Internet opiera się na globalnym systemie routingu, który umożliwia sieciom, centrów danych, platformom chmurowym, dostawcom usług internetowym (ISP) oraz przedsiębiorstwom wymianę ruchu. Jednym z najważniejszych protokołów w tym systemie jest Border Gateway Protocol, powszechnie znany jako BGP. Protokół BGP pozwala niezależnym sieciom ogłaszać zakresy adresów IP, do których mogą dotrzeć. Bez BGP współczesny Internet nie byłby w stanie połączyć milionów sieci rozproszonych między różnymi krajami i dostawcami. Jednak BGP został pierwotnie zaprojektowany do wymiany informacji o trasach, opierając się głównie na zaufaniu. Gdy sieć ogłasza prefiks IP, inne sieci mogą przyjąć to ogłoszenie bez silnej metody kryptograficznej potwierdzającej, czy dana sieć faktycznie ma uprawnienia do korzystania z tego prefiksu. Powoduje to problem bezpieczeństwa. Nieprawidłowe lub złośliwe ogłoszenie trasy może przekierować ruch, zakłócić usługi lub narazić dane na niepożądane ścieżki.
RPKI został opracowany w celu poprawy bezpieczeństwa routingu w Internecie. Nazwa ta jest skrótem od Resource Public Key Infrastructure (Zasobowa Infrastruktura Klucza Publicznego). Zapewnia ona sposób powiązania zasobów adresowych Internetu, takich jak prefiksy IPv4 i IPv6, z numerem systemu autonomicznego (ASN) uprawnionym do ich inicjowania. Operatorzy sieci mogą następnie wykorzystać tę informację do określenia, czy ogłoszenie BGP jest zgodne z zarejestrowanymi uprawnieniami.
Dla firm obsługujących własne ASN, zarządzających zasobami IP, korzystających z wielu dostawców upstream lub planujących ogłaszanie przestrzeni IPv4 lub IPv6, zrozumienie RPKI staje się coraz bardziej istotne. RPKI nie zastępuje BGP ani nie rozwiązuje wszystkich problemów routingu. Zamiast tego zapewnia dodatkową warstwę weryfikacji, która pomaga sieciom podejmować bezpieczniejsze decyzje routingowe.
Czym jest RPKI?
RPKI to ramy bezpieczeństwa, które wykorzystują certyfikaty cyfrowe i kryptograficzne zapisy do weryfikacji relacji między prefiksem adresu IP a początkowym ASN. Prefiks IP to blok adresów, taki jak IPv4 /24 or an IPv6 /48. ASN identyfikuje niezależną sieć, która uczestniczy w routingu BGP.
Zasadnicza idea jest prosta. Organizacja upoważniona do korzystania z prefixu IP publikuje podpisane oświadczenie wskazujące, który ASN (Autonomous System Number) ma prawo inicjować ten prefix w BGP. Sieci otrzymujące ogłoszenia BGP mogą porównać takie ogłoszenie z opublikowanymi informacjami. Jeśli ogłoszenie jest zgodne, może być traktowane jako autoryzowane. Jeśli kłóci się z opublikowanymi informacjami, ogłoszenie może zostać uznane za podejrzane lub nieprawidłowe.
Rejestry używane do wyrażania tej autoryzacji są powszechnie nazywane Autoryzacjami Początków Trasy, czyli ROA. ROA identyfikuje prefiks IP, autoryzowany numer systemu autonomicznego (ASN) pochodzenia oraz – w odpowiednich przypadkach – maksymalną długość prefiksu, którą ASN jest uprawniony ogłaszać. Mimo że ROA stanowią ważny element RPKI, niniejszy artykuł koncentruje się na szerszym celu stosowania RPKI oraz na tym, jak poprawia ona bezpieczeństwo trasowania.
RPKI jest generalnie obsługiwany przez regionalne rejestry adresów internetowych, w tym RIPE NCC, ARIN, APNIC, LACNIC i AFRINIC. W zależności od regionu i typu zasobów, posiadacz zasobów lub organizacja sponsorująca może tworzyć i zarządzać odpowiednimi rekordami autoryzacji za pośrednictwem systemów rejestru.
Dlaczego BGP potrzebuje RPKI?
