Internet depende de un sistema de enrutamiento global que permite a las redes, centros de datos, plataformas en la nube, proveedores de servicios de Internet y empresas intercambiar tr\u00e1fico. Uno de los protocolos m\u00e1s importantes en este sistema es el Protocolo de Puerta de Enlace Fronterizo, conocido com\u00fanmente como BGP. BGP permite que las redes independientes anuncien qu\u00e9 rangos de direcciones IP pueden alcanzar. Sin BGP, Internet moderno no podr\u00eda conectar millones de redes en diferentes pa\u00edses y proveedores. Sin embargo, BGP fue dise\u00f1ado originalmente para intercambiar informaci\u00f3n de enrutamiento basada principalmente en la confianza. Cuando una red anuncia un prefijo de IP, otras redes pueden aceptar el anuncio sin tener un m\u00e9todo criptogr\u00e1fico s\u00f3lido para confirmar si esa red est\u00e1 realmente autorizada para usar el prefijo. Esto crea un problema de seguridad. Un anuncio de ruta incorrecto o malicioso puede redirigir el tr\u00e1fico, interrumpir servicios o exponer datos a rutas no deseadas.<\/p>\n\n\n\n
RPKI se desarroll\u00f3 para mejorar la seguridad del enrutamiento de Internet. El nombre significa Infraestructura de Clave P\u00fablica de Recursos. Proporciona una forma de conectar los recursos num\u00e9ricos de Internet, como las prefijos IPv4 e IPv6, con el N\u00famero de Sistema Aut\u00f3nomo autorizado para originarlos. Los operadores de red pueden utilizar esta informaci\u00f3n para determinar si un anuncio BGP es coherente con la autorizaci\u00f3n registrada.<\/p>\n\n\n\n
Para las empresas que operan su propio ASN, gestionan recursos IP, utilizan m\u00faltiples proveedores de upstream o planean anunciar espacio IPv4 o IPv6, comprender RPKI se est\u00e1 volviendo cada vez m\u00e1s importante. RPKI no reemplaza a BGP ni resuelve todos los problemas de enrutamiento. En cambio, proporciona una capa adicional de verificaci\u00f3n que ayuda a las redes a tomar decisiones de enrutamiento m\u00e1s seguras.<\/p>\n\n\n\n
RPKI es un marco de seguridad que utiliza certificados digitales y registros criptogr\u00e1ficos para verificar la relaci\u00f3n entre un prefijo de direcci\u00f3n IP y un ASN de origen. Un prefijo de IP es un bloque de direcciones, como un IPv4 La idea b\u00e1sica es sencilla. Una organizaci\u00f3n autorizada para utilizar un prefijo de IP publica una declaraci\u00f3n firmada que identifica qu\u00e9 ASN est\u00e1 autorizado a originar ese prefijo en BGP. Las redes que reciben anuncios BGP pueden comparar el anuncio con la informaci\u00f3n publicada. Si el anuncio coincide, puede considerarse autorizado. Si entra en conflicto con la informaci\u00f3n, el anuncio puede considerarse sospechoso o inv\u00e1lido.<\/p>\n\n\n\n Los registros utilizados para expresar esta autorizaci\u00f3n se denominan com\u00fanmente Autorizaciones de Origen de Ruta, o ROA. Una ROA identifica un prefijo IP, un ASN de origen autorizado y, cuando corresponde, la longitud m\u00e1xima de prefijo que el ASN est\u00e1 permitido anunciar. Aunque las ROA son una parte importante de RPKI, este art\u00edculo se centra en el prop\u00f3sito m\u00e1s amplio de RPKI y c\u00f3mo mejora la seguridad del enrutamiento.<\/p>\n\n\n\n El RPKI se gestiona generalmente a trav\u00e9s de los Registros Internacionales de Internet (RIR), incluidos RIPE NCC, ARIN, APNIC, LACNIC y AFRINIC. Dependiendo de la regi\u00f3n y del tipo de recurso, el titular del recurso o la organizaci\u00f3n patrocinadora puede crear y gestionar las correspondientes autorizaciones mediante los sistemas del registro.<\/p>\n\n\n\n BGP fue creado en una \u00e9poca en la que Internet era m\u00e1s peque\u00f1a y el n\u00famero de redes participantes era limitado. Su prop\u00f3sito principal era intercambiar informaci\u00f3n de alcanzabilidad entre sistemas aut\u00f3nomos. BGP puede seleccionar rutas bas\u00e1ndose en pol\u00edticas, longitud de ruta, preferencia local y otros atributos, pero el protocolo en s\u00ed no verifica autom\u00e1ticamente si un ASN est\u00e1 autorizado a originar un prefijo IP espec\u00edfico.