Internet opiera si\u0119 na globalnym systemie routingu, kt\u00f3ry umo\u017cliwia sieciom, centr\u00f3w danych, platformom chmurowym, dostawcom us\u0142ug internetowym (ISP) oraz przedsi\u0119biorstwom wymian\u0119 ruchu. Jednym z najwa\u017cniejszych protoko\u0142\u00f3w w tym systemie jest Border Gateway Protocol, powszechnie znany jako BGP. Protok\u00f3\u0142 BGP pozwala niezale\u017cnym sieciom og\u0142asza\u0107 zakresy adres\u00f3w IP, do kt\u00f3rych mog\u0105 dotrze\u0107. Bez BGP wsp\u00f3\u0142czesny Internet nie by\u0142by w stanie po\u0142\u0105czy\u0107 milion\u00f3w sieci rozproszonych mi\u0119dzy r\u00f3\u017cnymi krajami i dostawcami. Jednak BGP zosta\u0142 pierwotnie zaprojektowany do wymiany informacji o trasach, opieraj\u0105c si\u0119 g\u0142\u00f3wnie na zaufaniu. Gdy sie\u0107 og\u0142asza prefiks IP, inne sieci mog\u0105 przyj\u0105\u0107 to og\u0142oszenie bez silnej metody kryptograficznej potwierdzaj\u0105cej, czy dana sie\u0107 faktycznie ma uprawnienia do korzystania z tego prefiksu. Powoduje to problem bezpiecze\u0144stwa. Nieprawid\u0142owe lub z\u0142o\u015bliwe og\u0142oszenie trasy mo\u017ce przekierowa\u0107 ruch, zak\u0142\u00f3ci\u0107 us\u0142ugi lub narazi\u0107 dane na niepo\u017c\u0105dane \u015bcie\u017cki.<\/p>\n\n\n\n
RPKI zosta\u0142 opracowany w celu poprawy bezpiecze\u0144stwa routingu w Internecie. Nazwa ta jest skr\u00f3tem od Resource Public Key Infrastructure (Zasobowa Infrastruktura Klucza Publicznego). Zapewnia ona spos\u00f3b powi\u0105zania zasob\u00f3w adresowych Internetu, takich jak prefiksy IPv4 i IPv6, z numerem systemu autonomicznego (ASN) uprawnionym do ich inicjowania. Operatorzy sieci mog\u0105 nast\u0119pnie wykorzysta\u0107 t\u0119 informacj\u0119 do okre\u015blenia, czy og\u0142oszenie BGP jest zgodne z zarejestrowanymi uprawnieniami.<\/p>\n\n\n\n
Dla firm obs\u0142uguj\u0105cych w\u0142asne ASN, zarz\u0105dzaj\u0105cych zasobami IP, korzystaj\u0105cych z wielu dostawc\u00f3w upstream lub planuj\u0105cych og\u0142aszanie przestrzeni IPv4 lub IPv6, zrozumienie RPKI staje si\u0119 coraz bardziej istotne. RPKI nie zast\u0119puje BGP ani nie rozwi\u0105zuje wszystkich problem\u00f3w routingu. Zamiast tego zapewnia dodatkow\u0105 warstw\u0119 weryfikacji, kt\u00f3ra pomaga sieciom podejmowa\u0107 bezpieczniejsze decyzje routingowe.<\/p>\n\n\n\n
RPKI to ramy bezpiecze\u0144stwa, kt\u00f3re wykorzystuj\u0105 certyfikaty cyfrowe i kryptograficzne zapisy do weryfikacji relacji mi\u0119dzy prefiksem adresu IP a pocz\u0105tkowym ASN. Prefiks IP to blok adres\u00f3w, taki jak IPv4 Zasadnicza idea jest prosta. Organizacja upowa\u017cniona do korzystania z prefixu IP publikuje podpisane o\u015bwiadczenie wskazuj\u0105ce, kt\u00f3ry ASN (Autonomous System Number) ma prawo inicjowa\u0107 ten prefix w BGP. Sieci otrzymuj\u0105ce og\u0142oszenia BGP mog\u0105 por\u00f3wna\u0107 takie og\u0142oszenie z opublikowanymi informacjami. Je\u015bli og\u0142oszenie jest zgodne, mo\u017ce by\u0107 traktowane jako autoryzowane. Je\u015bli k\u0142\u00f3ci si\u0119 z opublikowanymi informacjami, og\u0142oszenie mo\u017ce zosta\u0107 uznane za podejrzane lub nieprawid\u0142owe.<\/p>\n\n\n\n Rejestry u\u017cywane do wyra\u017cania tej autoryzacji s\u0105 powszechnie nazywane Autoryzacjami Pocz\u0105tk\u00f3w Trasy, czyli ROA. ROA identyfikuje prefiks IP, autoryzowany numer systemu autonomicznego (ASN) pochodzenia oraz \u2013 w odpowiednich przypadkach \u2013 maksymaln\u0105 d\u0142ugo\u015b\u0107 prefiksu, kt\u00f3r\u0105 ASN jest uprawniony og\u0142asza\u0107. Mimo \u017ce ROA stanowi\u0105 wa\u017cny element RPKI, niniejszy artyku\u0142 koncentruje si\u0119 na szerszym celu stosowania RPKI oraz na tym, jak poprawia ona bezpiecze\u0144stwo trasowania.<\/p>\n\n\n\n RPKI jest generalnie obs\u0142ugiwany przez regionalne rejestry adres\u00f3w internetowych, w tym RIPE NCC, ARIN, APNIC, LACNIC i AFRINIC. W zale\u017cno\u015bci od regionu i typu zasob\u00f3w, posiadacz zasob\u00f3w lub organizacja sponsoruj\u0105ca mo\u017ce tworzy\u0107 i zarz\u0105dza\u0107 odpowiednimi rekordami autoryzacji za po\u015brednictwem system\u00f3w rejestru.