BGP został stworzony w czasach, gdy Internet był mniejszy, a liczba uczestniczących sieci była ograniczona. Jego głównym celem było wymiana informacji o osiągalności między systemami autonomicznymi. BGP może wybierać ścieżki na podstawie polityk, długości ścieżki, preferencji lokalnej i innych atrybutów, ale sam protokół nie weryfikuje automatycznie, czy ASN jest uprawniony do inicjowania określonego prefiksu IP.
Oznacza to, że błąd konfiguracji może czasami wyglądać podobnie do złośliwego ogłoszenia. Jeśli sieć przypadkowo ogłosi przedział adresowy należący do innej organizacji, inne sieci mogą początkowo zaakceptować tę trasę. Skutkiem może być kierowanie ruchu do niewłaściwego miejsca, utrata łączności lub niestabilne routowanie.
Dobrym przykładem jest wyciek trasy lub przejęcie prefiksu. W przypadku przejęcia ASN ogłasza prefiks, którym nie zarządza lub który nie powinien inicjować. Ogłoszenie może być bardziej szczegółowe niż legalna trasa lub może dotrzeć do wystarczającej liczby sieci, aby wpłynąć na ruch. Nawet gdy incydent jest przypadkowy, wpływ operacyjny może być znaczący.
RPKI pomaga dostarczając operatorom sieci zewnętrzne źródło informacji o autoryzacji. Zamiast polegać wyłącznie na treści ogłoszenia BGP, router lub system bezpieczeństwa routingu może sprawdzić, czy początkowy ASN został autoryzowany przez posiadacza przestrzeni adresowej. Nie zapobiega to każdemu incydentowi routingu, ale ułatwia identyfikację i filtrowanie jednej ważnej klasy błędów routingu.
Jak działa RPKI?
RPKI działa na podstawie łańcucha zaufania. Zasoby numerów Internetu są zarządzane przez Regionalne Rejestry Internetowe, a te rejestry stanowią podstawę dla odpowiednich certyfikatów cyfrowych. Posiadacz zasobu IP może utworzyć rekord autoryzacji wskazujący, który ASN może inicjować prefix.
Podpisywane rekordy są gromadzone w repozytoriach, do których dostęp zapewnia oprogramowanie zabezpieczające sieci. Operator sieci uruchamia walidator RPKI lub korzysta z usługi wykonującej walidację w jego imieniu. Walidator pobiera dostępne rekordy, weryfikuje ich podpisy, sprawdza, czy są aktualne, oraz generuje zwalidowany zbiór danych.
Zweryfikowany zestaw danych jest następnie podłączany do infrastruktury routingu sieci. Gdy trasa BGP zostanie odebrana, router lub system polityk routingu porównuje ogłaszany prefiks i pochodzący numer systemu autonomicznego (ASN) z zweryfikowanymi informacjami RPKI. Wynik jest zazwyczaj klasyfikowany jako „Ważny”, „Nieważny” lub „Nie znaleziono”.
Ten proces odbywa się oddzielnie od samej sesji BGP. BGP nadal wymienia informacje o trasach, podczas gdy RPKI dostarcza dodatkowe dane autoryzacyjne, które mogą być wykorzystane w polityce routingu. Sieć może zdecydować, jak obsłużyć każdy wynik walidacji. Na przykład może odrzucać nieprawidłowe trasy, przypisywać im niższy priorytet lub generować alerty do dalszej analizy.
Proces jest zaprojektowany tak, aby był rozproszony i skalowalny. Duże sieci mogą weryfikować wiele tysięcy prefiksów bez konieczności ustanawiania przez każdą organizację bezpośredniej relacji z każdym innym siecią. Jest to ważne, ponieważ Internet obejmuje ogromną liczbę niezależnych operatorów o różnych politykach i środowiskach technicznych.
Czym jest autoryzacja pochodzenia trasy?
Autoryzacja pochodzenia trasy to podpisany rekord, który wskazuje, które ASN jest upoważnione do inicjowania konkretnego prefiksu IP. Jest to jedna z najbardziej widocznych i praktycznych części wdrożenia RPKI.
