Internet si basa su un sistema di instradamento globale che consente a reti, data center, piattaforme cloud, provider di servizi Internet e aziende di scambiare traffico. Uno dei protocolli più importanti in questo sistema è il Border Gateway Protocol, comunemente noto come BGP. BGP permette alle reti indipendenti di annunciare gli intervalli di indirizzi IP che possono raggiungere. Senza BGP, l'Internet moderno non sarebbe in grado di collegare milioni di reti attraverso diversi paesi e fornitori. Tuttavia, BGP è stato originariamente progettato per lo scambio di informazioni di instradamento basato principalmente sulla fiducia. Quando una rete annuncia un prefisso IP, altre reti potrebbero accettare l'annuncio senza disporre di un forte metodo crittografico per confermare se quella rete sia effettivamente autorizzata a utilizzare il prefisso. Questo crea un problema di sicurezza. Un annuncio di percorso errato o malevolo può reindirizzare il traffico, interrompere i servizi o esporre i dati a percorsi indesiderati.
Il RPKI è stato sviluppato per migliorare la sicurezza del routing su Internet. Il nome sta per Resource Public Key Infrastructure (Infrastruttura a chiave pubblica delle risorse). Fornisce un modo per collegare le risorse numeriche di Internet, come i prefissi IPv4 e IPv6, con il numero di sistema autonomo autorizzato a originarli. Gli operatori di rete possono quindi utilizzare queste informazioni per determinare se un annuncio BGP è coerente con l'autorizzazione registrata.
Per le aziende che gestiscono il proprio ASN, amministrano risorse IP, utilizzano più provider upstream o prevedono di annunciare spazi IPv4 o IPv6, comprendere RPKI sta diventando sempre più importante. RPKI non sostituisce BGP e non risolve ogni problema di routing. Fornisce invece un ulteriore livello di verifica che aiuta le reti a prendere decisioni di routing più sicure.
Cos'è RPKI?
RPKI è un framework di sicurezza che utilizza certificati digitali e registri crittografici per verificare la relazione tra un prefisso di indirizzi IP e un ASN di origine. Un prefisso IP è un blocco di indirizzi, come un IPv4 /24 or an IPv6 /48. Un ASN identifica una rete indipendente che partecipa al routing BGP.
L'idea di base è semplice. Un'organizzazione autorizzata a utilizzare un prefisso IP pubblica una dichiarazione firmata che identifica quale ASN (Autonomous System Number) ha il permesso di originare tale prefisso in BGP. Le reti che ricevono annunci BGP possono confrontare l'annuncio con le informazioni pubblicate. Se l'annuncio corrisponde, può essere considerato autorizzato. Se entra in conflitto con le informazioni, l'annuncio potrebbe essere considerato sospetto o non valido.
I record utilizzati per esprimere questa autorizzazione sono comunemente chiamati Autorizzazioni di origine del percorso, o ROA. Un ROA identifica un prefisso IP, un ASN di origine autorizzato e, quando applicabile, la lunghezza massima del prefisso che l'ASN è autorizzato ad annunciare. Sebbene i ROA siano una parte importante di RPKI, questo articolo si concentra sullo scopo più ampio di RPKI e su come migliora la sicurezza del routing.
Il RPKI è generalmente gestito tramite i Registri Internet Regionali, tra cui RIPE NCC, ARIN, APNIC, LACNIC e AFRINIC. A seconda della regione e del tipo di risorsa, il titolare delle risorse o l’organizzazione sponsor può creare e gestire le relative autorizzazioni attraverso i sistemi del registro.
Perché BGP ha bisogno di RPKI?
Il BGP è stato creato in un periodo in cui Internet era più piccolo e il numero di reti partecipanti era limitato. Il suo scopo principale era lo scambio di informazioni di raggiungibilità tra sistemi autonomi. Il BGP può selezionare percorsi in base a criteri, lunghezza del percorso, preferenza locale e altri attributi, ma il protocollo stesso non verifica automaticamente se un ASN è autorizzato ad originare un determinato prefisso IP.
Questo significa che un errore di configurazione può talvolta apparire simile a un annuncio malevolo. Se una rete annuncia accidentalmente un prefisso appartenente ad un'altra organizzazione, le altre reti potrebbero inizialmente accettare la rotta. Il risultato può essere il traffico diretto verso la destinazione sbagliata, la perdita di connettività o un routing instabile.