<\/p>\n\n\n\n BGP zosta\u0142 stworzony w czasach, gdy Internet by\u0142 mniejszy, a liczba uczestnicz\u0105cych sieci by\u0142a ograniczona. Jego g\u0142\u00f3wnym celem by\u0142o wymiana informacji o osi\u0105galno\u015bci mi\u0119dzy systemami autonomicznymi. BGP mo\u017ce wybiera\u0107 \u015bcie\u017cki na podstawie polityk, d\u0142ugo\u015bci \u015bcie\u017cki, preferencji lokalnej i innych atrybut\u00f3w, ale sam protok\u00f3\u0142 nie weryfikuje automatycznie, czy ASN jest uprawniony do inicjowania okre\u015blonego prefiksu IP.<\/p>\n\n\n\n Oznacza to, \u017ce b\u0142\u0105d konfiguracji mo\u017ce czasami wygl\u0105da\u0107 podobnie do z\u0142o\u015bliwego og\u0142oszenia. Je\u015bli sie\u0107 przypadkowo og\u0142osi przedzia\u0142 adresowy nale\u017c\u0105cy do innej organizacji, inne sieci mog\u0105 pocz\u0105tkowo zaakceptowa\u0107 t\u0119 tras\u0119. Skutkiem mo\u017ce by\u0107 kierowanie ruchu do niew\u0142a\u015bciwego miejsca, utrata \u0142\u0105czno\u015bci lub niestabilne routowanie.<\/p>\n\n\n\n Dobrym przyk\u0142adem jest wyciek trasy lub przej\u0119cie prefiksu. W przypadku przej\u0119cia ASN og\u0142asza prefiks, kt\u00f3rym nie zarz\u0105dza lub kt\u00f3ry nie powinien inicjowa\u0107. Og\u0142oszenie mo\u017ce by\u0107 bardziej szczeg\u00f3\u0142owe ni\u017c legalna trasa lub mo\u017ce dotrze\u0107 do wystarczaj\u0105cej liczby sieci, aby wp\u0142yn\u0105\u0107 na ruch. Nawet gdy incydent jest przypadkowy, wp\u0142yw operacyjny mo\u017ce by\u0107 znacz\u0105cy.<\/p>\n\n\n\n RPKI pomaga dostarczaj\u0105c operatorom sieci zewn\u0119trzne \u017ar\u00f3d\u0142o informacji o autoryzacji. Zamiast polega\u0107 wy\u0142\u0105cznie na tre\u015bci og\u0142oszenia BGP, router lub system bezpiecze\u0144stwa routingu mo\u017ce sprawdzi\u0107, czy pocz\u0105tkowy ASN zosta\u0142 autoryzowany przez posiadacza przestrzeni adresowej. Nie zapobiega to ka\u017cdemu incydentowi routingu, ale u\u0142atwia identyfikacj\u0119 i filtrowanie jednej wa\u017cnej klasy b\u0142\u0119d\u00f3w routingu.<\/p>\n\n\n\n RPKI dzia\u0142a na podstawie \u0142a\u0144cucha zaufania. Zasoby numer\u00f3w Internetu s\u0105 zarz\u0105dzane przez Regionalne Rejestry Internetowe, a te rejestry stanowi\u0105 podstaw\u0119 dla odpowiednich certyfikat\u00f3w cyfrowych. Posiadacz zasobu IP mo\u017ce utworzy\u0107 rekord autoryzacji wskazuj\u0105cy, kt\u00f3ry ASN mo\u017ce inicjowa\u0107 prefix.<\/p>\n\n\n\n Podpisywane rekordy s\u0105 gromadzone w repozytoriach, do kt\u00f3rych dost\u0119p zapewnia oprogramowanie zabezpieczaj\u0105ce sieci. Operator sieci uruchamia walidator RPKI lub korzysta z us\u0142ugi wykonuj\u0105cej walidacj\u0119 w jego imieniu. Walidator pobiera dost\u0119pne rekordy, weryfikuje ich podpisy, sprawdza, czy s\u0105 aktualne, oraz generuje zwalidowany zbi\u00f3r danych.<\/p>\n\n\n\n Zweryfikowany zestaw danych jest nast\u0119pnie pod\u0142\u0105czany do infrastruktury routingu sieci. Gdy trasa BGP zostanie odebrana, router lub system polityk routingu por\u00f3wnuje og\u0142aszany prefiks i pochodz\u0105cy numer systemu autonomicznego (ASN) z zweryfikowanymi informacjami RPKI. Wynik jest zazwyczaj klasyfikowany jako \u201eWa\u017cny\u201d, \u201eNiewa\u017cny\u201d lub \u201eNie znaleziono\u201d.<\/p>\n\n\n\n Ten proces odbywa si\u0119 oddzielnie od samej sesji BGP. BGP nadal wymienia informacje o trasach, podczas gdy RPKI dostarcza dodatkowe dane autoryzacyjne, kt\u00f3re mog\u0105 by\u0107 wykorzystane w polityce routingu. Sie\u0107 mo\u017ce zdecydowa\u0107, jak obs\u0142u\u017cy\u0107 ka\u017cdy wynik walidacji. Na przyk\u0142ad mo\u017ce odrzuca\u0107 nieprawid\u0142owe trasy, przypisywa\u0107 im ni\u017cszy priorytet lub generowa\u0107 alerty do dalszej analizy.<\/p>\n\n\n\n Proces jest zaprojektowany tak, aby by\u0142 rozproszony i skalowalny. Du\u017ce sieci mog\u0105 weryfikowa\u0107 wiele tysi\u0119cy prefiks\u00f3w bez konieczno\u015bci ustanawiania przez ka\u017cd\u0105 organizacj\u0119 bezpo\u015bredniej relacji z ka\u017cdym innym sieci\u0105. Jest to wa\u017cne, poniewa\u017c Internet obejmuje ogromn\u0105 liczb\u0119 niezale\u017cnych operator\u00f3w o r\u00f3\u017cnych politykach i \u015brodowiskach technicznych.<\/p>\n\n\n\n Autoryzacja pochodzenia trasy to podpisany rekord, kt\u00f3ry wskazuje, kt\u00f3re ASN jest upowa\u017cnione do inicjowania konkretnego prefiksu IP. Jest to jedna z najbardziej widocznych i praktycznych cz\u0119\u015bci wdro\u017cenia RPKI.