Na przykład organizacja może kontrolować prefiks IPv4 192.0.2.0/24 i użyj ASN AS64500 ogłoszeni. Organizacja może stworzyć upoważnienie, które umożliwia AS64500 pochodzić 192.0.2.0/24Jeśli inny ASN ogłosi później ten sam prefiks, sieci wykonujące walidację RPKI mogą wykryć, że źródło nie zgadza się z autoryzacją.
Autoryzacja może również określać maksymalną długość prefiksu. Jest to istotne, ponieważ sieć może chcieć zezwolić na ogłaszanie przez ASN źródłowy dokładnie agregowanego prefiksu, ale nie mniejszych, bardziej szczegółowych prefiksów. Starannie dobrana maksymalna długość może zmniejszyć ryzyko, że nieoczekiwane ogłoszenie zostanie uznane za autoryzowane.
Konfiguracja ROA wymaga uwagi, ponieważ nieprawidłowy rekord może sprawić, że legalna trasa będzie postrzegana jako nieważna. Jeśli organizacja zmieni swojego dostawcę transzy, przeniesie prefiks do innego ASN, podzieli ogłoszenie na bardziej szczegółowe prefiksy lub przekaże zasoby innemu posiadaczowi, rekordy autoryzacyjne mogą wymagać aktualizacji. Przestarzały rekord może spowodować awarię, nawet jeśli sama konfiguracja BGP jest poprawna.
W przyszłym artykule można wyjaśnić, jak utworzyć ROA, jak wybrać maksymalną długość oraz jak aktualizować autoryzacje podczas migracji zasobów ASN lub IP.
Co oznaczają wartości: poprawna, niepoprawna i nie znaleziono?
Wynik „Valid” oznacza, że ogłoszenie BGP jest objęte odpowiednią autoryzacją RPKI oraz że ASN pochodzenia ma uprawnienie do ogłaszania prefiksu. Zazwyczaj wskazuje to na zgodność ogłoszonego prefiksu, długości prefiksu oraz ASN pochodzenia z opublikowaną autoryzacją.
Nieprawidłowy wynik oznacza, że istnieje autoryzacja, ale ogłoszenie BGP nie jest z nią zgodne. Może to wynikać z faktu, że numer nadawcy (ASN) źródła nie jest autoryzowany, ogłoszenie jest bardziej szczegółowe niż dozwolona maksymalna długość prefiksu lub prefiks nakłada się na autoryzację dla innego źródła. Nieprawidłowe trasy wymagają natychmiastowej uwagi, ponieważ mogą reprezentować przejęcie ruchu (hijack), przypadkową błędną konfigurację lub niekompletną migrację.
Wynik „Not Found” oznacza, że nie znaleziono żadnej odpowiedniej autoryzacji dla ogłoszenia. Nie oznacza to automatycznie, że trasa jest złośliwa lub niepoprawna. Oznacza po prostu, że RPKI nie może potwierdzić pochodzenia na podstawie obecnie opublikowanych rekordów. Wiele legalnych tras pozostaje w stanie „Not Found”, ponieważ posiadacz zasobów nie utworzył autoryzacji.
Różnica między stanem „Nieprawidłowa” a „Nie znaleziono” jest istotna. Stan „Nieprawidłowa” wskazuje na konflikt z istniejącymi danymi autoryzacyjnymi, podczas gdy stan „Nie znaleziono” oznacza brak danych autoryzacyjnych. Operatorzy sieci zazwyczaj traktują nieprawidłowe trasy poważniej, jednak ich dokładna polityka routingu zależy od tolerancji ryzyka, wymagań usługowych oraz procedur operacyjnych.
Why RPKI Matters for IPv4 Networks
Przestrzeń adresowa IPv4 jest ograniczona, a wiele prefiksów IPv4 jest obecnie wykorzystywanych w złożonych układach obejmujących dostawców, centra danych, platformy chmurowe, firmy leasingowe oraz transakcje transferowe. Takie rozwiązania sprawiają, że dokładność routingu ma szczególne znaczenie.
Gdy prefiks IPv4 jest przenoszony lub przekazywany między organizacjami, źródło BGP może ulec zmianie. Jeśli autoryzacja poprzedniego właściciela pozostaje aktywna, a nowy właściciel ogłasza prefiks z innego ASN, trasa może stać się nieprawidłowa w ramach RPKI. Jest to jeden z powodów, dla których planowanie RPKI powinno być uwzględnione w pracach związanych z transferem i migracją adresów IPv4.