<\/p>\n\n\n\n Esto significa que un error de configuraci\u00f3n puede parecerse en ocasiones a un anuncio malicioso. Si una red anuncia accidentalmente un prefijo perteneciente a otra organizaci\u00f3n, otras redes pueden aceptar inicialmente la ruta. El resultado puede ser tr\u00e1fico dirigido al destino incorrecto, p\u00e9rdida de conectividad o enrutamiento inestable.<\/p>\n\n\n\n Un ejemplo bien conocido es una filtraci\u00f3n de ruta o un secuestro de prefijo. En un secuestro, un ASN anuncia un prefijo que no controla o del cual no deber\u00eda ser el origen. El anuncio puede ser m\u00e1s espec\u00edfico que la ruta leg\u00edtima, o puede alcanzar suficientes redes como para afectar al tr\u00e1fico. Incluso cuando el incidente es accidental, el impacto operativo puede ser significativo.<\/p>\n\n\n\n El RPKI ayuda proporcionando a los operadores de red una fuente externa de informaci\u00f3n de autorizaci\u00f3n. En lugar de depender \u00fanicamente del contenido de un anuncio BGP, un router o un sistema de seguridad de enrutamiento puede verificar si el ASN de origen ha sido autorizado por el titular del espacio de direcciones. Esto no previene todos los incidentes de enrutamiento, pero facilita la identificaci\u00f3n y filtrado de una clase importante de errores de enrutamiento.<\/p>\n\n\n\n El RPKI funciona a trav\u00e9s de una cadena de confianza. Los recursos num\u00e9ricos de Internet son gestionados por Registros Internacionales de N\u00fameros (RIR), y estos registros proporcionan la base para los certificados digitales correspondientes. El titular de un recurso IP puede crear un registro de autorizaci\u00f3n que indique qu\u00e9 ASN puede originar el prefijo.<\/p>\n\n\n\n Los registros firmados se recopilan en repositorios que pueden ser accedidos por software de seguridad de enrutamiento. Un operador de red ejecuta un validador RPKI o utiliza un servicio que realiza la validaci\u00f3n en su nombre. El validador descarga los registros disponibles, verifica sus firmas, comprueba si est\u00e1n vigentes y produce un conjunto de datos validado.<\/p>\n\n\n\n El conjunto de datos validado se conecta entonces a la infraestructura de enrutamiento de la red. Cuando se recibe una ruta BGP, el router o el sistema de pol\u00edticas de enrutamiento compara el prefijo anunciado y el ASN de origen con la informaci\u00f3n RPKI validada. El resultado normalmente se clasifica como V\u00e1lido, Inv\u00e1lido o No encontrado.<\/p>\n\n\n\n Este proceso se produce de forma independiente a la propia sesi\u00f3n BGP. BGP sigue intercambiando informaci\u00f3n de enrutamiento, mientras que RPKI proporciona datos adicionales de autorizaci\u00f3n que pueden utilizarse en la pol\u00edtica de enrutamiento. Una red puede decidir c\u00f3mo gestionar cada resultado de validaci\u00f3n. Por ejemplo, puede rechazar las rutas Invalid, asignarles una menor preferencia o generar alertas para su revisi\u00f3n posterior.<\/p>\n\n\n\n El proceso est\u00e1 dise\u00f1ado para ser distribuido y escalable. Las redes grandes pueden validar miles de prefijos sin necesidad de que cada organizaci\u00f3n establezca una relaci\u00f3n directa con todas las dem\u00e1s redes. Esto es importante porque Internet incluye un gran n\u00famero de operadores independientes con pol\u00edticas y entornos t\u00e9cnicos diferentes.<\/p>\n\n\n\n Una Autorizaci\u00f3n de Origen de Ruta es un registro firmado que indica qu\u00e9 ASN est\u00e1 autorizado a originar un prefijo IP espec\u00edfico. Es una de las partes m\u00e1s visibles y pr\u00e1cticas del despliegue de RPKI.