L'Internet d\u00e9pend d'un syst\u00e8me de routage mondial qui permet aux r\u00e9seaux, centres de donn\u00e9es, plateformes cloud, fournisseurs de services Internet et entreprises d'\u00e9changer du trafic. L'un des protocoles les plus importants dans ce syst\u00e8me est le Border Gateway Protocol, commun\u00e9ment appel\u00e9 BGP. BGP permet aux r\u00e9seaux ind\u00e9pendants d'annoncer les plages d'adresses IP qu'ils peuvent atteindre. Sans BGP, l'Internet moderne ne serait pas en mesure de connecter des millions de r\u00e9seaux \u00e0 travers diff\u00e9rents pays et fournisseurs. Cependant, BGP a \u00e9t\u00e9 initialement con\u00e7u pour \u00e9changer des informations de routage sur la base de la confiance. Lorsqu'un r\u00e9seau annonce un pr\u00e9fixe IP, d'autres r\u00e9seaux peuvent accepter cette annonce sans disposer d'une m\u00e9thode cryptographique solide pour confirmer si ce r\u00e9seau est r\u00e9ellement autoris\u00e9 \u00e0 utiliser le pr\u00e9fixe. Cela cr\u00e9e un probl\u00e8me de s\u00e9curit\u00e9. Une annonce de route incorrecte ou malveillante peut rediriger le trafic, interrompre des services ou exposer des donn\u00e9es \u00e0 des chemins non d\u00e9sir\u00e9s.<\/p>\n\n\n\n
Le RPKI a \u00e9t\u00e9 d\u00e9velopp\u00e9 pour am\u00e9liorer la s\u00e9curit\u00e9 du routage Internet. Le nom signifie Infrastructure de cl\u00e9s publiques des ressources. Il offre un moyen de relier les ressources num\u00e9riques d'Internet, telles que les pr\u00e9fixes IPv4 et IPv6, avec le num\u00e9ro de syst\u00e8me autonome autoris\u00e9 \u00e0 les originer. Les op\u00e9rateurs r\u00e9seau peuvent ensuite utiliser ces informations pour d\u00e9terminer si une annonce BGP est coh\u00e9rente avec l'autorisation enregistr\u00e9e.<\/p>\n\n\n\n
Pour les entreprises exploitant leur propre ASN, g\u00e9rant des ressources IP, utilisant plusieurs fournisseurs en amont ou pr\u00e9voyant d'annoncer des espaces IPv4 ou IPv6, la compr\u00e9hension du RPKI devient de plus en plus importante. Le RPKI ne remplace pas BGP et ne r\u00e9sout pas tous les probl\u00e8mes de routage. Il fournit plut\u00f4t une couche suppl\u00e9mentaire de v\u00e9rification qui aide les r\u00e9seaux \u00e0 prendre des d\u00e9cisions de routage plus s\u00fbres.<\/p>\n\n\n\n
Le RPKI est un cadre de s\u00e9curit\u00e9 qui utilise des certificats num\u00e9riques et des enregistrements cryptographiques pour v\u00e9rifier la relation entre un pr\u00e9fixe d'adresse IP et un ASN d'origine. Un pr\u00e9fixe IP est un bloc d'adresses, tel qu'un IPv4 L'id\u00e9e de base est simple. Une organisation autoris\u00e9e \u00e0 utiliser un pr\u00e9fixe IP publie une d\u00e9claration sign\u00e9e indiquant quel ASN est autoris\u00e9 \u00e0 annoncer ce pr\u00e9fixe dans BGP. Les r\u00e9seaux qui re\u00e7oivent des annonces BGP peuvent comparer l'annonce aux informations publi\u00e9es. Si l'annonce correspond, elle peut \u00eatre consid\u00e9r\u00e9e comme autoris\u00e9e. Si elle est en conflit avec les informations, l'annonce peut \u00eatre consid\u00e9r\u00e9e comme suspecte ou invalide.<\/p>\n\n\n\n Les enregistrements utilis\u00e9s pour exprimer cette autorisation sont commun\u00e9ment appel\u00e9s des Route Origin Authorizations, ou ROA. Une ROA identifie un pr\u00e9fixe IP, un ASN d\u2019origine autoris\u00e9 et, le cas \u00e9ch\u00e9ant, la longueur maximale du pr\u00e9fixe que l\u2019ASN est autoris\u00e9 \u00e0 annoncer. Bien que les ROA constituent une partie importante du RPKI, cet article se concentre sur l\u2019objectif plus large du RPKI et sur la mani\u00e8re dont il am\u00e9liore la s\u00e9curit\u00e9 du routage.<\/p>\n\n\n\n Le RPKI est g\u00e9n\u00e9ralement g\u00e9r\u00e9 par les Registres Internet R\u00e9gionaux, y compris le RIPE NCC, l'ARIN, l'APNIC, le LACNIC et l'AFRINIC. Selon la r\u00e9gion et le type de ressource, le d\u00e9tenteur des ressources ou l'organisation parrainante peut cr\u00e9er et g\u00e9rer les enregistrements d'autorisation pertinents via les syst\u00e8mes du registre.<\/p>\n\n\n\n Le BGP a \u00e9t\u00e9 cr\u00e9\u00e9 \u00e0 une \u00e9poque o\u00f9 Internet \u00e9tait plus petit et le nombre de r\u00e9seaux participants limit\u00e9. Son objectif principal \u00e9tait d\u2019\u00e9changer des informations de reachabilit\u00e9 entre syst\u00e8mes autonomes. Le BGP peut s\u00e9lectionner des chemins en fonction de politiques, de la longueur du chemin, de la pr\u00e9f\u00e9rence locale et d\u2019autres attributs, mais le protocole lui-m\u00eame ne v\u00e9rifie pas automatiquement si un ASN est autoris\u00e9 \u00e0 originer un pr\u00e9fixe IP particulier.