Zanim organizacja zaakceptuje lub ogłosi prefix IPv4, powinna potwierdzić, która jednostka kontroluje zasób, który ASN jest oczekiwany jako jego źródło oraz czy odpowiednie rekordy autoryzacji odzwierciedlają planowany projekt routingu. Należy wspólnie przeanalizować publiczny rekord rejestracyjny, ogłoszenia BGP oraz informacje RPKI. RPKI jest szczególnie przydatny, gdy firma korzysta z wielu dostawców tranzytowych. Spójna autoryzacja pochodzenia może chronić prefix niezależnie od tego, który dostawca nadrzędny przekazuje trasę. Jednak organizacja nadal musi upewnić się, że wszyscy dostawcy używają prawidłowego ASN i długości prefixu.
Firmy oceniające blok adresów IPv4 mogą również korzystać z publicznych narzędzi do przeglądania aktualnych danych rejestracyjnych, informacji o pochodzącym AS-ie, statusu RPKI oraz widoczności w BGP. Te kontrole nie zastępują due diligence umownego ani weryfikacji reputacji, ale mogą ujawnić oczywiste niespójności routingu przed transakcją lub wdrożeniem.
Why RPKI Matters for IPv6 Networks
Sieci IPv6 korzystają z tych samych zasad walidacji pochodzenia co sieci IPv4. Prefiksy IPv6 są ogłaszane za pośrednictwem BGP, a niepoprawne pochodzenie może stwarzać podobne ryzyka, w tym przerwy w ruchu, wycieki tras oraz nieautoryzowane ogłoszenia.
Wdrożenia IPv6 często obejmują większe bloki adresowe i bardziej uporządkowane plany adresowania. Organizacja może otrzymać szeroki przydział i ogłaszać agregat, używając mniejszych wewnętrznych podsieci dla lokalizacji, centrów danych lub usług. Autoryzacja RPKI powinna odpowiadać prefiksom, które faktycznie mają być routowane publicznie.
Powszechnym błędem jest założenie, że routowanie IPv6 jest automatycznie bezpieczniejsze ze względu na znacznie większą przestrzeń adresową. Rozmiar przestrzeni adresowej nie eliminuje potrzeby weryfikacji pochodzenia trasy. Jeśli prefiks IPv6 jest ogłaszany przez nieprawidłowy ASN i nie istnieje autoryzacja, inne sieci mogą mieć ograniczone możliwości rozróżnienia tego ogłoszenia od legalnej trasy. Organizacje wdrażające IPv6 powinny uwzględnić RPKI we wczesnym etapie projektowania routingu, zamiast czekać do momentu pełnego uruchomienia sieci. Ułatwia to koordynację planu adresowego, wykorzystania ASN, dostawców upstreamowych oraz rekordów autoryzacyjnych przed rozpoczęciem ruchu produkcyjnego zależnego od ogłoszenia.
Jakie są główne korzyści z RPKI?
Główną zaletą RPKI jest to, że zapewnia ona szeroko uznawaną metodę weryfikacji pochodzenia trasy BGP. Daje to operatorom sieci silniejsze podstawy do filtrowania i monitorowania ogłoszeń niż sama informacja BGP.
RPKI może zmniejszyć ryzyko akceptacji tras, które są wyraźnie niespójne z autoryzacją właściciela zasobów. Może również pomóc w identyfikacji błędów operacyjnych podczas migracji sieci, zmian dostawcy, zmian sponsorowania numeru AS oraz transferów zasobów IPv4 lub IPv6.
Dla posiadaczy zasobów IP, RPKI demonstruje, że organizacja aktywnie zarządza bezpieczeństwem routingu swojej przestrzeni adresowej. Może to poprawić koordynację z dostawcami tranzytowymi i zmniejszyć nieporozumienia, gdy w ogłaszaniu tego samego prefiksu uczestniczy wiele podmiotów.