Un esempio ben noto è un'interruzione di rotta o un hijack di prefisso. In un hijack, un ASN annuncia un prefisso che non controlla o che non dovrebbe originare. L'annuncio può essere più specifico rispetto alla rotta legittima, oppure può raggiungere abbastanza reti da influenzare il traffico. Anche quando l'incidente è accidentale, l'impatto operativo può essere significativo.
Il RPKI aiuta fornendo agli operatori di rete una fonte esterna di informazioni di autorizzazione. Invece di fare affidamento esclusivamente sul contenuto di un annuncio BGP, un router o un sistema di sicurezza del routing può verificare se l'ASN di origine è stato autorizzato dal titolare dello spazio degli indirizzi. Questo non previene ogni incidente di routing, ma rende più facile identificare e filtrare una classe importante di errori di routing.
Come funziona RPKI?
Il RPKI funziona attraverso una catena di fiducia. Le risorse numeriche Internet sono gestite dai Registri Internet Regionali, e questi registri forniscono la base per i certificati digitali pertinenti. Il titolare di una risorsa IP può creare un record di autorizzazione che indica quale ASN può originare il prefisso.
I record firmati vengono raccolti in repository accessibili tramite software di sicurezza di routing. Un operatore di rete esegue un validatore RPKI o utilizza un servizio che effettua la convalida per suo conto. Il validatore scarica i record disponibili, verifica le loro firme, controlla se sono aggiornati e produce un dataset convalidato.
Il dataset convalidato viene quindi collegato all'infrastruttura di instradamento della rete. Quando viene ricevuta una rotta BGP, il router o il sistema di policy di routing confronta il prefisso annunciato e l'ASN di origine con le informazioni RPKI convalidate. Il risultato viene normalmente classificato come Valido, Non valido o Non trovato.
Questo processo avviene separatamente dalla sessione BGP stessa. BGP continua a scambiare informazioni di routing, mentre RPKI fornisce dati di autorizzazione aggiuntivi che possono essere utilizzati nella politica di routing. Una rete può decidere come gestire ciascun risultato della convalida. Ad esempio, può rifiutare le route Invalid, assegnare loro una preferenza inferiore o generare avvisi per un'ulteriore revisione.
Il processo è progettato per essere distribuito e scalabile. Le grandi reti possono convalidare migliaia di prefissi senza richiedere a ogni organizzazione di stabilire una relazione diretta con ogni altra rete. Questo è importante perché Internet include un enorme numero di operatori indipendenti con politiche e ambienti tecnici diversi.
Cos'è un'autorizzazione di origine del percorso?
Un'autorizzazione di origine del percorso (Route Origin Authorization) è un record firmato che indica quale ASN è autorizzato a originare un determinato prefisso IP. È una delle parti più visibili e pratiche della distribuzione di RPKI.
Ad esempio, un'organizzazione può controllare il prefisso IPv4 192.0.2.0/24 e utilizza ASN AS64500 per annunciarlo. L'organizzazione può creare un'autorizzazione che consenta AS64500 originare 192.0.2.0/24. Se un altro ASN annuncia successivamente lo stesso prefisso, le reti che eseguono la convalida RPKI possono rilevare che l'origine non corrisponde all'autorizzazione.
L'autorizzazione può anche specificare una lunghezza massima del prefisso. Questo è importante perché una rete potrebbe voler consentire all'ASN di origine di annunciare il prefisso aggregato esatto, ma non prefissi più specifici e di dimensione inferiore. Una lunghezza massima selezionata con cura può ridurre il rischio che un annuncio imprevisto venga considerato autorizzato.
La configurazione ROA richiede attenzione poiché un record errato può far apparire non valida una rotta legittima. Se un'organizzazione cambia il proprio fornitore di transito, sposta un prefisso a un ASN diverso, suddivide un annuncio in prefissi più specifici o trasferisce le risorse a un altro titolare, i record di autorizzazione potrebbero dover essere aggiornati. Un record obsoleto può causare un'interruzione del servizio anche quando la configurazione BGP è corretta.
Un articolo futuro può spiegare come creare un ROA, come scegliere una lunghezza massima e come aggiornare le autorizzazioni durante una migrazione di risorse ASN o IP.
Cosa significano Valido, Non valido e Non trovato?