<\/p>\n\n\n\n Cela signifie qu'une erreur de configuration peut parfois ressembler \u00e0 une annonce malveillante. Si un r\u00e9seau annonce accidentellement un pr\u00e9fixe appartenant \u00e0 une autre organisation, d'autres r\u00e9seaux peuvent initialement accepter la route. Le r\u00e9sultat peut \u00eatre un trafic dirig\u00e9 vers la mauvaise destination, une perte de connectivit\u00e9 ou une instabilit\u00e9 du routage.<\/p>\n\n\n\n Un exemple bien connu est une fuite de route ou un d\u00e9tournement de pr\u00e9fixe. Dans un d\u00e9tournement, un ASN annonce un pr\u00e9fixe qu'il ne contr\u00f4le pas ou qu'il n'est pas cens\u00e9 originer. L'annonce peut \u00eatre plus sp\u00e9cifique que la route l\u00e9gitime, ou elle peut atteindre suffisamment de r\u00e9seaux pour affecter le trafic. M\u00eame lorsque l'incident est accidentel, l'impact op\u00e9rationnel peut \u00eatre significatif.<\/p>\n\n\n\n Le RPKI aide en fournissant aux op\u00e9rateurs de r\u00e9seau une source externe d\u2019informations d\u2019autorisation. Au lieu de se fier uniquement au contenu d\u2019une annonce BGP, un routeur ou un syst\u00e8me de s\u00e9curit\u00e9 du routage peut v\u00e9rifier si l\u2019ASN d\u2019origine a \u00e9t\u00e9 autoris\u00e9 par le titulaire de l\u2019espace d\u2019adresses. Cela ne pr\u00e9vient pas tous les incidents de routage, mais il rend plus facile l\u2019identification et le filtrage d\u2019une classe importante d\u2019erreurs de routage.<\/p>\n\n\n\n Le RPKI fonctionne par une cha\u00eene de confiance. Les ressources num\u00e9riques d'Internet sont g\u00e9r\u00e9es par les Registres Internet R\u00e9gionaux, et ces registres fournissent la base pour les certificats num\u00e9riques pertinents. Le titulaire d'une ressource IP peut cr\u00e9er un enregistrement d'autorisation indiquant quel ASN peut originer le pr\u00e9fixe.<\/p>\n\n\n\n Les enregistrements sign\u00e9s sont collect\u00e9s dans des d\u00e9p\u00f4ts qui peuvent \u00eatre consult\u00e9s par le logiciel de s\u00e9curit\u00e9 de routage. Un op\u00e9rateur de r\u00e9seau ex\u00e9cute un validateur RPKI ou utilise un service qui effectue la validation en son nom. Le validateur t\u00e9l\u00e9charge les enregistrements disponibles, v\u00e9rifie leurs signatures, contr\u00f4le s'ils sont \u00e0 jour et produit un jeu de donn\u00e9es valid\u00e9.<\/p>\n\n\n\n L'ensemble de donn\u00e9es valid\u00e9 est ensuite connect\u00e9 \u00e0 l'infrastructure de routage du r\u00e9seau. Lorsqu'une route BGP est re\u00e7ue, le routeur ou le syst\u00e8me de politique de routage compare le pr\u00e9fixe annonc\u00e9 et l'ASN d'origine avec les informations RPKI valid\u00e9es. Le r\u00e9sultat est g\u00e9n\u00e9ralement class\u00e9 comme Valide, Non valide ou Non trouv\u00e9.<\/p>\n\n\n\n Ce processus se d\u00e9roule ind\u00e9pendamment de la session BGP elle-m\u00eame. BGP continue d\u2019\u00e9changer des informations de routage, tandis que RPKI fournit des donn\u00e9es d\u2019autorisation suppl\u00e9mentaires qui peuvent \u00eatre utilis\u00e9es dans la politique de routage. Un r\u00e9seau peut d\u00e9cider comment g\u00e9rer chaque r\u00e9sultat de validation. Par exemple, il peut rejeter les routes Invalides, leur attribuer une pr\u00e9f\u00e9rence inf\u00e9rieure ou g\u00e9n\u00e9rer des alertes pour examen ult\u00e9rieur.<\/p>\n\n\n\n Le processus est con\u00e7u pour \u00eatre distribu\u00e9 et \u00e9volutif. Les grands r\u00e9seaux peuvent valider des milliers de pr\u00e9fixes sans qu'il soit n\u00e9cessaire que chaque organisation \u00e9tablisse une relation directe avec tous les autres r\u00e9seaux. Cela est important car Internet comprend un tr\u00e8s grand nombre d'op\u00e9rateurs ind\u00e9pendants ayant des politiques et des environnements techniques diff\u00e9rents.<\/p>\n\n\n\n Une autorisation d'origine de route est un enregistrement sign\u00e9 indiquant quel ASN est autoris\u00e9 \u00e0 originer une pr\u00e9fixe IP sp\u00e9cifique. Il s'agit de l'une des parties les plus visibles et pratiques du d\u00e9ploiement de RPKI.