Dla dostawców usług tranzytowych oraz firm hostingowych walidacja RPKI może stać się elementem szerszego programu bezpieczeństwa routingu. Dostawcy mogą wykorzystywać wyniki walidacji w połączeniu z filtrami prefiksów, danymi IRR, monitorowaniem BGP oraz wewnętrznymi politykami routingu. Żadne pojedyncze źródło danych nie jest doskonałe, ale połączenie kilku sygnałów zapewnia lepszą widoczność operacyjną.
RPKI poprawia również reakcję na incydenty. Gdy pojawia się nieoczekiwana deklaracja BGP, zespół sieciowy może szybko sprawdzić, czy źródło jest autoryzowane. Pomaga to odróżnić potencjalne przejęcie trasy od legalnej, ale niezdokumentowanej zmiany w trasowaniu.
Czego RPKI nie może zrobić
RPKI jest wartościowy, ale nie stanowi kompletnego zamiennika dla bezpieczeństwa routingu. Waliduje on relację między prefiksem a początkowym ASN. Nie dowodzi jednak, że każdy przystanek w ścieżce BGP jest godny zaufania, ani nie gwarantuje, że ruch będzie podążał najlepszą lub najbezpieczniejszą fizyczną trasą.
RPKI nie szyfruje ruchu aplikacji. Nie chroni sesji internetowych, zapytań DNS, poczty e-mail ani danych prywatnych przed przechwyceniem. Do tych celów nadal wymagane są technologie szyfrowania, takie jak TLS, VPN-y oraz bezpieczne protokoły aplikacji.
RPKI nie zapobiega również automatycznie każdemu wyciekowi tras. Trasa może być ogłaszana przez właściwy ASN, ale nadal propagowana do miejsc, gdzie nie powinna się pojawiać. Walidacja źródła może zaklasyfikować taką trasę jako ważną (Valid), ponieważ jej źródło jest autoryzowane, mimo że szersza ścieżka jest operacyjnie błędna.
RPKI nie dowodzi samoistnie prawnego prawa własności. Rejestry, umowy, dokumenty transferu oraz upoważnienie organizacyjne pozostają istotne. Wynik „Ważny” oznacza, że trasa odpowiada opublikowanemu autoryzacji; nie potwierdza to jednak, że spełnione zostały wszystkie wymogi komercyjne lub prawne.
Ostatecznie RPKI działa skutecznie tylko wtedy, gdy rekordy są utrzymywane. Organizacja, która tworzy autoryzacje, a następnie zapomina je zaktualizować po zmianie dostawcy lub numeru ASN, może spowodować własną awarię routingu.
Jak firma może zacząć korzystać z RPKI?
Pierwszym krokiem jest utworzenie inwentaryzacji wszystkich prefiksów IPv4 i IPv6, które organizacja posiada, wynajmuje, sponsoruje lub oczekuje ogłaszania. Dla każdego prefiksu należy odnotować planowany numer autonomii (ASN) źródła, dostawców ogłaszających, długość prefiksu oraz to, czy dany prefiks jest obecnie widoczny w BGP.
Następnym krokiem jest potwierdzenie rekordów rejestracyjnych i zasobowych. Organizacja powinna zweryfikować, czy przestrzeń adresowa jest powiązana z właściwym kontem, organizacją, sponsorowanym LIR lub posiadaczem zasobu. Jeśli dane publiczne rejestracji są nieaktualne, należy je skorygować przed utworzeniem nowych autoryzacji routingu. Po potwierdzeniu inwentaryzacji zasobów organizacja może utworzyć odpowiednie rekordy autoryzacyjne za pośrednictwem swojego Regionalnego Rejestru Internetowego (RIR) lub dostarczającego dostawcę. Początkowy numer ASN oraz maksymalna długość prefixu powinny odzwierciedlać rzeczywisty plan routingu. Jeśli używanych jest kilka legalnie uzasadnionych ASN-ów, projekt powinien być dokładnie udokumentowany, zamiast dodawania szerokich autoryzacji bez wyraźnego powodu.
Następnie organizacja powinna zweryfikować rekordy za pomocą walidatora RPKI lub ustalonej usługi monitoringu. Ważne jest potwierdzenie, że zamierzone ogłaszania zwracają wynik „Valid” przed zastosowaniem rygorystycznych polityk filtrowania dla ruchu klientów lub produkcyjnego.