<\/p>\n\n\n\n Por ejemplo, una organizaci\u00f3n puede controlar el prefijo IPv4 La autorizaci\u00f3n tambi\u00e9n puede especificar una longitud m\u00e1xima de prefijo. Esto es importante porque una red puede querer permitir que el ASN de origen anuncie el prefijo agregado exacto, pero no prefijos m\u00e1s espec\u00edficos y menores. Una longitud m\u00e1xima cuidadosamente seleccionada puede reducir el riesgo de que un anuncio inesperado sea tratado como autorizado.<\/p>\n\n\n\n La configuraci\u00f3n de ROA requiere atenci\u00f3n porque un registro incorrecto puede hacer que una ruta leg\u00edtima parezca inv\u00e1lida. Si una organizaci\u00f3n cambia su proveedor de tr\u00e1nsito, mueve un prefijo a un ASN diferente, divide un anuncio en prefijos m\u00e1s espec\u00edficos o transfiere recursos a otro titular, es posible que sea necesario actualizar los registros de autorizaci\u00f3n. Un registro desactualizado puede provocar una interrupci\u00f3n del servicio incluso cuando la configuraci\u00f3n de BGP es correcta.<\/p>\n\n\n\n Un art\u00edculo futuro puede explicar c\u00f3mo crear un ROA, c\u00f3mo elegir una longitud m\u00e1xima y c\u00f3mo actualizar las autorizaciones durante una migraci\u00f3n de recursos ASN o IP.<\/p>\n\n\n\n Un resultado v\u00e1lido significa que un anuncio BGP est\u00e1 cubierto por una autorizaci\u00f3n RPKI aplicable y que el ASN de origen tiene permiso para anunciar el prefijo. Por lo general, indica que el prefijo anunciado, la longitud del prefijo y el ASN de origen son coherentes con la autorizaci\u00f3n publicada.<\/p>\n\n\n\n Un resultado no v\u00e1lido significa que existe una autorizaci\u00f3n, pero el anuncio BGP no cumple con ella. Esto puede ocurrir porque el ASN de origen no est\u00e1 autorizado, porque el anuncio es m\u00e1s espec\u00edfico que la longitud m\u00e1xima permitida, o porque el prefijo se superpone con una autorizaci\u00f3n para un origen diferente. Las rutas no v\u00e1lidas requieren atenci\u00f3n inmediata, ya que pueden representar un secuestro de ruta (hijack), una configuraci\u00f3n accidental o una migraci\u00f3n incompleta.<\/p>\n\n\n\n Un resultado de Not Found significa que no se encontr\u00f3 ninguna autorizaci\u00f3n aplicable para el anuncio. Esto no implica autom\u00e1ticamente que la ruta sea maliciosa o incorrecta. Simplemente significa que RPKI no puede confirmar el origen utilizando los registros publicados actualmente. Muchas rutas leg\u00edtimas siguen siendo Not Found porque el titular del recurso no ha creado una autorizaci\u00f3n.<\/p>\n\n\n\n La distinci\u00f3n entre Inv\u00e1lido y No encontrado es importante. Inv\u00e1lido indica un conflicto con los datos de autorizaci\u00f3n existentes, mientras que No encontrado indica la ausencia de datos de autorizaci\u00f3n. Los operadores de red suelen tratar las rutas inv\u00e1lidas con mayor seriedad, pero su pol\u00edtica de enrutamiento exacta depende de su tolerancia al riesgo, los requisitos del servicio y los procedimientos operativos.<\/p>\n\n\n\n El espacio de direcciones IPv4 es limitado, y muchas prefijos IPv4 se utilizan ahora en complejas configuraciones que involucran proveedores, centros de datos, plataformas en la nube, empresas de arrendamiento y transacciones de transferencia. Estas configuraciones hacen que la precisi\u00f3n del enrutamiento sea especialmente importante.<\/p>\n\n\n\n Cuando un prefijo IPv4 se transfiere o mueve entre organizaciones, el origen BGP tambi\u00e9n puede cambiar. Si la autorizaci\u00f3n del propietario anterior sigue activa mientras el nuevo propietario anuncia el prefijo desde una ASN diferente, la ruta puede volverse inv\u00e1lida seg\u00fan RPKI. Esta es una de las razones por las que la planificaci\u00f3n de RPKI debe incluirse en los trabajos de transferencia y migraci\u00f3n de IPv4.