<\/p>\n\n\n\n Par exemple, une organisation peut contr\u00f4ler le pr\u00e9fixe IPv4 L'autorisation peut \u00e9galement sp\u00e9cifier une longueur maximale de pr\u00e9fixe. Cela est important car un r\u00e9seau peut souhaiter autoriser l'ASN d'origine \u00e0 annoncer le pr\u00e9fixe agr\u00e9g\u00e9 exact, mais pas des pr\u00e9fixes plus sp\u00e9cifiques et plus courts. Une longueur maximale soigneusement s\u00e9lectionn\u00e9e peut r\u00e9duire le risque qu'une annonce inattendue soit consid\u00e9r\u00e9e comme autoris\u00e9e.<\/p>\n\n\n\n La configuration ROA n\u00e9cessite une attention particuli\u00e8re, car un enregistrement incorrect peut rendre une route l\u00e9gitime invalide. Si une organisation change de fournisseur de transit, d\u00e9place un pr\u00e9fixe vers un ASN diff\u00e9rent, divise une annonce en pr\u00e9fixes plus sp\u00e9cifiques ou transf\u00e8re des ressources \u00e0 un autre d\u00e9tenteur, les enregistrements d'autorisation peuvent devoir \u00eatre mis \u00e0 jour. Un enregistrement obsol\u00e8te peut provoquer une panne m\u00eame lorsque la configuration BGP elle-m\u00eame est correcte.<\/p>\n\n\n\n Un article futur pourra expliquer comment cr\u00e9er un ROA, comment choisir une longueur maximale et comment mettre \u00e0 jour les autorisations lors d'une migration de ressources ASN ou IP.<\/p>\n\n\n\n Un r\u00e9sultat \u00ab Valid \u00bb signifie qu'une annonce BGP est couverte par une autorisation RPKI applicable et que l'ASN d'origine est autoris\u00e9 \u00e0 annoncer le pr\u00e9fixe. Il indique g\u00e9n\u00e9ralement que le pr\u00e9fixe annonc\u00e9, la longueur du pr\u00e9fixe et l'ASN d'origine sont coh\u00e9rents avec l'autorisation publi\u00e9e.<\/p>\n\n\n\n Un r\u00e9sultat invalide signifie qu'une autorisation existe, mais que l'annonce BGP ne s'y conforme pas. Cela peut se produire parce que l'ASN d'origine n'est pas autoris\u00e9, parce que l'annonce est plus sp\u00e9cifique que la longueur maximale autoris\u00e9e, ou parce que le pr\u00e9fixe chevauche une autorisation pour une origine diff\u00e9rente. Les routes invalides m\u00e9ritent une attention imm\u00e9diate car elles peuvent repr\u00e9senter un d\u00e9tournement de trafic (hijack), une configuration accidentelle ou une migration incompl\u00e8te.<\/p>\n\n\n\n Un r\u00e9sultat \u00ab Not Found \u00bb signifie qu\u2019aucune autorisation applicable n\u2019a \u00e9t\u00e9 trouv\u00e9e pour l\u2019annonce. Cela ne signifie pas automatiquement que la route est malveillante ou incorrecte. Cela signifie simplement que le RPKI ne peut pas confirmer l\u2019origine \u00e0 l\u2019aide des enregistrements actuellement publi\u00e9s. De nombreuses routes l\u00e9gitimes restent dans cet \u00e9tat car le d\u00e9tenteur des ressources n\u2019a pas cr\u00e9\u00e9 d\u2019autorisation.<\/p>\n\n\n\n La distinction entre Invalid et Not Found est importante. Invalid indique un conflit avec les donn\u00e9es d'autorisation existantes, tandis que Not Found indique une absence de donn\u00e9es d'autorisation. Les op\u00e9rateurs de r\u00e9seau traitent souvent les routes Invalid plus s\u00e9rieusement, mais leur politique de routage exacte d\u00e9pend de leur tol\u00e9rance au risque, de leurs exigences en mati\u00e8re de service et de leurs proc\u00e9dures op\u00e9rationnelles.<\/p>\n\n\n\n L'espace d'adressage IPv4 est limit\u00e9, et de nombreux pr\u00e9fixes IPv4 sont d\u00e9sormais utilis\u00e9s dans le cadre d'arrangements complexes impliquant des fournisseurs, des centres de donn\u00e9es, des plateformes cloud, des soci\u00e9t\u00e9s de location et des transactions de transfert. Ces arrangements rendent la pr\u00e9cision du routage particuli\u00e8rement importante.<\/p>\n\n\n\n Lorsqu'un pr\u00e9fixe IPv4 est transf\u00e9r\u00e9 ou d\u00e9plac\u00e9 entre organisations, l'origine BGP peut \u00e9galement changer. Si l'autorisation du pr\u00e9c\u00e9dent propri\u00e9taire reste active tandis que le nouveau propri\u00e9taire annonce le pr\u00e9fixe depuis un ASN diff\u00e9rent, la route peut devenir invalide au regard de RPKI. C'est l'une des raisons pour lesquelles la planification RPKI doit \u00eatre int\u00e9gr\u00e9e aux travaux de transfert et de migration d'IPv4.