Un risultato Valid indica che un annuncio BGP è coperto da un'autorizzazione RPKI applicabile e che l'ASN di origine è autorizzato ad annunciare il prefisso. In genere, ciò significa che il prefisso annunciato, la lunghezza del prefisso e l'ASN di origine sono coerenti con l'autorizzazione pubblicata.
Un risultato non valido indica che esiste un'autorizzazione, ma l'annuncio BGP non è conforme ad essa. Ciò può accadere perché l'ASN di origine non è autorizzato, perché l'annuncio è più specifico della lunghezza massima consentita o perché il prefisso si sovrappone a un'autorizzazione per un'origine diversa. Le rotte non valide meritano attenzione immediata poiché potrebbero rappresentare un hijack, una configurazione accidentale o una migrazione incompleta.
Un risultato "Not Found" indica che non è stata trovata alcuna autorizzazione applicabile per l'annuncio. Non significa automaticamente che il percorso sia dannoso o errato. Significa semplicemente che RPKI non può confermare l'origine utilizzando i record attualmente pubblicati. Molti percorsi legittimi rimangono "Not Found" perché il titolare delle risorse non ha creato un'autorizzazione.
La distinzione tra Invalid e Not Found è importante. Invalid indica un conflitto con i dati di autorizzazione esistenti, mentre Not Found indica l'assenza di dati di autorizzazione. Gli operatori di rete spesso trattano le route Invalid più seriamente, ma la loro esatta politica di instradamento dipende dalla loro tolleranza al rischio, dai requisiti del servizio e dalle procedure operative.
Why RPKI Matters for IPv4 Networks
Lo spazio degli indirizzi IPv4 è limitato e molti prefissi IPv4 sono attualmente utilizzati in complesse configurazioni che coinvolgono provider, data center, piattaforme cloud, società di leasing e transazioni di trasferimento. Queste configurazioni rendono la precisione del routing particolarmente importante.
Quando un prefisso IPv4 viene trasferito o spostato tra organizzazioni, l'origine BGP può anche cambiare. Se l'autorizzazione del precedente proprietario rimane attiva mentre il nuovo proprietario annuncia il prefisso da un ASN diverso, la rotta può diventare RPKI Invalid. Questo è uno dei motivi per cui la pianificazione RPKI dovrebbe essere inclusa nei lavori di trasferimento e migrazione IPv4.
Prima di accettare o annunciare un prefisso IPv4, un'organizzazione dovrebbe confermare quale entità controlla la risorsa, quale ASN è previsto per l'origine e se i record di autorizzazione pertinenti riflettono il progetto di instradamento pianificato. Il record del registro pubblico, gli annunci BGP e le informazioni RPKI dovrebbero essere esaminati congiuntamente. RPKI è particolarmente utile quando un'azienda utilizza più fornitori di transito. Un'autorizzazione di origine coerente può proteggere il prefisso indipendentemente dal fornitore upstream che trasporta la rotta. Tuttavia, l'organizzazione deve comunque assicurarsi che tutti i fornitori utilizzino l'ASN corretto e la lunghezza del prefisso appropriata.
Le aziende che valutano un blocco IPv4 possono anche utilizzare strumenti pubblici per esaminare i dati di registrazione attuali, le informazioni sull'ASN di origine, lo stato RPKI e la visibilità BGP. Questi controlli non sostituiscono la due diligence contrattuale o la valutazione della reputazione, ma possono rivelare evidenti incongruenze nel routing prima di una transazione o di un'implementazione.
Why RPKI Matters for IPv6 Networks
Le reti IPv6 beneficiano degli stessi principi di convalida dell'origine delle reti IPv4. I prefissi IPv6 vengono annunciati tramite BGP e un'origine errata può creare rischi simili, tra cui interruzioni del traffico, fughe di rotte e annunci non autorizzati.
Le implementazioni di IPv6 spesso coinvolgono blocchi di indirizzi più ampi e piani di indirizzamento più strutturati. Un'organizzazione può ricevere un'allocazione ampia ed annunciare un aggregato, utilizzando al contempo sotto-reti interne più piccole per siti, data center o servizi. L'autorizzazione RPKI dovrebbe corrispondere ai prefissi effettivamente destinati al routing pubblico.