<\/p>\n\n\n\n Antes de aceptar o anunciar un prefijo IPv4, una organizaci\u00f3n debe confirmar qu\u00e9 entidad controla el recurso, qu\u00e9 ASN se espera que lo origine y si los registros de autorizaci\u00f3n pertinentes reflejan el dise\u00f1o de enrutamiento previsto. Los registros del registro p\u00fablico, las anuncios BGP y la informaci\u00f3n RPKI deben revisarse conjuntamente. El RPKI es especialmente \u00fatil cuando una empresa utiliza m\u00faltiples proveedores de tr\u00e1nsito. Una autorizaci\u00f3n de origen coherente puede proteger el prefijo independientemente de cu\u00e1l sea el proveedor upstream que transporte la ruta. Sin embargo, la organizaci\u00f3n a\u00fan debe asegurarse de que todos los proveedores est\u00e9n utilizando el ASN y la longitud de prefijo correctos.<\/p>\n\n\n\n Las empresas que eval\u00faan un bloque de IPv4 tambi\u00e9n pueden utilizar herramientas p\u00fablicas para revisar los datos de registro actuales, la informaci\u00f3n del ASN de origen, el estado RPKI y la visibilidad BGP. Estas comprobaciones no sustituyen a la diligencia debida contractual ni al an\u00e1lisis de reputaci\u00f3n, pero pueden revelar inconsistencias evidentes en el enrutamiento antes de una transacci\u00f3n o despliegue.<\/p>\n\n\n\n Las redes IPv6 se benefician de los mismos principios de validaci\u00f3n de origen que las redes IPv4. Los prefijos IPv6 se anuncian a trav\u00e9s de BGP, y un origen incorrecto puede crear riesgos similares, incluyendo interrupciones del tr\u00e1fico, filtraciones de rutas y anuncios no autorizados.<\/p>\n\n\n\n Los despliegues de IPv6 suelen implicar bloques de direcciones m\u00e1s grandes y planes de direccionamiento m\u00e1s estructurados. Una organizaci\u00f3n puede recibir una asignaci\u00f3n amplia y anunciar un agregado mientras utiliza subredes internas m\u00e1s peque\u00f1as para sitios, centros de datos o servicios. La autorizaci\u00f3n RPKI debe coincidir con los prefijos que realmente est\u00e1n destinados al enrutamiento p\u00fablico.<\/p>\n\n\n\n Un error com\u00fan es asumir que el enrutamiento IPv6 es autom\u00e1ticamente m\u00e1s seguro porque IPv6 tiene un espacio de direcciones mucho mayor. El tama\u00f1o del espacio de direcciones no elimina la necesidad de verificar el origen de las rutas. Si un prefijo IPv6 es anunciado por una ASN incorrecta y no existe autorizaci\u00f3n, otras redes pueden tener capacidad limitada para distinguir el anuncio de una ruta leg\u00edtima. Las organizaciones que implementen IPv6 deber\u00edan incluir RPKI en su dise\u00f1o inicial de enrutamiento en lugar de esperar hasta que la red est\u00e9 completamente operativa. Esto facilita coordinar el plan de direcciones, el uso de ASN, los proveedores upstream y los registros de autorizaci\u00f3n antes de que el tr\u00e1fico de producci\u00f3n dependa del anuncio.<\/p>\n\n\n\n El principal beneficio de RPKI es que proporciona un m\u00e9todo ampliamente reconocido para validar el origen de una ruta BGP. Esto ofrece a los operadores de red una base m\u00e1s s\u00f3lida para filtrar y monitorear anuncios que la informaci\u00f3n de BGP por s\u00ed sola.<\/p>\n\n\n\n El RPKI puede reducir el riesgo de aceptar rutas que sean claramente inconsistentes con la autorizaci\u00f3n declarada del titular de los recursos. Tambi\u00e9n puede ayudar a identificar errores operativos durante migraciones de red, cambios de proveedor, modificaciones en el patrocinio de ASN y transferencias de recursos IPv4 o IPv6.<\/p>\n\n\n\n Para los titulares de recursos IP, RPKI demuestra que la organizaci\u00f3n est\u00e1 gestionando activamente la seguridad del enrutamiento de su espacio de direcciones. Esto puede mejorar la coordinaci\u00f3n con los proveedores de tr\u00e1nsito y reducir la confusi\u00f3n cuando m\u00faltiples partes participan en el anuncio del mismo prefijo.<\/p>\n\n\n\n Para los proveedores de tr\u00e1nsito y las empresas de alojamiento, la validaci\u00f3n RPKI puede formar parte de un programa m\u00e1s amplio de seguridad de enrutamiento. Los proveedores pueden utilizar los resultados de la validaci\u00f3n junto con filtros de prefijos, datos del IRR, monitoreo BGP y pol\u00edticas internas de enrutamiento. Ninguna fuente de datos es perfecta por s\u00ed sola, pero combinar varias se\u00f1ales proporciona una mejor visibilidad operativa.