<\/p>\n\n\n\n Avant d'accepter ou d'annoncer une pr\u00e9fixe IPv4, une organisation doit confirmer quelle entit\u00e9 contr\u00f4le la ressource, quel ASN est cens\u00e9 l'originer, et si les enregistrements d'autorisation pertinents refl\u00e8tent la conception de routage pr\u00e9vue. L'enregistrement du registre public, les annonces BGP et les informations RPKI doivent \u00eatre examin\u00e9s conjointement. Le RPKI est particuli\u00e8rement utile lorsqu'une entreprise utilise plusieurs fournisseurs de transit. Une autorisation d'origine coh\u00e9rente peut prot\u00e9ger le pr\u00e9fixe ind\u00e9pendamment du fournisseur amont qui transporte la route. Cependant, l'organisation doit toujours s'assurer que tous les fournisseurs utilisent le bon ASN et la bonne longueur de pr\u00e9fixe.<\/p>\n\n\n\n Les entreprises \u00e9valuant un bloc IPv4 peuvent \u00e9galement utiliser des outils publics pour examiner les donn\u00e9es d'enregistrement actuelles, les informations sur l'ASN d'origine, le statut RPKI et la visibilit\u00e9 BGP. Ces v\u00e9rifications ne remplacent pas la diligence raisonnable contractuelle ou le screening de r\u00e9putation, mais elles peuvent r\u00e9v\u00e9ler des incoh\u00e9rences \u00e9videntes dans le routage avant une transaction ou un d\u00e9ploiement.<\/p>\n\n\n\n Les r\u00e9seaux IPv6 b\u00e9n\u00e9ficient des m\u00eames principes de validation d'origine que les r\u00e9seaux IPv4. Les pr\u00e9fixes IPv6 sont annonc\u00e9s via BGP, et une origine incorrecte peut cr\u00e9er des risques similaires, notamment des interruptions de trafic, des fuites de routes et des annonces non autoris\u00e9es.<\/p>\n\n\n\n Les d\u00e9ploiements IPv6 impliquent souvent des blocs d\u2019adresses plus larges et des plans d\u2019adressage plus structur\u00e9s. Une organisation peut recevoir une allocation \u00e9tendue et annoncer un agr\u00e9gat tout en utilisant de plus petits sous-r\u00e9seaux internes pour les sites, les centres de donn\u00e9es ou les services. L\u2019autorisation RPKI doit correspondre aux pr\u00e9fixes qui sont effectivement destin\u00e9s au routage public.<\/p>\n\n\n\n Une erreur courante consiste \u00e0 supposer que le routage IPv6 est automatiquement plus s\u00fbr en raison de l'espace d'adressage beaucoup plus vaste. La taille de cet espace ne supprime pas la n\u00e9cessit\u00e9 de v\u00e9rifier l'origine des routes. Si un pr\u00e9fixe IPv6 est annonc\u00e9 par une ASN incorrecte et qu'aucune autorisation n'existe, les autres r\u00e9seaux peuvent avoir une capacit\u00e9 limit\u00e9e \u00e0 distinguer cette annonce d'une route l\u00e9gitime. Les organisations d\u00e9ployant IPv6 devraient int\u00e9grer RPKI d\u00e8s leur conception initiale du routage plut\u00f4t que d'attendre que le r\u00e9seau soit pleinement op\u00e9rationnel. Cela facilite la coordination du plan d'adressage, de l'utilisation des ASN, des fournisseurs amont et des enregistrements d'autorisation avant que le trafic de production ne d\u00e9pende de l'annonce.<\/p>\n\n\n\n Le principal avantage du RPKI est qu'il fournit une m\u00e9thode largement reconnue pour valider l'origine d'une route BGP. Cela donne aux op\u00e9rateurs de r\u00e9seau une base plus solide pour filtrer et surveiller les annonces que les informations BGP seules.<\/p>\n\n\n\n Le RPKI peut r\u00e9duire le risque d\u2019accepter des routes manifestement incompatibles avec l\u2019autorisation d\u00e9clar\u00e9e du d\u00e9tenteur de ressources. Il permet \u00e9galement d\u2019identifier les erreurs op\u00e9rationnelles lors des migrations r\u00e9seau, des changements de fournisseur, des modifications de parrainage ASN et des transferts de ressources IPv4 ou IPv6.<\/p>\n\n\n\n Pour les d\u00e9tenteurs de ressources IP, le RPKI d\u00e9montre que l'organisation g\u00e8re activement la s\u00e9curit\u00e9 du routage de son espace d'adresses. Cela peut am\u00e9liorer la coordination avec les fournisseurs de transit et r\u00e9duire les confusions lorsque plusieurs parties sont impliqu\u00e9es dans l'annonce du m\u00eame pr\u00e9fixe.<\/p>\n\n\n\n Pour les fournisseurs de transit et les entreprises d\u2019h\u00e9bergement, la validation RPKI peut faire partie d\u2019un programme plus large de s\u00e9curit\u00e9 du routage. Les fournisseurs peuvent utiliser les r\u00e9sultats de la validation conjointement avec des filtres de pr\u00e9fixes, des donn\u00e9es IRR, une surveillance BGP et des politiques de routage internes. Aucune source de donn\u00e9es n\u2019est parfaite, mais combiner plusieurs signaux offre une meilleure visibilit\u00e9 op\u00e9rationnelle.