<\/p>\n\n\n\n Na przyk\u0142ad organizacja mo\u017ce kontrolowa\u0107 prefiks IPv4 Autoryzacja mo\u017ce r\u00f3wnie\u017c okre\u015bla\u0107 maksymaln\u0105 d\u0142ugo\u015b\u0107 prefiksu. Jest to istotne, poniewa\u017c sie\u0107 mo\u017ce chcie\u0107 zezwoli\u0107 na og\u0142aszanie przez ASN \u017ar\u00f3d\u0142owy dok\u0142adnie agregowanego prefiksu, ale nie mniejszych, bardziej szczeg\u00f3\u0142owych prefiks\u00f3w. Starannie dobrana maksymalna d\u0142ugo\u015b\u0107 mo\u017ce zmniejszy\u0107 ryzyko, \u017ce nieoczekiwane og\u0142oszenie zostanie uznane za autoryzowane.<\/p>\n\n\n\n Konfiguracja ROA wymaga uwagi, poniewa\u017c nieprawid\u0142owy rekord mo\u017ce sprawi\u0107, \u017ce legalna trasa b\u0119dzie postrzegana jako niewa\u017cna. Je\u015bli organizacja zmieni swojego dostawc\u0119 transzy, przeniesie prefiks do innego ASN, podzieli og\u0142oszenie na bardziej szczeg\u00f3\u0142owe prefiksy lub przeka\u017ce zasoby innemu posiadaczowi, rekordy autoryzacyjne mog\u0105 wymaga\u0107 aktualizacji. Przestarza\u0142y rekord mo\u017ce spowodowa\u0107 awari\u0119, nawet je\u015bli sama konfiguracja BGP jest poprawna.<\/p>\n\n\n\n W przysz\u0142ym artykule mo\u017cna wyja\u015bni\u0107, jak utworzy\u0107 ROA, jak wybra\u0107 maksymaln\u0105 d\u0142ugo\u015b\u0107 oraz jak aktualizowa\u0107 autoryzacje podczas migracji zasob\u00f3w ASN lub IP.<\/p>\n\n\n\n Wynik \u201eValid\u201d oznacza, \u017ce og\u0142oszenie BGP jest obj\u0119te odpowiedni\u0105 autoryzacj\u0105 RPKI oraz \u017ce ASN pochodzenia ma uprawnienie do og\u0142aszania prefiksu. Zazwyczaj wskazuje to na zgodno\u015b\u0107 og\u0142oszonego prefiksu, d\u0142ugo\u015bci prefiksu oraz ASN pochodzenia z opublikowan\u0105 autoryzacj\u0105.<\/p>\n\n\n\n Nieprawid\u0142owy wynik oznacza, \u017ce istnieje autoryzacja, ale og\u0142oszenie BGP nie jest z ni\u0105 zgodne. Mo\u017ce to wynika\u0107 z faktu, \u017ce numer nadawcy (ASN) \u017ar\u00f3d\u0142a nie jest autoryzowany, og\u0142oszenie jest bardziej szczeg\u00f3\u0142owe ni\u017c dozwolona maksymalna d\u0142ugo\u015b\u0107 prefiksu lub prefiks nak\u0142ada si\u0119 na autoryzacj\u0119 dla innego \u017ar\u00f3d\u0142a. Nieprawid\u0142owe trasy wymagaj\u0105 natychmiastowej uwagi, poniewa\u017c mog\u0105 reprezentowa\u0107 przej\u0119cie ruchu (hijack), przypadkow\u0105 b\u0142\u0119dn\u0105 konfiguracj\u0119 lub niekompletn\u0105 migracj\u0119.<\/p>\n\n\n\n Wynik \u201eNot Found\u201d oznacza, \u017ce nie znaleziono \u017cadnej odpowiedniej autoryzacji dla og\u0142oszenia. Nie oznacza to automatycznie, \u017ce trasa jest z\u0142o\u015bliwa lub niepoprawna. Oznacza po prostu, \u017ce RPKI nie mo\u017ce potwierdzi\u0107 pochodzenia na podstawie obecnie opublikowanych rekord\u00f3w. Wiele legalnych tras pozostaje w stanie \u201eNot Found\u201d, poniewa\u017c posiadacz zasob\u00f3w nie utworzy\u0142 autoryzacji.<\/p>\n\n\n\n R\u00f3\u017cnica mi\u0119dzy stanem \u201eNieprawid\u0142owa\u201d a \u201eNie znaleziono\u201d jest istotna. Stan \u201eNieprawid\u0142owa\u201d wskazuje na konflikt z istniej\u0105cymi danymi autoryzacyjnymi, podczas gdy stan \u201eNie znaleziono\u201d oznacza brak danych autoryzacyjnych. Operatorzy sieci zazwyczaj traktuj\u0105 nieprawid\u0142owe trasy powa\u017cniej, jednak ich dok\u0142adna polityka routingu zale\u017cy od tolerancji ryzyka, wymaga\u0144 us\u0142ugowych oraz procedur operacyjnych.<\/p>\n\n\n\n Przestrze\u0144 adresowa IPv4 jest ograniczona, a wiele prefiks\u00f3w IPv4 jest obecnie wykorzystywanych w z\u0142o\u017conych uk\u0142adach obejmuj\u0105cych dostawc\u00f3w, centra danych, platformy chmurowe, firmy leasingowe oraz transakcje transferowe. Takie rozwi\u0105zania sprawiaj\u0105, \u017ce dok\u0142adno\u015b\u0107 routingu ma szczeg\u00f3lne znaczenie.<\/p>\n\n\n\n Gdy prefiks IPv4 jest przenoszony lub przekazywany mi\u0119dzy organizacjami, \u017ar\u00f3d\u0142o BGP mo\u017ce ulec zmianie. Je\u015bli autoryzacja poprzedniego w\u0142a\u015bciciela pozostaje aktywna, a nowy w\u0142a\u015bciciel og\u0142asza prefiks z innego ASN, trasa mo\u017ce sta\u0107 si\u0119 nieprawid\u0142owa w ramach RPKI. Jest to jeden z powod\u00f3w, dla kt\u00f3rych planowanie RPKI powinno by\u0107 uwzgl\u0119dnione w pracach zwi\u0105zanych z transferem i migracj\u0105 adres\u00f3w IPv4.