresas, el equipo de ingeniería de red gestiona los registros. En otras, los LIR patrocinadores, los proveedores de servicios gestionados o el equipo de seguridad se encargan de ellos. Una propiedad clara ayuda a prevenir retrasos durante incidentes y migraciones de proveedores.
Una revisión periódica puede programarse de forma mensual, trimestral o cada vez que se produzca un cambio importante en el enrutamiento. La frecuencia adecuada depende del tamaño y la complejidad de la red. El punto importante es que RPKI debe tratarse como una parte viva del sistema de enrutamiento.
Preguntas frecuentes sobre RPKI
¿Es necesario RPKI para usar BGP?
No. Una red puede utilizar BGP sin publicar registros de autorización RPKI. Sin embargo, se recomienda cada vez más el uso de RPKI porque proporciona a otras redes una forma de validar el origen de las rutas que la organización anuncia.
¿RPKI previene un secuestro de BGP?
RPKI no impide físicamente que otra red envíe un anuncio BGP no autorizado. Permite a las redes receptoras identificar anuncios que no coinciden con la autorización publicada. Las redes pueden entonces rechazar, desfavorecer o monitorear esas rutas según sus políticas.
¿Es RPKI solo para IPv4?
No. RPKI supports both IPv4 and IPv6 prefixes. The same basic origin validation concept applies to both address families.
¿Es peligroso un resultado de RPKI "No encontrado"?
No necesariamente. No encontrado significa que no se encontró ninguna autorización aplicable. Esto no prueba que la ruta sea incorrecta. Sin embargo, los titulares de recursos deberían considerar publicar autorizaciones precisas para que otras redes puedan validar sus anuncios.
¿Puede RPKI reemplazar un objeto de ruta IRR?
No. RPKI e IRR tienen propósitos diferentes y a menudo se utilizan juntos. Algunos proveedores utilizan ambos sistemas al construir filtros de enrutamiento y revisar anuncios.
¿Qué ocurre si un registro RPKI es incorrecto?
Un registro incorrecto puede provocar que un anuncio BGP legítimo se clasifique como inválido. La organización debe revisar el ASN de origen, la longitud del prefijo y la longitud máxima, y luego actualizar la autorización antes de aplicar un filtrado estricto de rutas.
RPKI is an important improvement to the security of Internet routing. It gives IP resource holders a way to publish cryptographic authorization for the ASNs that are allowed to originate their IPv4 and IPv6 prefixes. It also gives network operators a practical method for checking whether BGP announcements match that authorization.
El concepto es sencillo: el titular de un prefijo IP publica el origen previsto, y otras redes validan el anuncio frente a esa información. El resultado puede ayudar a identificar rutas autorizadas, rutas conflictivas y rutas para las cuales no se ha publicado ninguna autorización. RPKI no sustituye la ingeniería de red cuidadosa, la gestión de registros, los registros IRR, la monitorización BGP ni la diligencia debida contractual. Tampoco garantiza que cada ruta sea segura o que se eviten todos los incidentes de enrutamiento. Su valor radica en añadir una señal de autorización fiable al proceso de enrutamiento.
Para las organizaciones que gestionan un ASN, espacio IPv4, espacio IPv6 o múltiples proveedores upstream, el RPKI debe incluirse en el diseño normal de enrutamiento. Antes de anunciar un prefijo, cambiar de proveedor, completar una transferencia de IPv4 o desplegar una nueva red IPv6, revisen los datos del registro, el ASN de origen, los registros de autorización y el estado BGP en vivo en conjunto. Ese proceso sencillo puede evitar errores evitables y mejorar la confiabilidad general de la conectividad a Internet.