<\/p>\n\n\n\n Le RPKI am\u00e9liore \u00e9galement la gestion des incidents. Lorsqu'une annonce BGP inattendue appara\u00eet, l'\u00e9quipe r\u00e9seau peut rapidement v\u00e9rifier si l'origine est autoris\u00e9e. Cela permet de distinguer un potentiel d\u00e9tournement (hijack) d'un changement de routage l\u00e9gitime mais non document\u00e9.<\/p>\n\n\n\n Le RPKI est pr\u00e9cieux, mais il ne constitue pas un remplacement complet de la s\u00e9curit\u00e9 du routage. Il valide la relation entre une pr\u00e9fixe et un ASN d'origine. Il ne prouve pas que chaque saut dans le chemin BGP est fiable, et il ne garantit pas que le trafic suivra la route physique la meilleure ou la plus s\u00fbre.<\/p>\n\n\n\n Le RPKI ne chiffre pas le trafic des applications. Il ne prot\u00e8ge pas les sessions web, les requ\u00eates DNS, les e-mails ou les donn\u00e9es priv\u00e9es contre l'interception. Des technologies de chiffrement telles que TLS, les VPN et des protocoles d'application s\u00e9curis\u00e9s restent n\u00e9cessaires \u00e0 ces fins.<\/p>\n\n\n\n Le RPKI ne pr\u00e9vient pas non plus automatiquement toutes les fuites de routes. Une route peut \u00eatre origin\u00e9e par le bon ASN mais toujours propag\u00e9e vers des endroits o\u00f9 elle ne devrait pas appara\u00eetre. La validation d'origine peut classer une telle route comme Valide car l'origine est autoris\u00e9e, m\u00eame si le chemin global est op\u00e9rationnellement incorrect.<\/p>\n\n\n\n Le RPKI ne prouve pas \u00e0 lui seul la propri\u00e9t\u00e9 l\u00e9gale. Les registres, les contrats, les documents de transfert et l'autorisation organisationnelle restent importants. Un r\u00e9sultat \u00ab Valide \u00bb indique que la route correspond \u00e0 une autorisation publi\u00e9e ; il ne confirme pas que toutes les exigences commerciales ou l\u00e9gales ont \u00e9t\u00e9 satisfaites.<\/p>\n\n\n\n Enfin, le RPKI ne fonctionne efficacement que lorsque les enregistrements sont maintenus. Une organisation qui cr\u00e9e des autorisations et oublie ensuite de les mettre \u00e0 jour apr\u00e8s un changement de fournisseur ou d'ASN peut provoquer sa propre panne de routage.<\/p>\n\n\n\n La premi\u00e8re \u00e9tape consiste \u00e0 cr\u00e9er un inventaire de tous les pr\u00e9fixes IPv4 et IPv6 que l'organisation poss\u00e8de, loue, parraine ou s'attend \u00e0 annoncer. Pour chaque pr\u00e9fixe, notez l'ASN d'origine pr\u00e9vu, les fournisseurs annon\u00e7ant le pr\u00e9fixe, la longueur du pr\u00e9fixe et si le pr\u00e9fixe est actuellement visible dans BGP.<\/p>\n\n\n\n L'\u00e9tape suivante consiste \u00e0 confirmer les enregistrements du registre et les ressources. L'organisation doit v\u00e9rifier que l'espace d'adressage est associ\u00e9 au bon compte, \u00e0 la bonne organisation, au LIR sponsor ou au d\u00e9tenteur de ressource. Si les donn\u00e9es publiques d'enregistrement sont obsol\u00e8tes, elles doivent \u00eatre corrig\u00e9es avant de cr\u00e9er de nouvelles autorisations de routage. Une fois l'inventaire des ressources confirm\u00e9, l'organisation peut cr\u00e9er les enregistrements d'autorisation appropri\u00e9s via son Registre Internet r\u00e9gional ou son fournisseur sponsor. Le ASN d'origine et la longueur maximale du pr\u00e9fixe doivent refl\u00e9ter le plan de routage r\u00e9el. Si plusieurs ASN sont l\u00e9gitimement utilis\u00e9s, la conception doit \u00eatre document\u00e9e soigneusement plut\u00f4t que d'ajouter des autorisations larges sans raison claire.<\/p>\n\n\n\n L'organisation doit ensuite valider les enregistrements \u00e0 l'aide d'un validateur RPKI ou d'un service de surveillance \u00e9tabli. Il est important de confirmer que les annonces pr\u00e9vues retournent un r\u00e9sultat \u00ab Valide \u00bb avant d'appliquer des politiques de filtrage strictes au trafic client ou de production.<\/p>\n\n\n\n Le d\u00e9ploiement doit \u00eatre consid\u00e9r\u00e9 comme un processus op\u00e9rationnel, et non comme une t\u00e2che de configuration ponctuelle. Les modifications apport\u00e9es aux fournisseurs en amont, au parrainage ASN, \u00e0 l'agr\u00e9gation des pr\u00e9fixes, aux emplacements des centres de donn\u00e9es et aux arrangements de transfert d'IPv4 peuvent toutes affecter les enregistrements RPKI. La surveillance et la gestion des changements doivent faire partie int\u00e9grante du flux de travail r\u00e9seau normal.