<\/p>\n\n\n\n Zanim organizacja zaakceptuje lub og\u0142osi prefix IPv4, powinna potwierdzi\u0107, kt\u00f3ra jednostka kontroluje zas\u00f3b, kt\u00f3ry ASN jest oczekiwany jako jego \u017ar\u00f3d\u0142o oraz czy odpowiednie rekordy autoryzacji odzwierciedlaj\u0105 planowany projekt routingu. Nale\u017cy wsp\u00f3lnie przeanalizowa\u0107 publiczny rekord rejestracyjny, og\u0142oszenia BGP oraz informacje RPKI. RPKI jest szczeg\u00f3lnie przydatny, gdy firma korzysta z wielu dostawc\u00f3w tranzytowych. Sp\u00f3jna autoryzacja pochodzenia mo\u017ce chroni\u0107 prefix niezale\u017cnie od tego, kt\u00f3ry dostawca nadrz\u0119dny przekazuje tras\u0119. Jednak organizacja nadal musi upewni\u0107 si\u0119, \u017ce wszyscy dostawcy u\u017cywaj\u0105 prawid\u0142owego ASN i d\u0142ugo\u015bci prefixu.<\/p>\n\n\n\n Firmy oceniaj\u0105ce blok adres\u00f3w IPv4 mog\u0105 r\u00f3wnie\u017c korzysta\u0107 z publicznych narz\u0119dzi do przegl\u0105dania aktualnych danych rejestracyjnych, informacji o pochodz\u0105cym AS-ie, statusu RPKI oraz widoczno\u015bci w BGP. Te kontrole nie zast\u0119puj\u0105 due diligence umownego ani weryfikacji reputacji, ale mog\u0105 ujawni\u0107 oczywiste niesp\u00f3jno\u015bci routingu przed transakcj\u0105 lub wdro\u017ceniem.<\/p>\n\n\n\n Sieci IPv6 korzystaj\u0105 z tych samych zasad walidacji pochodzenia co sieci IPv4. Prefiksy IPv6 s\u0105 og\u0142aszane za po\u015brednictwem BGP, a niepoprawne pochodzenie mo\u017ce stwarza\u0107 podobne ryzyka, w tym przerwy w ruchu, wycieki tras oraz nieautoryzowane og\u0142oszenia.<\/p>\n\n\n\n Wdro\u017cenia IPv6 cz\u0119sto obejmuj\u0105 wi\u0119ksze bloki adresowe i bardziej uporz\u0105dkowane plany adresowania. Organizacja mo\u017ce otrzyma\u0107 szeroki przydzia\u0142 i og\u0142asza\u0107 agregat, u\u017cywaj\u0105c mniejszych wewn\u0119trznych podsieci dla lokalizacji, centr\u00f3w danych lub us\u0142ug. Autoryzacja RPKI powinna odpowiada\u0107 prefiksom, kt\u00f3re faktycznie maj\u0105 by\u0107 routowane publicznie.<\/p>\n\n\n\n Powszechnym b\u0142\u0119dem jest za\u0142o\u017cenie, \u017ce routowanie IPv6 jest automatycznie bezpieczniejsze ze wzgl\u0119du na znacznie wi\u0119ksz\u0105 przestrze\u0144 adresow\u0105. Rozmiar przestrzeni adresowej nie eliminuje potrzeby weryfikacji pochodzenia trasy. Je\u015bli prefiks IPv6 jest og\u0142aszany przez nieprawid\u0142owy ASN i nie istnieje autoryzacja, inne sieci mog\u0105 mie\u0107 ograniczone mo\u017cliwo\u015bci rozr\u00f3\u017cnienia tego og\u0142oszenia od legalnej trasy. Organizacje wdra\u017caj\u0105ce IPv6 powinny uwzgl\u0119dni\u0107 RPKI we wczesnym etapie projektowania routingu, zamiast czeka\u0107 do momentu pe\u0142nego uruchomienia sieci. U\u0142atwia to koordynacj\u0119 planu adresowego, wykorzystania ASN, dostawc\u00f3w upstreamowych oraz rekord\u00f3w autoryzacyjnych przed rozpocz\u0119ciem ruchu produkcyjnego zale\u017cnego od og\u0142oszenia.<\/p>\n\n\n\n G\u0142\u00f3wn\u0105 zalet\u0105 RPKI jest to, \u017ce zapewnia ona szeroko uznawan\u0105 metod\u0119 weryfikacji pochodzenia trasy BGP. Daje to operatorom sieci silniejsze podstawy do filtrowania i monitorowania og\u0142osze\u0144 ni\u017c sama informacja BGP.<\/p>\n\n\n\n RPKI mo\u017ce zmniejszy\u0107 ryzyko akceptacji tras, kt\u00f3re s\u0105 wyra\u017anie niesp\u00f3jne z autoryzacj\u0105 w\u0142a\u015bciciela zasob\u00f3w. Mo\u017ce r\u00f3wnie\u017c pom\u00f3c w identyfikacji b\u0142\u0119d\u00f3w operacyjnych podczas migracji sieci, zmian dostawcy, zmian sponsorowania numeru AS oraz transfer\u00f3w zasob\u00f3w IPv4 lub IPv6.<\/p>\n\n\n\n Dla posiadaczy zasob\u00f3w IP, RPKI demonstruje, \u017ce organizacja aktywnie zarz\u0105dza bezpiecze\u0144stwem routingu swojej przestrzeni adresowej. Mo\u017ce to poprawi\u0107 koordynacj\u0119 z dostawcami tranzytowymi i zmniejszy\u0107 nieporozumienia, gdy w og\u0142aszaniu tego samego prefiksu uczestniczy wiele podmiot\u00f3w.<\/p>\n\n\n\n Dla dostawc\u00f3w us\u0142ug tranzytowych oraz firm hostingowych walidacja RPKI mo\u017ce sta\u0107 si\u0119 elementem szerszego programu bezpiecze\u0144stwa routingu. Dostawcy mog\u0105 wykorzystywa\u0107 wyniki walidacji w po\u0142\u0105czeniu z filtrami prefiks\u00f3w, danymi IRR, monitorowaniem BGP oraz wewn\u0119trznymi politykami routingu. \u017badne pojedyncze \u017ar\u00f3d\u0142o danych nie jest doskona\u0142e, ale po\u0142\u0105czenie kilku sygna\u0142\u00f3w zapewnia lepsz\u0105 widoczno\u015b\u0107 operacyjn\u0105.