<\/p>\n\n\n\n RPKI tambi\u00e9n mejora la respuesta a incidentes. Cuando aparece un anuncio BGP inesperado, el equipo de red puede verificar r\u00e1pidamente si el origen est\u00e1 autorizado. Esto puede ayudar a distinguir un posible secuestro de ruta de un cambio de enrutamiento leg\u00edtimo pero no documentado.<\/p>\n\n\n\n RPKI es valioso, pero no es un reemplazo completo para la seguridad de enrutamiento. Valida la relaci\u00f3n entre un prefijo y un ASN de origen. No demuestra que cada salto en la ruta BGP sea confiable, ni garantiza que el tr\u00e1fico siga la ruta f\u00edsica m\u00e1s \u00f3ptima o segura.<\/p>\n\n\n\n RPKI no cifra el tr\u00e1fico de las aplicaciones. No protege las sesiones web, las consultas DNS, el correo electr\u00f3nico ni los datos privados contra la interceptaci\u00f3n. Las tecnolog\u00edas de cifrado como TLS, VPN y protocolos seguros de aplicaci\u00f3n siguen siendo necesarias para esos fines.<\/p>\n\n\n\n El RPKI tampoco impide autom\u00e1ticamente cada fuga de rutas. Una ruta puede ser originada por el ASN correcto pero a\u00fan as\u00ed propagarse a lugares donde no deber\u00eda aparecer. La validaci\u00f3n de origen puede clasificar dicha ruta como v\u00e1lida porque el origen est\u00e1 autorizado, aunque la ruta m\u00e1s amplia sea operativamente incorrecta.<\/p>\n\n\n\n RPKI no demuestra por s\u00ed mismo la propiedad legal. Los registros del registro, los contratos, los documentos de transferencia y la autorizaci\u00f3n organizativa siguen siendo importantes. Un resultado v\u00e1lido indica que la ruta coincide con una autorizaci\u00f3n publicada; no confirma que se hayan cumplido todos los requisitos comerciales o legales.<\/p>\n\n\n\n Por \u00faltimo, el RPKI solo funciona eficazmente cuando se mantienen los registros. Una organizaci\u00f3n que crea autorizaciones y luego olvida actualizarlas despu\u00e9s de un cambio de proveedor o ASN puede provocar su propia interrupci\u00f3n del enrutamiento.<\/p>\n\n\n\n El primer paso es crear un inventario de todos los prefijos IPv4 e IPv6 que la organizaci\u00f3n posee, alquila, patrocina o espera anunciar. Para cada prefijo, registre el ASN de origen previsto, los proveedores de anuncio, la longitud del prefijo y si el prefijo es actualmente visible en BGP.<\/p>\n\n\n\n El siguiente paso es confirmar los registros del registro y los registros de recursos. La organizaci\u00f3n debe verificar que el espacio de direcciones est\u00e9 asociado con la cuenta, organizaci\u00f3n, LIR patrocinador o titular de recursos correctos. Si los datos p\u00fablicos de registro est\u00e1n desactualizados, deben corregirse antes de crear nuevas autorizaciones de enrutamiento. Una vez confirmado el inventario de recursos, la organizaci\u00f3n puede crear los registros de autorizaci\u00f3n correspondientes a trav\u00e9s de su Registro Internet Regional o proveedor patrocinador. El ASN de origen y la longitud m\u00e1xima del prefijo deben reflejar el plan de enrutamiento real. Si se utilizan varios ASNs leg\u00edtimamente, el dise\u00f1o debe documentarse cuidadosamente en lugar de a\u00f1adir autorizaciones amplias sin una raz\u00f3n clara.<\/p>\n\n\n\n La organizaci\u00f3n debe validar entonces los registros utilizando un validador RPKI o un servicio de monitorizaci\u00f3n establecido. Es importante confirmar que los anuncios previstos devuelven un resultado v\u00e1lido antes de aplicar pol\u00edticas estrictas de filtrado al tr\u00e1fico de clientes o de producci\u00f3n.<\/p>\n\n\n\n El despliegue debe tratarse como un proceso operativo, no como una tarea de configuraci\u00f3n puntual. Los cambios en los proveedores upstream, el patrocinio del ASN, la agregaci\u00f3n de prefijos, las ubicaciones de los centros de datos y los acuerdos de transferencia de IPv4 pueden afectar a los registros RPKI. El monitoreo y la gesti\u00f3n de cambios deben formar parte del flujo de trabajo normal de la red.