<\/p>\n\n\n\n Une erreur courante consiste \u00e0 cr\u00e9er une autorisation pour le mauvais ASN d'origine. Cela se produit souvent lors d'une migration de fournisseur lorsque l'ancien ASN reste dans l'enregistrement tandis que le r\u00e9seau commence \u00e0 \u00eatre annonc\u00e9 depuis un nouvel ASN.<\/p>\n\n\n\n Une autre erreur consiste \u00e0 d\u00e9finir incorrectement la longueur maximale du pr\u00e9fixe. Si une organisation autorise uniquement un agr\u00e9gat mais annonce une route plus sp\u00e9cifique, l'annonce de cette route plus sp\u00e9cifique peut devenir invalide. Si la longueur maximale est d\u00e9finie trop largement, l'autorisation peut permettre des annonces que l'organisation n'avait pas l'intention d'autoriser.<\/p>\n\n\n\n Les donn\u00e9es obsol\u00e8tes constituent \u00e9galement un probl\u00e8me majeur. Une autorisation qui \u00e9tait correcte il y a plusieurs ann\u00e9es peut ne plus correspondre \u00e0 la conception actuelle du r\u00e9seau de l'organisation. Des examens r\u00e9guliers sont particuli\u00e8rement importants apr\u00e8s un transfert IPv4, une fusion, un changement d'LIR sponsor ou une renum\u00e9rotation ASN.<\/p>\n\n\n\n Certain organisations consid\u00e8rent \u00e9galement qu\u2019un r\u00e9sultat \u00ab Not Found \u00bb signifie qu\u2019une route doit \u00eatre rejet\u00e9e. Dans la plupart des cas, \u00ab Not Found \u00bb signifie qu\u2019il n\u2019existe aucune autorisation. Cela devrait \u00eatre trait\u00e9 conform\u00e9ment \u00e0 la politique du r\u00e9seau et au mod\u00e8le de risque, plut\u00f4t que d\u2019\u00eatre consid\u00e9r\u00e9 comme automatiquement malveillant.<\/p>\n\n\n\n Le RPKI est l\u2019un des \u00e9l\u00e9ments d\u2019une approche plus large de la s\u00e9curit\u00e9 du routage. Les bases de donn\u00e9es IRR contiennent des objets de politique de routage qui peuvent \u00eatre utilis\u00e9s par les op\u00e9rateurs de r\u00e9seau pour g\u00e9n\u00e9rer des filtres. Ces objets peuvent d\u00e9crire quel ASN est cens\u00e9 originer un pr\u00e9fixe, mais ils reposent sur un mod\u00e8le de confiance et de validation diff\u00e9rent de celui du RPKI.<\/p>\n\n\n\n La surveillance BGP montre ce qui est r\u00e9ellement annonc\u00e9 et o\u00f9 l'annonce est visible. Elle peut r\u00e9v\u00e9ler des changements de routes, des origines inattendues, des modifications de chemin et des p\u00e9riodes d'instabilit\u00e9. RPKI indique si l'origine est autoris\u00e9e, mais ne fournit pas l'historique op\u00e9rationnel complet d'une route.<\/p>\n\n\n\n Pour cette raison, RPKI, IRR et la surveillance BGP sont souvent utilis\u00e9s conjointement. Une revue de routage rigoureuse peut comparer l\u2019enregistrement du registre, l\u2019ASN attendu, l\u2019objet IRR, l\u2019autorisation RPKI et les observations BGP en temps r\u00e9el. Lorsque ces sources concordent, la position de routage est plus facile \u00e0 comprendre. Lorsqu\u2019elles divergent, il convient d\u2019investiguer les \u00e9carts avant qu\u2019une migration ou un transfert ne soit finalis\u00e9.<\/p>\n\n\n\n La maintenance du RPKI doit \u00eatre int\u00e9gr\u00e9e \u00e0 la gestion des changements r\u00e9seau. Lorsqu'une organisation pr\u00e9voit de modifier son ASN d'origine, son fournisseur en amont, sa longueur de pr\u00e9fixe ou son lieu d'annonce, elle devrait examiner l'effet attendu sur les enregistrements d'autorisation avant que le changement ne soit effectu\u00e9.<\/p>\n\n\n\n La surveillance doit alerter l\u2019\u00e9quipe r\u00e9seau lorsqu\u2019un pr\u00e9fixe attendu devient invalide, qu\u2019une autorisation est supprim\u00e9e ou qu\u2019une origine jamais vue auparavant appara\u00eet. Les alertes sont plus utiles lorsqu\u2019elles incluent le pr\u00e9fixe concern\u00e9, l\u2019ASN de l\u2019origine, l\u2019\u00e9tat actuel de validation et l\u2019heure du changement.<\/p>\n\n\n\n Les organisations devraient \u00e9galement documenter qui est responsable de la gestion du RPKI. Dans certaines entreprises, l'\u00e9quipe d'ing\u00e9nierie r\u00e9seau g\u00e8re les enregistrements. Dans d'autres, le LIR sponsorisant, le prestataire de services g\u00e9r\u00e9s ou l'\u00e9quipe de s\u00e9curit\u00e9 s'en charge. Une propri\u00e9t\u00e9 claire permet d'\u00e9viter les retards lors des incidents et des migrations de fournisseurs.