Un errore comune è assumere che il routing IPv6 sia automaticamente più sicuro perché IPv6 dispone di uno spazio degli indirizzi molto più ampio. La dimensione dello spazio degli indirizzi non elimina la necessità di verificare l'origine del percorso. Se un prefisso IPv6 viene annunciato da un ASN errato e non esiste alcuna autorizzazione, altre reti potrebbero avere capacità limitate di distinguere tale annuncio da una rotta legittima. Le organizzazioni che implementano IPv6 dovrebbero includere RPKI nella loro progettazione iniziale del routing anziché attendere fino a quando la rete non è completamente operativa. Ciò facilita il coordinamento del piano degli indirizzi, dell'utilizzo degli ASN, dei provider upstream e dei record di autorizzazione prima che il traffico in produzione dipenda dall'annuncio.
Quali sono i principali vantaggi del RPKI?
Il principale vantaggio del RPKI è che fornisce un metodo ampiamente riconosciuto per convalidare l'origine di una rotta BGP. Ciò offre agli operatori di rete una base più solida per il filtraggio e il monitoraggio delle annunciazioni rispetto alle sole informazioni BGP.
Il RPKI può ridurre il rischio di accettare route che sono chiaramente incoerenti con l'autorizzazione dichiarata dal titolare delle risorse. Può anche aiutare a identificare errori operativi durante le migrazioni di rete, i cambiamenti di provider, le modifiche alla sponsorizzazione degli ASN e i trasferimenti di risorse IPv4 o IPv6.
Per i titolari di risorse IP, RPKI dimostra che l'organizzazione sta gestendo attivamente la sicurezza del routing del proprio spazio di indirizzi. Ciò può migliorare il coordinamento con i fornitori di transito e ridurre le confusioni quando più parti sono coinvolte nell'annuncio dello stesso prefisso.
Per i fornitori di servizi di transito e le aziende di hosting, la convalida RPKI può diventare parte di un programma più ampio di sicurezza del routing. I fornitori possono utilizzare i risultati della convalida insieme ai filtri dei prefissi, ai dati dell'IRR, al monitoraggio BGP e alle politiche di routing interne. Nessuna singola fonte di dati è perfetta, ma combinare diversi segnali offre una migliore visibilità operativa.
Anche il RPKI migliora la risposta agli incidenti. Quando appare un annuncio BGP inaspettato, il team di rete può verificare rapidamente se l'origine è autorizzata. Questo può aiutare a distinguere un potenziale hijack da una modifica di routing legittima ma non documentata.
Cosa non può fare il RPKI
Il RPKI è prezioso, ma non rappresenta una sostituzione completa per la sicurezza del routing. Convalida la relazione tra un prefisso e un ASN di origine. Non dimostra che ogni hop nel percorso BGP sia affidabile e non garantisce che il traffico segua il percorso fisico migliore o più sicuro.
Il RPKI non crittografa il traffico delle applicazioni. Non protegge le sessioni web, le query DNS, l'email o i dati privati dall'intercettazione. Per questi scopi sono ancora necessarie tecnologie di crittografia come TLS, VPN e protocolli di applicazione sicuri.
Anche il RPKI non impedisce automaticamente ogni tipo di route leak. Una rotta può essere originata dall'ASN corretto ma comunque propagata in luoghi in cui non dovrebbe apparire. La validazione dell'origine potrebbe classificare tale rotta come Valid poiché l'origine è autorizzata, anche se il percorso più ampio è operativamente errato.
Il RPKI non dimostra di per sé la proprietà legale. I registri del registry, i contratti, i documenti di trasferimento e l'autorizzazione organizzativa rimangono importanti. Un risultato Valid indica che il percorso corrisponde a un'autorizzazione pubblicata; ciò non conferma che tutti i requisiti commerciali o legali siano stati soddisfatti.
Infine, il RPKI funziona in modo efficace solo quando i record vengono mantenuti. Un'organizzazione che crea autorizzazioni e poi dimentica di aggiornarle dopo un cambiamento del provider o dell'ASN può causare un'interruzione del routing da sola.
Come può un'azienda iniziare a utilizzare RPKI?
Il primo passo consiste nel creare un inventario di tutti i prefissi IPv4 e IPv6 posseduti, in affitto, sponsorizzati o previsti per l'annuncio dall'organizzazione. Per ogni prefisso, registrare l'ASN di origine previsto, i provider che lo annunciano, la lunghezza del prefisso e se il prefisso è attualmente visibile in BGP.