<\/p>\n\n\n\n Un error com\u00fan es crear una autorizaci\u00f3n para el ASN de origen incorrecto. Esto suele ocurrir durante una migraci\u00f3n de proveedor, cuando el antiguo ASN sigue en el registro mientras la red comienza a anunciar desde un nuevo ASN.<\/p>\n\n\n\n Otro error es configurar incorrectamente la longitud m\u00e1xima del prefijo. Si una organizaci\u00f3n autoriza \u00fanicamente un agregado pero anuncia una ruta m\u00e1s espec\u00edfica, el anuncio de esta \u00faltima puede volverse Inv\u00e1lido. Si se establece una longitud m\u00e1xima demasiado amplia, la autorizaci\u00f3n podr\u00eda permitir anuncios que la organizaci\u00f3n no pretend\u00eda autorizar.<\/p>\n\n\n\n Los registros obsoletos tambi\u00e9n son un problema importante. Una autorizaci\u00f3n que era correcta hace varios a\u00f1os puede ya no coincidir con el dise\u00f1o actual de la red de la organizaci\u00f3n. Las revisiones peri\u00f3dicas son especialmente importantes despu\u00e9s de una transferencia de IPv4, una fusi\u00f3n, un cambio del LIR patrocinador o una renumeraci\u00f3n de ASN.<\/p>\n\n\n\n Algunas organizaciones tambi\u00e9n asumen que un resultado de No encontrado significa que una ruta debe ser rechazada. En la mayor\u00eda de los casos, No encontrado significa que no existe autorizaci\u00f3n alguna. Debe manejarse seg\u00fan la pol\u00edtica y el modelo de riesgo de la red, en lugar de tratarse como autom\u00e1ticamente malicioso.<\/p>\n\n\n\n RPKI es una parte de un enfoque m\u00e1s amplio de seguridad del enrutamiento. Las bases de datos IRR contienen objetos de pol\u00edtica de enrutamiento que pueden ser utilizados por los operadores de red para generar filtros. Estos objetos pueden describir qu\u00e9 ASN se espera que origine un prefijo, pero utilizan un modelo de confianza y validaci\u00f3n diferente al de RPKI.<\/p>\n\n\n\n La monitorizaci\u00f3n BGP muestra lo que realmente se anuncia y d\u00f3nde es visible dicho anuncio. Puede revelar cambios de ruta, or\u00edgenes inesperados, modificaciones en la trayectoria y per\u00edodos de inestabilidad. RPKI indica si el origen est\u00e1 autorizado, pero no proporciona el historial operativo completo de una ruta.<\/p>\n\n\n\n Por esta raz\u00f3n, RPKI, IRR y la monitorizaci\u00f3n de BGP suelen utilizarse conjuntamente. Una revisi\u00f3n exhaustiva del enrutamiento puede comparar el registro del registro, el ASN esperado, el objeto IRR, la autorizaci\u00f3n RPKI y las observaciones de BGP en tiempo real. Cuando estas fuentes coinciden, la posici\u00f3n de enrutamiento es m\u00e1s f\u00e1cil de entender. Cuando no coinciden, la diferencia debe investigarse antes de completar una migraci\u00f3n o transferencia.<\/p>\n\n\n\n El mantenimiento de RPKI debe estar conectado a la gesti\u00f3n de cambios de red. Cuando una organizaci\u00f3n planea cambiar su ASN de origen, proveedor principal, longitud de prefijo o ubicaci\u00f3n de anuncio, debe revisar el efecto esperado en los registros de autorizaci\u00f3n antes de realizar el cambio.<\/p>\n\n\n\n El monitoreo debe alertar al equipo de red cuando un prefijo esperado se vuelva Inv\u00e1lido, cuando se elimine una autorizaci\u00f3n o cuando aparezca un origen previamente no visto. Las alertas son m\u00e1s \u00fatiles cuando incluyen el prefijo afectado, el ASN del origen, el estado actual de validaci\u00f3n y la hora del cambio.<\/p>\n\n\n\n Las organizaciones tambi\u00e9n deben documentar qui\u00e9n es el responsable de gestionar RPKI. En algunas empresas, el equipo de ingenier\u00eda de red gestiona los registros. En otras, los LIR patrocinadores, los proveedores de servicios gestionados o el equipo de seguridad se encargan de ellos. Una propiedad clara ayuda a prevenir retrasos durante incidentes y migraciones de proveedores.