<\/p>\n\n\n\n Une r\u00e9vision p\u00e9riodique peut \u00eatre planifi\u00e9e mensuellement, trimestriellement ou chaque fois qu'un changement majeur de routage se produit. La fr\u00e9quence appropri\u00e9e d\u00e9pend de la taille et de la complexit\u00e9 du r\u00e9seau. L'important est que le RPKI soit consid\u00e9r\u00e9 comme une partie vivante du syst\u00e8me de routage.<\/p>\n\n\n\n Non. Un r\u00e9seau peut utiliser BGP sans publier d'enregistrements d'autorisation RPKI. Cependant, RPKI est de plus en plus recommand\u00e9 car il offre aux autres r\u00e9seaux un moyen de valider l'origine des routes annonc\u00e9es par l'organisation.<\/p>\n\n\n\n Le RPKI n'emp\u00eache pas physiquement un autre r\u00e9seau d'\u00e9mettre une annonce BGP non autoris\u00e9e. Il permet aux r\u00e9seaux r\u00e9cepteurs d'identifier les annonces qui ne correspondent pas \u00e0 l'autorisation publi\u00e9e. Les r\u00e9seaux peuvent ensuite rejeter, d\u00e9pr\u00e9f\u00e9rer ou surveiller ces routes conform\u00e9ment \u00e0 leurs politiques.<\/p>\n\n\n\n No. RPKI supports both IPv4 and IPv6 prefixes. The same basic origin validation concept applies to both address families.<\/p>\n\n\n\n Pas n\u00e9cessairement. \u00ab Not Found \u00bb signifie qu\u2019aucune autorisation applicable n\u2019a \u00e9t\u00e9 trouv\u00e9e. Cela ne prouve pas que la route est incorrecte. Toutefois, les d\u00e9tenteurs de ressources devraient publier des autorisations pr\u00e9cises afin que d\u2019autres r\u00e9seaux puissent valider leurs annonces.<\/p>\n\n\n\n Non. RPKI et IRR ont des objectifs diff\u00e9rents et sont souvent utilis\u00e9s conjointement. Certains fournisseurs utilisent ces deux syst\u00e8mes lors de la cr\u00e9ation de filtres de routage et de l\u2019examen des annonces.<\/p>\n\n\n\n Une erreur d'enregistrement peut entra\u00eener la classification d'une annonce BGP l\u00e9gitime comme invalide. L'organisation doit examiner l'ASN d'origine, la longueur du pr\u00e9fixe et la longueur maximale, puis mettre \u00e0 jour l'autorisation avant d'appliquer un filtrage strict des routes.<\/p>\n\n\n\n RPKI is an important improvement to the security of Internet routing. It gives IP resource holders a way to publish cryptographic authorization for the ASNs that are allowed to originate their IPv4 and IPv6 prefixes. It also gives network operators a practical method for checking whether BGP announcements match that authorization.<\/p>\n\n\n\n Le concept est simple : le d\u00e9tenteur d\u2019un pr\u00e9fixe IP publie l\u2019origine pr\u00e9vue, et les autres r\u00e9seaux valident l\u2019annonce par rapport \u00e0 ces informations. Le r\u00e9sultat peut aider \u00e0 identifier les routes autoris\u00e9es, les routes conflictuelles, ainsi que les routes pour lesquelles aucune autorisation n\u2019a \u00e9t\u00e9 publi\u00e9e. RPKI ne remplace pas une ing\u00e9nierie r\u00e9seau rigoureuse, la gestion des registres, les enregistrements IRR, la surveillance BGP ou la diligence raisonnable contractuelle. Il ne garantit pas non plus que chaque route soit s\u00fbre ou que tous les incidents de routage soient \u00e9vit\u00e9s. Sa valeur r\u00e9side dans l\u2019ajout d\u2019un signal d\u2019autorisation fiable au processus de routage.<\/p>\n\n\n\n Pour les organisations g\u00e9rant un ASN, un espace IPv4, un espace IPv6 ou plusieurs fournisseurs en amont, le RPKI doit \u00eatre int\u00e9gr\u00e9 \u00e0 la conception normale du routage. Avant d'annoncer une pr\u00e9fixe, de changer de fournisseur, de finaliser un transfert IPv4 ou de d\u00e9ployer un nouveau r\u00e9seau IPv6, il convient d'examiner conjointement les donn\u00e9es du registre, l'ASN d'origine, les enregistrements d'autorisation et l'\u00e9tat BGP en direct. Ce processus simple peut pr\u00e9venir des erreurs \u00e9vitables et am\u00e9liorer la fiabilit\u00e9 globale de la connectivit\u00e9 Internet.