Wdrożenie powinno być traktowane jako proces operacyjny, a nie jednorazowe zadanie konfiguracyjne. Zmiany w dostawcach zewnętrznych, sponsorowaniu numerów ASN, agregacji prefiksów, lokalizacjach centrów danych oraz aranżacjach transferu adresów IPv4 mogą wpływać na rekordy RPKI. Monitorowanie i zarządzanie zmianami powinny być częścią normalnego procesu sieciowego.
Typowe błędy w wdrożeniach RPKI
Jednym z częstych błędów jest utworzenie autoryzacji dla niewłaściwego ASN pochodzenia. Często dzieje się tak podczas migracji dostawcy, gdy stary ASN pozostaje w rekordzie, podczas gdy sieć zaczyna ogłaszać trasę z nowego ASN.
Kolejnym błędem jest nieprawidłowe ustawienie maksymalnej długości prefiksu. Jeśli organizacja autoryzuje tylko agregat, ale ogłasza bardziej szczegółową trasę, ogłoszenie bardziej szczegółowej trasy może zostać uznane za Nieprawidłowe. Jeśli maksymalna długość zostanie ustawiona zbyt szeroko, autoryzacja może zezwolić na ogłoszenia, których organizacja nie zamierzała dopuścić.
Zdezaktualizowane rekordy stanowią również poważny problem. Autoryzacja, która była poprawna kilka lat temu, może już nie odpowiadać bieżącemu projektowi sieci organizacji. Regularne przeglądy są szczególnie ważne po transferze IPv4, fuzji, zmianie sponsorującego LIR lub renumeracji ASN.
Niektóre organizacje zakładają również, że wynik „Not Found” oznacza, że trasa powinna zostać odrzucona. W większości przypadków „Not Found” oznacza, że nie istnieje żadna autoryzacja. Powinna być obsługiwana zgodnie z polityką sieci i modelem ryzyka, a nie traktowana jako automatycznie złośliwa.
RPKI, IRR i monitorowanie BGP
RPKI jest jednym z elementów szerszego podejścia do bezpieczeństwa routingu. Bazy danych IRR zawierają obiekty polityki routingu, które mogą być wykorzystywane przez operatorów sieci do generowania filtrów. Obiekty te mogą opisywać, który ASN powinien originate prefix, ale używają innego modelu zaufania i walidacji niż RPKI.
Monitorowanie BGP pokazuje, co jest faktycznie ogłaszane i gdzie to ogłoszenie jest widoczne. Może ujawnić zmiany w trasach, nieoczekiwane źródła, zmiany ścieżek oraz okresy niestabilności. RPKI wskazuje, czy źródło jest autoryzowane, ale nie dostarcza pełnej historii operacyjnej trasy.
Z tego powodu RPKI, IRR oraz monitorowanie BGP są często stosowane razem. Dokładna analiza routingu może porównać rekord w rejestrze, oczekiwany numer ASN, obiekt IRR, autoryzację RPKI oraz aktualne obserwacje BGP. Gdy te źródła się zgadzają, pozycja routingu jest łatwiejsza do zrozumienia. Gdy występują rozbieżności, należy zbadać przyczyny niezgodności przed ukończeniem migracji lub transferu.
Jak należy utrzymywać RPKI?
Konserwacja RPKI powinna być powiązana z zarządzaniem zmianami w sieci. Gdy organizacja planuje zmianę swojego AS origin, dostawcy upstream, długości prefiksu lub lokalizacji ogłoszenia, powinna ona przeanalizować oczekiwany wpływ na rekordy autoryzacji przed wprowadzeniem zmiany.
Monitorowanie powinno powiadamiać zespół sieciowy, gdy oczekiwany prefiks stanie się nieprawidłowy (Invalid), gdy zostanie usunięte autoryzacja lub gdy pojawi się wcześniej niewidoczny origin. Alerty są najbardziej przydatne, gdy zawierają informacje o dotkniętym prefiksie, numerze ASN originu, aktualnym stanie walidacji oraz czasie zmiany.