<\/p>\n\n\n\n Una revisi\u00f3n peri\u00f3dica puede programarse de forma mensual, trimestral o cada vez que se produzca un cambio importante en el enrutamiento. La frecuencia adecuada depende del tama\u00f1o y la complejidad de la red. El punto importante es que RPKI debe tratarse como una parte viva del sistema de enrutamiento.<\/p>\n\n\n\n No. Una red puede utilizar BGP sin publicar registros de autorizaci\u00f3n RPKI. Sin embargo, se recomienda cada vez m\u00e1s el uso de RPKI porque proporciona a otras redes una forma de validar el origen de las rutas que la organizaci\u00f3n anuncia.<\/p>\n\n\n\n RPKI no impide f\u00edsicamente que otra red env\u00ede un anuncio BGP no autorizado. Permite a las redes receptoras identificar anuncios que no coinciden con la autorizaci\u00f3n publicada. Las redes pueden entonces rechazar, desfavorecer o monitorear esas rutas seg\u00fan sus pol\u00edticas.<\/p>\n\n\n\n No. RPKI supports both IPv4 and IPv6 prefixes. The same basic origin validation concept applies to both address families.<\/p>\n\n\n\n No necesariamente. No encontrado significa que no se encontr\u00f3 ninguna autorizaci\u00f3n aplicable. Esto no prueba que la ruta sea incorrecta. Sin embargo, los titulares de recursos deber\u00edan considerar publicar autorizaciones precisas para que otras redes puedan validar sus anuncios.<\/p>\n\n\n\n No. RPKI e IRR tienen prop\u00f3sitos diferentes y a menudo se utilizan juntos. Algunos proveedores utilizan ambos sistemas al construir filtros de enrutamiento y revisar anuncios.<\/p>\n\n\n\n Un registro incorrecto puede provocar que un anuncio BGP leg\u00edtimo se clasifique como inv\u00e1lido. La organizaci\u00f3n debe revisar el ASN de origen, la longitud del prefijo y la longitud m\u00e1xima, y luego actualizar la autorizaci\u00f3n antes de aplicar un filtrado estricto de rutas.<\/p>\n\n\n\n RPKI is an important improvement to the security of Internet routing. It gives IP resource holders a way to publish cryptographic authorization for the ASNs that are allowed to originate their IPv4 and IPv6 prefixes. It also gives network operators a practical method for checking whether BGP announcements match that authorization.<\/p>\n\n\n\n El concepto es sencillo: el titular de un prefijo IP publica el origen previsto, y otras redes validan el anuncio frente a esa informaci\u00f3n. El resultado puede ayudar a identificar rutas autorizadas, rutas conflictivas y rutas para las cuales no se ha publicado ninguna autorizaci\u00f3n. RPKI no sustituye la ingenier\u00eda de red cuidadosa, la gesti\u00f3n de registros, los registros IRR, la monitorizaci\u00f3n BGP ni la diligencia debida contractual. Tampoco garantiza que cada ruta sea segura o que se eviten todos los incidentes de enrutamiento. Su valor radica en a\u00f1adir una se\u00f1al de autorizaci\u00f3n fiable al proceso de enrutamiento.<\/p>\n\n\n\n Para las organizaciones que gestionan un ASN, espacio IPv4, espacio IPv6 o m\u00faltiples proveedores upstream, el RPKI debe incluirse en el dise\u00f1o normal de enrutamiento. Antes de anunciar un prefijo, cambiar de proveedor, completar una transferencia de IPv4 o desplegar una nueva red IPv6, revisen los datos del registro, el ASN de origen, los registros de autorizaci\u00f3n y el estado BGP en vivo en conjunto. Ese proceso sencillo puede evitar errores evitables y mejorar la confiabilidad general de la conectividad a Internet.<\/p>\n\n\n\n <\/p>","protected":false},"excerpt":{"rendered":" The Internet depends on a global routing system that allows networks, data centers, cloud platforms, Internet service providers, and enterprises to exchange traffic. One of the most important protocols in this system is the Border Gateway Protocol, commonly known as BGP. BGP allows independent networks to announce which IP address ranges they can reach. Without […]<\/p>\n","protected":false},"author":1,"featured_media":1088,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_seopress_titles_title":"What Is RPKI? A Beginner\u2019s Guide to Secure BGP Routing","_seopress_titles_desc":"Learn what RPKI is, how it