<\/p>\n\n\n\n RPKI poprawia r\u00f3wnie\u017c reakcj\u0119 na incydenty. Gdy pojawia si\u0119 nieoczekiwana deklaracja BGP, zesp\u00f3\u0142 sieciowy mo\u017ce szybko sprawdzi\u0107, czy \u017ar\u00f3d\u0142o jest autoryzowane. Pomaga to odr\u00f3\u017cni\u0107 potencjalne przej\u0119cie trasy od legalnej, ale niezdokumentowanej zmiany w trasowaniu.<\/p>\n\n\n\n RPKI jest warto\u015bciowy, ale nie stanowi kompletnego zamiennika dla bezpiecze\u0144stwa routingu. Waliduje on relacj\u0119 mi\u0119dzy prefiksem a pocz\u0105tkowym ASN. Nie dowodzi jednak, \u017ce ka\u017cdy przystanek w \u015bcie\u017cce BGP jest godny zaufania, ani nie gwarantuje, \u017ce ruch b\u0119dzie pod\u0105\u017ca\u0142 najlepsz\u0105 lub najbezpieczniejsz\u0105 fizyczn\u0105 tras\u0105.<\/p>\n\n\n\n RPKI nie szyfruje ruchu aplikacji. Nie chroni sesji internetowych, zapyta\u0144 DNS, poczty e-mail ani danych prywatnych przed przechwyceniem. Do tych cel\u00f3w nadal wymagane s\u0105 technologie szyfrowania, takie jak TLS, VPN-y oraz bezpieczne protoko\u0142y aplikacji.<\/p>\n\n\n\n RPKI nie zapobiega r\u00f3wnie\u017c automatycznie ka\u017cdemu wyciekowi tras. Trasa mo\u017ce by\u0107 og\u0142aszana przez w\u0142a\u015bciwy ASN, ale nadal propagowana do miejsc, gdzie nie powinna si\u0119 pojawia\u0107. Walidacja \u017ar\u00f3d\u0142a mo\u017ce zaklasyfikowa\u0107 tak\u0105 tras\u0119 jako wa\u017cn\u0105 (Valid), poniewa\u017c jej \u017ar\u00f3d\u0142o jest autoryzowane, mimo \u017ce szersza \u015bcie\u017cka jest operacyjnie b\u0142\u0119dna.<\/p>\n\n\n\n RPKI nie dowodzi samoistnie prawnego prawa w\u0142asno\u015bci. Rejestry, umowy, dokumenty transferu oraz upowa\u017cnienie organizacyjne pozostaj\u0105 istotne. Wynik \u201eWa\u017cny\u201d oznacza, \u017ce trasa odpowiada opublikowanemu autoryzacji; nie potwierdza to jednak, \u017ce spe\u0142nione zosta\u0142y wszystkie wymogi komercyjne lub prawne.<\/p>\n\n\n\n Ostatecznie RPKI dzia\u0142a skutecznie tylko wtedy, gdy rekordy s\u0105 utrzymywane. Organizacja, kt\u00f3ra tworzy autoryzacje, a nast\u0119pnie zapomina je zaktualizowa\u0107 po zmianie dostawcy lub numeru ASN, mo\u017ce spowodowa\u0107 w\u0142asn\u0105 awari\u0119 routingu.<\/p>\n\n\n\n Pierwszym krokiem jest utworzenie inwentaryzacji wszystkich prefiks\u00f3w IPv4 i IPv6, kt\u00f3re organizacja posiada, wynajmuje, sponsoruje lub oczekuje og\u0142aszania. Dla ka\u017cdego prefiksu nale\u017cy odnotowa\u0107 planowany numer autonomii (ASN) \u017ar\u00f3d\u0142a, dostawc\u00f3w og\u0142aszaj\u0105cych, d\u0142ugo\u015b\u0107 prefiksu oraz to, czy dany prefiks jest obecnie widoczny w BGP.<\/p>\n\n\n\n Nast\u0119pnym krokiem jest potwierdzenie rekord\u00f3w rejestracyjnych i zasobowych. Organizacja powinna zweryfikowa\u0107, czy przestrze\u0144 adresowa jest powi\u0105zana z w\u0142a\u015bciwym kontem, organizacj\u0105, sponsorowanym LIR lub posiadaczem zasobu. Je\u015bli dane publiczne rejestracji s\u0105 nieaktualne, nale\u017cy je skorygowa\u0107 przed utworzeniem nowych autoryzacji routingu. Po potwierdzeniu inwentaryzacji zasob\u00f3w organizacja mo\u017ce utworzy\u0107 odpowiednie rekordy autoryzacyjne za po\u015brednictwem swojego Regionalnego Rejestru Internetowego (RIR) lub dostarczaj\u0105cego dostawc\u0119. Pocz\u0105tkowy numer ASN oraz maksymalna d\u0142ugo\u015b\u0107 prefixu powinny odzwierciedla\u0107 rzeczywisty plan routingu. Je\u015bli u\u017cywanych jest kilka legalnie uzasadnionych ASN-\u00f3w, projekt powinien by\u0107 dok\u0142adnie udokumentowany, zamiast dodawania szerokich autoryzacji bez wyra\u017anego powodu.<\/p>\n\n\n\n Nast\u0119pnie organizacja powinna zweryfikowa\u0107 rekordy za pomoc\u0105 walidatora RPKI lub ustalonej us\u0142ugi monitoringu. Wa\u017cne jest potwierdzenie, \u017ce zamierzone og\u0142aszania zwracaj\u0105 wynik \u201eValid\u201d przed zastosowaniem rygorystycznych polityk filtrowania dla ruchu klient\u00f3w lub produkcyjnego.<\/p>\n\n\n\n Wdro\u017cenie powinno by\u0107 traktowane jako proces operacyjny, a nie jednorazowe zadanie konfiguracyjne. Zmiany w dostawcach zewn\u0119trznych, sponsorowaniu numer\u00f3w ASN, agregacji prefiks\u00f3w, lokalizacjach centr\u00f3w danych oraz aran\u017cacjach transferu adres\u00f3w IPv4 mog\u0105 wp\u0142ywa\u0107 na rekordy RPKI. Monitorowanie i zarz\u0105dzanie zmianami powinny by\u0107 cz\u0119\u015bci\u0105 normalnego procesu sieciowego.