<\/p>\n\n\n\n <\/p>","protected":false},"excerpt":{"rendered":" The Internet depends on a global routing system that allows networks, data centers, cloud platforms, Internet service providers, and enterprises to exchange traffic. One of the most important protocols in this system is the Border Gateway Protocol, commonly known as BGP. BGP allows independent networks to announce which IP address ranges they can reach. Without […]<\/p>\n","protected":false},"author":1,"featured_media":1088,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_seopress_titles_title":"What Is RPKI? A Beginner\u2019s Guide to Secure BGP Routing","_seopress_titles_desc":"Learn what RPKI is, how it protects BGP routing, why it matters for IPv4 and IPv6 networks, and how businesses can start using route origin validation.","_seopress_robots_index":"","_seopress_robots_follow":"","_seopress_robots_imageindex":"","_seopress_robots_snippet":"","_seopress_robots_primary_cat":"","_seopress_robots_breadcrumbs":"","_seopress_robots_freeze_modified_date":"","_seopress_robots_custom_modified_date":"","_seopress_robots_canonical":"","_seopress_social_fb_title":"","_seopress_social_fb_desc":"","_seopress_social_fb_img":"","_seopress_social_fb_img_attachment_id":0,"_seopress_social_fb_img_width":0,"_seopress_social_fb_img_height":0,"_seopress_social_twitter_title":"","_seopress_social_twitter_desc":"","_seopress_social_twitter_img":"","_seopress_social_twitter_img_attachment_id":0,"_seopress_social_twitter_img_width":0,"_seopress_social_twitter_img_height":0,"_seopress_redirections_value":"","_seopress_redirections_enabled":"","_seopress_redirections_enabled_regex":"","_seopress_redirections_logged_status":"","_seopress_redirections_param":"","_seopress_redirections_type":0,"_seopress_analysis_target_kw":"","footnotes":""},"categories":[1],"tags":[],"class_list":["post-1086","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-article"],"_links":{"self":[{"href":"https:\/\/junglelabs.uk\/fr\/wp-json\/wp\/v2\/posts\/1086","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/junglelabs.uk\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/junglelabs.uk\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/junglelabs.uk\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/junglelabs.uk\/fr\/wp-json\/wp\/v2\/comments?post=1086"}],"version-history":[{"count":3,"href":"https:\/\/junglelabs.uk\/fr\/wp-json\/wp\/v2\/posts\/1086\/revisions"}],"predecessor-version":[{"id":1091,"href":"https:\/\/junglelabs.uk\/fr\/wp-json\/wp\/v2\/posts\/1086\/revisions\/1091"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/junglelabs.uk\/fr\/wp-json\/wp\/v2\/media\/1088"}],"wp:attachment":[{"href":"https:\/\/junglelabs.uk\/fr\/wp-json\/wp\/v2\/media?parent=1086"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/junglelabs.uk\/fr\/wp-json\/wp\/v2\/categories?post=1086"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/junglelabs.uk\/fr\/wp-json\/wp\/v2\/tags?post=1086"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}\/24<\/code> or an IPv6 \/48<\/code>. Un ASN identifie un r\u00e9seau ind\u00e9pendant qui participe au routage BGP.<\/p>\n\n\n\nPourquoi le BGP a-t-il besoin de RPKI ?<\/h2>\n\n\n\n
Comment fonctionne le RPKI ?<\/h2>\n\n\n\n
Qu'est-ce qu'une autorisation d'origine de route ?<\/h2>\n\n\n\n
192.0.2.0\/24<\/code> et utiliser ASN AS64500<\/code> pour l'annoncer. L'organisation peut cr\u00e9er une autorisation qui permet AS64500<\/code> provenir 192.0.2.0\/24<\/code>Si un autre ASN annonce ult\u00e9rieurement le m\u00eame pr\u00e9fixe, les r\u00e9seaux effectuant une validation RPKI peuvent d\u00e9tecter que l'origine ne correspond pas \u00e0 l'autorisation.<\/p>\n\n\n\nQue signifient Valide, Non valide et Introuvable ?<\/h2>\n\n\n\n
Why RPKI Matters for IPv4 Networks<\/h2>\n\n\n\n
Why RPKI Matters for IPv6 Networks<\/h2>\n\n\n\n
Quels sont les principaux avantages du RPKI ?<\/h2>\n\n\n\n
Ce que le RPKI ne peut pas faire<\/h2>\n\n\n\n
Comment une entreprise peut-elle commencer \u00e0 utiliser le RPKI ?<\/h2>\n\n\n\n
Erreurs courantes lors du d\u00e9ploiement de RPKI<\/h2>\n\n\n\n
RPKI, IRR et surveillance BGP<\/h2>\n\n\n\n
Comment le RPKI doit-il \u00eatre maintenu ?<\/h2>\n\n\n\n
Questions fr\u00e9quemment pos\u00e9es sur le RPKI<\/h2>\n\n\n\n
Le RPKI est-il requis pour utiliser BGP ?<\/h3>\n\n\n\n
Le RPKI emp\u00eache-t-il un d\u00e9tournement BGP ?<\/h3>\n\n\n\n
Le RPKI est-il uniquement destin\u00e9 \u00e0 l'IPv4 ?<\/h3>\n\n\n\n
Un r\u00e9sultat RPKI \u00ab Not Found \u00bb est-il dangereux ?<\/h3>\n\n\n\n
Le RPKI peut-il remplacer un objet de route IRR ?<\/h3>\n\n\n\n
Que se passe-t-il si un enregistrement RPKI est incorrect ?<\/h3>\n\n\n\n