Organizacje powinny również dokumentować, kto jest odpowiedzialny za zarządzanie RPKI. W niektórych firmach rekordami zarządza zespół inżynierii sieciowej. W innych zajmują się nimi sponsorowane LIR, dostawca usług zarządzanych lub zespół ds. bezpieczeństwa. Jasne określenie odpowiedzialności pomaga zapobiegać opóźnieniom w trakcie incydentów i migracji między dostawcami.
Okresowe przeglądy mogą być planowane co miesiąc, kwartał lub po każdej istotnej zmianie w trasach. Odpowiednia częstotliwość zależy od wielkości i złożoności sieci. Ważne jest, aby RPKI było traktowane jako żywa część systemu routingu.
Najczęściej zadawane pytania dotyczące RPKI
Czy RPKI jest wymagane do korzystania z BGP?
Nie. Sieć może korzystać z BGP bez publikowania rekordów autoryzacji RPKI. Jednakże RPKI jest coraz bardziej zalecane, ponieważ daje innym sieciom możliwość weryfikacji pochodzenia tras ogłaszanych przez organizację.
Czy RPKI zapobiega przejęciu trasy BGP?
RPKI nie zapobiega fizycznie temu, aby inna sieć wysyłała nieautoryzowane ogłoszenia BGP. Pozwala to odbierającym sieciom identyfikować ogłoszenia, które nie są zgodne z opublikowanymi autoryzacjami. Sieci mogą następnie odrzucać, degradować priorytet lub monitorować te trasy zgodnie ze swoimi politykami.
Czy RPKI dotyczy tylko IPv4?
No. RPKI supports both IPv4 and IPv6 prefixes. The same basic origin validation concept applies to both address families.
Czy wynik „RPKI nie znaleziony” jest niebezpieczny?
Niekoniecznie. Komunikat „Not Found” oznacza, że nie znaleziono żadnej odpowiedniej autoryzacji. Nie dowodzi to, że trasa jest błędna. Jednak właściciele zasobów powinni rozważyć publikowanie dokładnych autoryzacji, aby inne sieci mogły zweryfikować ich ogłoszenia.
Czy RPKI może zastąpić obiekt trasy IRR?
Nie. RPKI i IRR służą różnym celom i są często używane razem. Niektórzy dostawcy korzystają z obu systemów podczas budowania filtrów tras i przeglądania ogłoszeń.
Co się dzieje, gdy rekord RPKI jest nieprawidłowy?
Nieprawidłowy rekord może spowodować, że legalna reklama BGP zostanie sklasyfikowana jako nieprawidłowa. Organizacja powinna sprawdzić numer ASN źródła, długość prefiksu oraz maksymalną długość, a następnie zaktualizować autoryzację przed zastosowaniem rygorystycznego filtrowania tras.
RPKI is an important improvement to the security of Internet routing. It gives IP resource holders a way to publish cryptographic authorization for the ASNs that are allowed to originate their IPv4 and IPv6 prefixes. It also gives network operators a practical method for checking whether BGP announcements match that authorization.
Koncepcja jest prosta: posiadacz prefixu IP publikuje zamierzony źródłowy adres, a inne sieci weryfikują ogłoszenie względem tych informacji. Wynik może pomóc w identyfikacji autoryzowanych tras, konfliktujących tras oraz tras, dla których nie opublikowano żadnej autoryzacji. RPKI nie zastępuje starannego inżynierii sieciowej, zarządzania rejestracjami, rekordów IRR, monitorowania BGP ani umownej należytej staranności. Nie gwarantuje również, że każda trasa jest bezpieczna lub że każdy incydent routingu zostanie zapobiegany. Jego wartość wynika z dodania niezawodnego sygnału autoryzacji do procesu routingu.
Dla organizacji zarządzających ASN, przestrzenią adresową IPv4, przestrzenią adresową IPv6 lub wieloma dostawcami upstreamowymi, RPKI powinno być uwzględnione w standardowym projekcie routingu. Przed ogłoszeniem prefixu, zmianą dostawcy, finalizacją transferu adresu IPv4 lub wdrożeniem nowej sieci IPv6 należy przeanalizować dane rejestru, oryginalny ASN, rekordy autoryzacji oraz aktualny stan BGP łącznie. Ten prosty proces może zapobiec unikającym błędom i poprawić ogólną niezawodność połączeń internetowych.