<\/p>\n\n\n\n Jednym z cz\u0119stych b\u0142\u0119d\u00f3w jest utworzenie autoryzacji dla niew\u0142a\u015bciwego ASN pochodzenia. Cz\u0119sto dzieje si\u0119 tak podczas migracji dostawcy, gdy stary ASN pozostaje w rekordzie, podczas gdy sie\u0107 zaczyna og\u0142asza\u0107 tras\u0119 z nowego ASN.<\/p>\n\n\n\n Kolejnym b\u0142\u0119dem jest nieprawid\u0142owe ustawienie maksymalnej d\u0142ugo\u015bci prefiksu. Je\u015bli organizacja autoryzuje tylko agregat, ale og\u0142asza bardziej szczeg\u00f3\u0142ow\u0105 tras\u0119, og\u0142oszenie bardziej szczeg\u00f3\u0142owej trasy mo\u017ce zosta\u0107 uznane za Nieprawid\u0142owe. Je\u015bli maksymalna d\u0142ugo\u015b\u0107 zostanie ustawiona zbyt szeroko, autoryzacja mo\u017ce zezwoli\u0107 na og\u0142oszenia, kt\u00f3rych organizacja nie zamierza\u0142a dopu\u015bci\u0107.<\/p>\n\n\n\n Zdezaktualizowane rekordy stanowi\u0105 r\u00f3wnie\u017c powa\u017cny problem. Autoryzacja, kt\u00f3ra by\u0142a poprawna kilka lat temu, mo\u017ce ju\u017c nie odpowiada\u0107 bie\u017c\u0105cemu projektowi sieci organizacji. Regularne przegl\u0105dy s\u0105 szczeg\u00f3lnie wa\u017cne po transferze IPv4, fuzji, zmianie sponsoruj\u0105cego LIR lub renumeracji ASN.<\/p>\n\n\n\n Niekt\u00f3re organizacje zak\u0142adaj\u0105 r\u00f3wnie\u017c, \u017ce wynik \u201eNot Found\u201d oznacza, \u017ce trasa powinna zosta\u0107 odrzucona. W wi\u0119kszo\u015bci przypadk\u00f3w \u201eNot Found\u201d oznacza, \u017ce nie istnieje \u017cadna autoryzacja. Powinna by\u0107 obs\u0142ugiwana zgodnie z polityk\u0105 sieci i modelem ryzyka, a nie traktowana jako automatycznie z\u0142o\u015bliwa.<\/p>\n\n\n\n RPKI jest jednym z element\u00f3w szerszego podej\u015bcia do bezpiecze\u0144stwa routingu. Bazy danych IRR zawieraj\u0105 obiekty polityki routingu, kt\u00f3re mog\u0105 by\u0107 wykorzystywane przez operator\u00f3w sieci do generowania filtr\u00f3w. Obiekty te mog\u0105 opisywa\u0107, kt\u00f3ry ASN powinien originate prefix, ale u\u017cywaj\u0105 innego modelu zaufania i walidacji ni\u017c RPKI.<\/p>\n\n\n\n Monitorowanie BGP pokazuje, co jest faktycznie og\u0142aszane i gdzie to og\u0142oszenie jest widoczne. Mo\u017ce ujawni\u0107 zmiany w trasach, nieoczekiwane \u017ar\u00f3d\u0142a, zmiany \u015bcie\u017cek oraz okresy niestabilno\u015bci. RPKI wskazuje, czy \u017ar\u00f3d\u0142o jest autoryzowane, ale nie dostarcza pe\u0142nej historii operacyjnej trasy.<\/p>\n\n\n\n Z tego powodu RPKI, IRR oraz monitorowanie BGP s\u0105 cz\u0119sto stosowane razem. Dok\u0142adna analiza routingu mo\u017ce por\u00f3wna\u0107 rekord w rejestrze, oczekiwany numer ASN, obiekt IRR, autoryzacj\u0119 RPKI oraz aktualne obserwacje BGP. Gdy te \u017ar\u00f3d\u0142a si\u0119 zgadzaj\u0105, pozycja routingu jest \u0142atwiejsza do zrozumienia. Gdy wyst\u0119puj\u0105 rozbie\u017cno\u015bci, nale\u017cy zbada\u0107 przyczyny niezgodno\u015bci przed uko\u0144czeniem migracji lub transferu.<\/p>\n\n\n\n Konserwacja RPKI powinna by\u0107 powi\u0105zana z zarz\u0105dzaniem zmianami w sieci. Gdy organizacja planuje zmian\u0119 swojego AS origin, dostawcy upstream, d\u0142ugo\u015bci prefiksu lub lokalizacji og\u0142oszenia, powinna ona przeanalizowa\u0107 oczekiwany wp\u0142yw na rekordy autoryzacji przed wprowadzeniem zmiany.<\/p>\n\n\n\n Monitorowanie powinno powiadamia\u0107 zesp\u00f3\u0142 sieciowy, gdy oczekiwany prefiks stanie si\u0119 nieprawid\u0142owy (Invalid), gdy zostanie usuni\u0119te autoryzacja lub gdy pojawi si\u0119 wcze\u015bniej niewidoczny origin. Alerty s\u0105 najbardziej przydatne, gdy zawieraj\u0105 informacje o dotkni\u0119tym prefiksie, numerze ASN originu, aktualnym stanie walidacji oraz czasie zmiany.<\/p>\n\n\n\n Organizacje powinny r\u00f3wnie\u017c dokumentowa\u0107, kto jest odpowiedzialny za zarz\u0105dzanie RPKI. W niekt\u00f3rych firmach rekordami zarz\u0105dza zesp\u00f3\u0142 in\u017cynierii sieciowej. W innych zajmuj\u0105 si\u0119 nimi sponsorowane LIR, dostawca us\u0142ug zarz\u0105dzanych lub zesp\u00f3\u0142 ds. bezpiecze\u0144stwa. Jasne okre\u015blenie odpowiedzialno\u015bci pomaga zapobiega\u0107 op\u00f3\u017anieniom w trakcie incydent\u00f3w i migracji mi\u0119dzy dostawcami.