protects BGP routing, why it matters for IPv4 and IPv6 networks, and how businesses can start using route origin validation.","_seopress_robots_index":"","_seopress_robots_follow":"","_seopress_robots_imageindex":"","_seopress_robots_snippet":"","_seopress_robots_primary_cat":"","_seopress_robots_breadcrumbs":"","_seopress_robots_freeze_modified_date":"","_seopress_robots_custom_modified_date":"","_seopress_robots_canonical":"","_seopress_social_fb_title":"","_seopress_social_fb_desc":"","_seopress_social_fb_img":"","_seopress_social_fb_img_attachment_id":0,"_seopress_social_fb_img_width":0,"_seopress_social_fb_img_height":0,"_seopress_social_twitter_title":"","_seopress_social_twitter_desc":"","_seopress_social_twitter_img":"","_seopress_social_twitter_img_attachment_id":0,"_seopress_social_twitter_img_width":0,"_seopress_social_twitter_img_height":0,"_seopress_redirections_value":"","_seopress_redirections_enabled":"","_seopress_redirections_enabled_regex":"","_seopress_redirections_logged_status":"","_seopress_redirections_param":"","_seopress_redirections_type":0,"_seopress_analysis_target_kw":"","footnotes":""},"categories":[1],"tags":[],"class_list":["post-1086","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-article"],"_links":{"self":[{"href":"https:\/\/junglelabs.uk\/es\/wp-json\/wp\/v2\/posts\/1086","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/junglelabs.uk\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/junglelabs.uk\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/junglelabs.uk\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/junglelabs.uk\/es\/wp-json\/wp\/v2\/comments?post=1086"}],"version-history":[{"count":3,"href":"https:\/\/junglelabs.uk\/es\/wp-json\/wp\/v2\/posts\/1086\/revisions"}],"predecessor-version":[{"id":1091,"href":"https:\/\/junglelabs.uk\/es\/wp-json\/wp\/v2\/posts\/1086\/revisions\/1091"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/junglelabs.uk\/es\/wp-json\/wp\/v2\/media\/1088"}],"wp:attachment":[{"href":"https:\/\/junglelabs.uk\/es\/wp-json\/wp\/v2\/media?parent=1086"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/junglelabs.uk\/es\/wp-json\/wp\/v2\/categories?post=1086"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/junglelabs.uk\/es\/wp-json\/wp\/v2\/tags?post=1086"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}\/24<\/code> or an IPv6 \/48<\/code>. Una ASN identifica una red independiente que participa en el enrutamiento BGP.<\/p>\n\n\n\n\u00bfPor qu\u00e9 necesita BGP RPKI?<\/h2>\n\n\n\n
\u00bfC\u00f3mo funciona RPKI?<\/h2>\n\n\n\n
\u00bfQu\u00e9 es una Autorizaci\u00f3n de Origen de Ruta?<\/h2>\n\n\n\n
192.0.2.0\/24<\/code> y utiliza ASN AS64500<\/code> para anunciarlo. La organizaci\u00f3n puede crear una autorizaci\u00f3n que permita AS64500<\/code> originar 192.0.2.0\/24<\/code>. Si otra ASN anuncia posteriormente el mismo prefijo, las redes que realicen validaci\u00f3n RPKI podr\u00e1n detectar que el origen no coincide con la autorizaci\u00f3n.<\/p>\n\n\n\n\u00bfQu\u00e9 significan v\u00e1lido, inv\u00e1lido y no encontrado?<\/h2>\n\n\n\n
Why RPKI Matters for IPv4 Networks<\/h2>\n\n\n\n
Why RPKI Matters for IPv6 Networks<\/h2>\n\n\n\n
\u00bfCu\u00e1les son los principales beneficios de RPKI?<\/h2>\n\n\n\n
Lo que RPKI no puede hacer<\/h2>\n\n\n\n
\u00bfC\u00f3mo puede una empresa empezar a utilizar RPKI?<\/h2>\n\n\n\n
Errores comunes en la implementaci\u00f3n de RPKI<\/h2>\n\n\n\n
RPKI, IRR y Monitorizaci\u00f3n BGP<\/h2>\n\n\n\n
\u00bfC\u00f3mo se debe mantener el RPKI?<\/h2>\n\n\n\n
Preguntas frecuentes sobre RPKI<\/h2>\n\n\n\n
\u00bfEs necesario RPKI para usar BGP?<\/h3>\n\n\n\n
\u00bfRPKI previene un secuestro de BGP?<\/h3>\n\n\n\n
\u00bfEs RPKI solo para IPv4?<\/h3>\n\n\n\n
\u00bfEs peligroso un resultado de RPKI \"No encontrado\"?<\/h3>\n\n\n\n
\u00bfPuede RPKI reemplazar un objeto de ruta IRR?<\/h3>\n\n\n\n
\u00bfQu\u00e9 ocurre si un registro RPKI es incorrecto?<\/h3>\n\n\n\n