Il passo successivo consiste nel confermare i record del registro e delle risorse. L'organizzazione dovrebbe verificare che lo spazio degli indirizzi sia associato all'account, all'organizzazione, al LIR sponsor o al titolare delle risorse corretto. Se i dati di registrazione pubblici sono obsoleti, devono essere corretti prima di creare nuove autorizzazioni di instradamento. Dopo aver confermato l'inventario delle risorse, l'organizzazione può creare le opportune registrazioni di autorizzazione tramite il proprio Registro Internet Regionale o il provider sponsor. Il ASN di origine e la lunghezza massima del prefisso dovrebbero riflettere il piano di instradamento effettivo. Se vengono utilizzati più ASN in modo legittimo, il progetto dovrebbe essere documentato accuratamente invece di aggiungere autorizzazioni generiche senza una ragione chiara.
L'organizzazione dovrebbe quindi convalidare i record utilizzando un validatore RPKI o un servizio di monitoraggio consolidato. È importante confermare che gli annunci previsti restituiscano un risultato Valid prima di applicare politiche di filtraggio rigorose al traffico dei clienti o di produzione.
Il deployment dovrebbe essere considerato un processo operativo, non una configurazione una tantum. Le modifiche ai fornitori upstream, allo sponsor dell'ASN, all'aggregazione dei prefissi, alle ubicazioni dei data center e agli accordi di trasferimento IPv4 possono tutti influenzare i record RPKI. Il monitoraggio e la gestione delle modifiche dovrebbero far parte del normale flusso di lavoro di rete.
Errori comuni nel deployment di RPKI
Un errore comune è creare un'autorizzazione per l'ASN di origine errato. Questo accade spesso durante una migrazione del provider, quando l'ASN precedente rimane nel record mentre la rete inizia ad annunciare da un nuovo ASN.
Un altro errore consiste nell'impostare erroneamente la lunghezza massima del prefisso. Se un'organizzazione autorizza solo un aggregato ma annuncia una rotta più specifica, l'annuncio della rotta più specifica può diventare non valido. Se la lunghezza massima viene impostata troppo ampia, l'autorizzazione potrebbe consentire annunci che l'organizzazione non intendeva permettere.
I record obsoleti rappresentano anch'essi un problema significativo. Un'autorizzazione che era corretta diversi anni fa potrebbe non corrispondere più al design attuale della rete dell'organizzazione. I controlli regolari sono particolarmente importanti dopo un trasferimento IPv4, una fusione, un cambiamento del LIR sponsor o una rinumerazione ASN.
Alcune organizzazioni assumono anche che un risultato "Not Found" significhi che un percorso debba essere rifiutato. Nella maggior parte dei casi, "Not Found" significa che non esiste alcuna autorizzazione. Dovrebbe essere gestito in base alla politica della rete e al modello di rischio, piuttosto che essere trattato come automaticamente dannoso.
RPKI, IRR e monitoraggio BGP
Il RPKI è una parte di un approccio più ampio alla sicurezza del routing. I database IRR contengono oggetti di policy di routing che possono essere utilizzati dagli operatori di rete per generare filtri. Questi oggetti possono descrivere quale ASN dovrebbe originare un prefisso, ma utilizzano un modello di fiducia e validazione diverso da quello del RPKI.
Il monitoraggio BGP mostra ciò che viene effettivamente annunciato e dove tale annuncio è visibile. Può rivelare cambiamenti di rotta, origini impreviste, variazioni del percorso e periodi di instabilità. RPKI indica se l'origine è autorizzata, ma non fornisce la cronologia operativa completa di una rotta.
Per questo motivo, RPKI, IRR e il monitoraggio BGP sono spesso utilizzati insieme. Una revisione robusta del routing può confrontare il record del registro, l'ASN previsto, l'oggetto IRR, l'autorizzazione RPKI e le osservazioni BGP in tempo reale. Quando queste fonti concordano, la posizione di routing è più facile da comprendere. Quando non concordano, la discrepanza dovrebbe essere indagata prima che una migrazione o un trasferimento venga completato.
Come dovrebbe essere mantenuto il RPKI?
La manutenzione del RPKI dovrebbe essere collegata alla gestione dei cambiamenti di rete. Quando un'organizzazione prevede di modificare il proprio ASN di origine, il fornitore upstream, la lunghezza del prefisso o la posizione di annuncio, dovrebbe valutare l'effetto previsto sui record di autorizzazione prima che il cambiamento venga effettuato.