<\/p>\n\n\n\n Okresowe przegl\u0105dy mog\u0105 by\u0107 planowane co miesi\u0105c, kwarta\u0142 lub po ka\u017cdej istotnej zmianie w trasach. Odpowiednia cz\u0119stotliwo\u015b\u0107 zale\u017cy od wielko\u015bci i z\u0142o\u017cono\u015bci sieci. Wa\u017cne jest, aby RPKI by\u0142o traktowane jako \u017cywa cz\u0119\u015b\u0107 systemu routingu.<\/p>\n\n\n\n Nie. Sie\u0107 mo\u017ce korzysta\u0107 z BGP bez publikowania rekord\u00f3w autoryzacji RPKI. Jednak\u017ce RPKI jest coraz bardziej zalecane, poniewa\u017c daje innym sieciom mo\u017cliwo\u015b\u0107 weryfikacji pochodzenia tras og\u0142aszanych przez organizacj\u0119.<\/p>\n\n\n\n RPKI nie zapobiega fizycznie temu, aby inna sie\u0107 wysy\u0142a\u0142a nieautoryzowane og\u0142oszenia BGP. Pozwala to odbieraj\u0105cym sieciom identyfikowa\u0107 og\u0142oszenia, kt\u00f3re nie s\u0105 zgodne z opublikowanymi autoryzacjami. Sieci mog\u0105 nast\u0119pnie odrzuca\u0107, degradowa\u0107 priorytet lub monitorowa\u0107 te trasy zgodnie ze swoimi politykami.<\/p>\n\n\n\n No. RPKI supports both IPv4 and IPv6 prefixes. The same basic origin validation concept applies to both address families.<\/p>\n\n\n\n Niekoniecznie. Komunikat \u201eNot Found\u201d oznacza, \u017ce nie znaleziono \u017cadnej odpowiedniej autoryzacji. Nie dowodzi to, \u017ce trasa jest b\u0142\u0119dna. Jednak w\u0142a\u015bciciele zasob\u00f3w powinni rozwa\u017cy\u0107 publikowanie dok\u0142adnych autoryzacji, aby inne sieci mog\u0142y zweryfikowa\u0107 ich og\u0142oszenia.<\/p>\n\n\n\n Nie. RPKI i IRR s\u0142u\u017c\u0105 r\u00f3\u017cnym celom i s\u0105 cz\u0119sto u\u017cywane razem. Niekt\u00f3rzy dostawcy korzystaj\u0105 z obu system\u00f3w podczas budowania filtr\u00f3w tras i przegl\u0105dania og\u0142osze\u0144.<\/p>\n\n\n\n Nieprawid\u0142owy rekord mo\u017ce spowodowa\u0107, \u017ce legalna reklama BGP zostanie sklasyfikowana jako nieprawid\u0142owa. Organizacja powinna sprawdzi\u0107 numer ASN \u017ar\u00f3d\u0142a, d\u0142ugo\u015b\u0107 prefiksu oraz maksymaln\u0105 d\u0142ugo\u015b\u0107, a nast\u0119pnie zaktualizowa\u0107 autoryzacj\u0119 przed zastosowaniem rygorystycznego filtrowania tras.<\/p>\n\n\n\n RPKI is an important improvement to the security of Internet routing. It gives IP resource holders a way to publish cryptographic authorization for the ASNs that are allowed to originate their IPv4 and IPv6 prefixes. It also gives network operators a practical method for checking whether BGP announcements match that authorization.<\/p>\n\n\n\n Koncepcja jest prosta: posiadacz prefixu IP publikuje zamierzony \u017ar\u00f3d\u0142owy adres, a inne sieci weryfikuj\u0105 og\u0142oszenie wzgl\u0119dem tych informacji. Wynik mo\u017ce pom\u00f3c w identyfikacji autoryzowanych tras, konfliktuj\u0105cych tras oraz tras, dla kt\u00f3rych nie opublikowano \u017cadnej autoryzacji. RPKI nie zast\u0119puje starannego in\u017cynierii sieciowej, zarz\u0105dzania rejestracjami, rekord\u00f3w IRR, monitorowania BGP ani umownej nale\u017cytej staranno\u015bci. Nie gwarantuje r\u00f3wnie\u017c, \u017ce ka\u017cda trasa jest bezpieczna lub \u017ce ka\u017cdy incydent routingu zostanie zapobiegany. Jego warto\u015b\u0107 wynika z dodania niezawodnego sygna\u0142u autoryzacji do procesu routingu.<\/p>\n\n\n\n Dla organizacji zarz\u0105dzaj\u0105cych ASN, przestrzeni\u0105 adresow\u0105 IPv4, przestrzeni\u0105 adresow\u0105 IPv6 lub wieloma dostawcami upstreamowymi, RPKI powinno by\u0107 uwzgl\u0119dnione w standardowym projekcie routingu. Przed og\u0142oszeniem prefixu, zmian\u0105 dostawcy, finalizacj\u0105 transferu adresu IPv4 lub wdro\u017ceniem nowej sieci IPv6 nale\u017cy przeanalizowa\u0107 dane rejestru, oryginalny ASN, rekordy autoryzacji oraz aktualny stan BGP \u0142\u0105cznie. Ten prosty proces mo\u017ce zapobiec unikaj\u0105cym b\u0142\u0119dom i poprawi\u0107 og\u00f3ln\u0105 niezawodno\u015b\u0107 po\u0142\u0105cze\u0144 internetowych.