Il monitoraggio dovrebbe avvisare il team di rete quando un prefisso previsto diventa Invalid, quando viene rimossa un'autorizzazione o quando appare un'origine precedentemente non rilevata. Gli avvisi sono più utili quando includono il prefisso interessato, l'ASN dell'origine, lo stato di convalida corrente e l'ora della modifica.
Le organizzazioni dovrebbero anche documentare chi è responsabile della gestione del RPKI. In alcune aziende, il team di ingegneria di rete gestisce i record. In altre, lo LIR sponsorizzante, il fornitore di servizi gestiti o il team di sicurezza si occupa di essi. Una chiara definizione delle responsabilità aiuta a prevenire ritardi durante gli incidenti e le migrazioni dei provider.
Una revisione periodica può essere programmata mensilmente, trimestralmente o ogni volta che si verifica un cambiamento significativo nel routing. La frequenza appropriata dipende dalle dimensioni e dalla complessità della rete. Il punto importante è che RPKI dovrebbe essere considerato come una parte viva del sistema di routing.
Domande frequenti su RPKI
No, RPKI is not required to use BGP.
No. Una rete può utilizzare BGP senza pubblicare record di autorizzazione RPKI. Tuttavia, RPKI è sempre più consigliato perché fornisce ad altre reti un modo per convalidare l'origine delle route annunciate dall'organizzazione.
Il RPKI previene un hijack BGP?
Il RPKI non impedisce fisicamente a un'altra rete di inviare un annuncio BGP non autorizzato. Consente alle reti riceventi di identificare gli annunci che non corrispondono alle autorizzazioni pubblicate. Le reti possono quindi rifiutare, de-preferire o monitorare tali route in base alle proprie politiche.
Il RPKI è solo per IPv4?
No. RPKI supports both IPv4 and IPv6 prefixes. The same basic origin validation concept applies to both address families.
Un risultato RPKI "Not Found" è pericoloso?
Non necessariamente. "Not Found" significa che non è stata trovata alcuna autorizzazione applicabile. Non dimostra che il percorso sia errato. Tuttavia, i gestori delle risorse dovrebbero considerare la pubblicazione di autorizzazioni accurate affinché altre reti possano convalidare le loro annunci.
Il RPKI può sostituire un oggetto route dell'IRR?
No. RPKI e IRR hanno scopi diversi e spesso vengono utilizzati insieme. Alcuni provider utilizzano entrambi i sistemi durante la creazione di filtri di routing e la revisione delle annunciazioni.
Cosa succede se un record RPKI è errato?
Un record errato può causare la classificazione di un annuncio BGP legittimo come non valido. L'organizzazione dovrebbe rivedere l'ASN di origine, la lunghezza del prefisso e la lunghezza massima, quindi aggiornare l'autorizzazione prima di applicare il filtro delle rotte in modo rigoroso.
RPKI is an important improvement to the security of Internet routing. It gives IP resource holders a way to publish cryptographic authorization for the ASNs that are allowed to originate their IPv4 and IPv6 prefixes. It also gives network operators a practical method for checking whether BGP announcements match that authorization.
Il concetto è semplice: il titolare di un prefisso IP pubblica l'origine prevista, e le altre reti convalidano l'annuncio in base a tali informazioni. Il risultato può aiutare a identificare le rotte autorizzate, le rotte in conflitto e le rotte per cui non è stata pubblicata alcuna autorizzazione. RPKI non sostituisce una attenta ingegneria di rete, la gestione dei registri, i record IRR, il monitoraggio BGP o la dovuta diligenza contrattuale. Inoltre, non garantisce che ogni rotta sia sicura o che ogni incidente di routing venga prevenuto. Il suo valore deriva dall'aggiungere un segnale di autorizzazione affidabile al processo di instradamento.
Per le organizzazioni che gestiscono un ASN, uno spazio IPv4, uno spazio IPv6 o più provider upstream, il RPKI dovrebbe essere integrato nel normale design di routing. Prima di annunciare un prefisso, cambiare provider, completare un trasferimento IPv4 o distribuire una nuova rete IPv6, è necessario esaminare congiuntamente i dati del registro, l'ASN di origine, i record di autorizzazione e lo stato BGP in tempo reale. Questo semplice processo può prevenire errori evitabili e migliorare l'affidabilità complessiva della connettività Internet.