<\/p>\n\n\n\n <\/p>","protected":false},"excerpt":{"rendered":" The Internet depends on a global routing system that allows networks, data centers, cloud platforms, Internet service providers, and enterprises to exchange traffic. One of the most important protocols in this system is the Border Gateway Protocol, commonly known as BGP. BGP allows independent networks to announce which IP address ranges they can reach. Without […]<\/p>\n","protected":false},"author":1,"featured_media":1088,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_seopress_titles_title":"What Is RPKI? A Beginner\u2019s Guide to Secure BGP Routing","_seopress_titles_desc":"Learn what RPKI is, how it protects BGP routing, why it matters for IPv4 and IPv6 networks, and how businesses can start using route origin validation.","_seopress_robots_index":"","_seopress_robots_follow":"","_seopress_robots_imageindex":"","_seopress_robots_snippet":"","_seopress_robots_primary_cat":"","_seopress_robots_breadcrumbs":"","_seopress_robots_freeze_modified_date":"","_seopress_robots_custom_modified_date":"","_seopress_robots_canonical":"","_seopress_social_fb_title":"","_seopress_social_fb_desc":"","_seopress_social_fb_img":"","_seopress_social_fb_img_attachment_id":0,"_seopress_social_fb_img_width":0,"_seopress_social_fb_img_height":0,"_seopress_social_twitter_title":"","_seopress_social_twitter_desc":"","_seopress_social_twitter_img":"","_seopress_social_twitter_img_attachment_id":0,"_seopress_social_twitter_img_width":0,"_seopress_social_twitter_img_height":0,"_seopress_redirections_value":"","_seopress_redirections_enabled":"","_seopress_redirections_enabled_regex":"","_seopress_redirections_logged_status":"","_seopress_redirections_param":"","_seopress_redirections_type":0,"_seopress_analysis_target_kw":"","footnotes":""},"categories":[1],"tags":[],"class_list":["post-1086","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-article"],"_links":{"self":[{"href":"https:\/\/junglelabs.uk\/pl\/wp-json\/wp\/v2\/posts\/1086","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/junglelabs.uk\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/junglelabs.uk\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/junglelabs.uk\/pl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/junglelabs.uk\/pl\/wp-json\/wp\/v2\/comments?post=1086"}],"version-history":[{"count":3,"href":"https:\/\/junglelabs.uk\/pl\/wp-json\/wp\/v2\/posts\/1086\/revisions"}],"predecessor-version":[{"id":1091,"href":"https:\/\/junglelabs.uk\/pl\/wp-json\/wp\/v2\/posts\/1086\/revisions\/1091"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/junglelabs.uk\/pl\/wp-json\/wp\/v2\/media\/1088"}],"wp:attachment":[{"href":"https:\/\/junglelabs.uk\/pl\/wp-json\/wp\/v2\/media?parent=1086"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/junglelabs.uk\/pl\/wp-json\/wp\/v2\/categories?post=1086"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/junglelabs.uk\/pl\/wp-json\/wp\/v2\/tags?post=1086"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}\/24<\/code> or an IPv6 \/48<\/code>. ASN identyfikuje niezale\u017cn\u0105 sie\u0107, kt\u00f3ra uczestniczy w routingu BGP.<\/p>\n\n\n\nDlaczego BGP potrzebuje RPKI?<\/h2>\n\n\n\n
Jak dzia\u0142a RPKI?<\/h2>\n\n\n\n
Czym jest autoryzacja pochodzenia trasy?<\/h2>\n\n\n\n
192.0.2.0\/24<\/code> i u\u017cyj ASN AS64500<\/code> og\u0142oszeni. Organizacja mo\u017ce stworzy\u0107 upowa\u017cnienie, kt\u00f3re umo\u017cliwia AS64500<\/code> pochodzi\u0107 192.0.2.0\/24<\/code>Je\u015bli inny ASN og\u0142osi p\u00f3\u017aniej ten sam prefiks, sieci wykonuj\u0105ce walidacj\u0119 RPKI mog\u0105 wykry\u0107, \u017ce \u017ar\u00f3d\u0142o nie zgadza si\u0119 z autoryzacj\u0105.<\/p>\n\n\n\nCo oznaczaj\u0105 warto\u015bci: poprawna, niepoprawna i nie znaleziono?<\/h2>\n\n\n\n
Why RPKI Matters for IPv4 Networks<\/h2>\n\n\n\n
Why RPKI Matters for IPv6 Networks<\/h2>\n\n\n\n
Jakie s\u0105 g\u0142\u00f3wne korzy\u015bci z RPKI?<\/h2>\n\n\n\n
Czego RPKI nie mo\u017ce zrobi\u0107<\/h2>\n\n\n\n
Jak firma mo\u017ce zacz\u0105\u0107 korzysta\u0107 z RPKI?<\/h2>\n\n\n\n
Typowe b\u0142\u0119dy w wdro\u017ceniach RPKI<\/h2>\n\n\n\n
RPKI, IRR i monitorowanie BGP<\/h2>\n\n\n\n
Jak nale\u017cy utrzymywa\u0107 RPKI?<\/h2>\n\n\n\n
Najcz\u0119\u015bciej zadawane pytania dotycz\u0105ce RPKI<\/h2>\n\n\n\n
Czy RPKI jest wymagane do korzystania z BGP?<\/h3>\n\n\n\n
Czy RPKI zapobiega przej\u0119ciu trasy BGP?<\/h3>\n\n\n\n
Czy RPKI dotyczy tylko IPv4?<\/h3>\n\n\n\n
Czy wynik \u201eRPKI nie znaleziony\u201d jest niebezpieczny?<\/h3>\n\n\n\n
Czy RPKI mo\u017ce zast\u0105pi\u0107 obiekt trasy IRR?<\/h3>\n\n\n\n
Co si\u0119 dzieje, gdy rekord RPKI jest nieprawid\u0142owy?<\/h3>\n\n\n\n