Weryfikacja RPKI sta\u0142a si\u0119 wa\u017cn\u0105 cz\u0119\u015bci\u0105 bezpiecze\u0144stwa routingu BGP w nowoczesnych sieciach. Pomaga operatorom sieciowych ustali\u0107, czy Numer Systemu Samodzielnie (ASN) jest uprawniony do pochodzenia okre\u015blonego prefiksu IPv4 lub IPv6. Gdy router otrzymuje og\u0142oszenie trasy, mo\u017ce por\u00f3wna\u0107 to og\u0142oszenie z opublikowanym upowa\u017cnieniem RPKI dla tego zakresu adres\u00f3w.<\/p>\n\n\n\n
Wynik zwykle jest pokazywany jako Poprawny, Niepoprawny lub Nie znaleziono. Te trzy etykiety s\u0105 proste, ale cz\u0119sto s\u0105 \u017ale zrozumiane. Wynik Poprawny nie oznacza, \u017ce ka\u017cdy fragment trasy jest idealny. Wynik Niepoprawny nie zawsze oznacza, \u017ce kto\u015b atakuje sie\u0107. Wynik Nie znaleziono nie oznacza automatycznie, \u017ce og\u0142oszeni jest niebezpieczne.<\/p>\n\n\n\n
Etykiety opisuj\u0105 jedynie relacj\u0119 mi\u0119dzy og\u0142oszeniem BGP a dost\u0119pnymi danymi Route Origin Authorization. Aby poprawnie zrozumie\u0107 wynik, musisz por\u00f3wna\u0107 trzy szczeg\u00f3\u0142y: og\u0142oszony prefiks IP, oryginalny numer AS i maksymaln\u0105 d\u0142ugo\u015b\u0107 prefiksu dozwolon\u0105 przez autoryzacj\u0119.<\/p>\n\n\n\n
Ten artyku\u0142 wyja\u015bnia ka\u017cdy stan RPKI w praktyczny spos\u00f3b, pokazuje, dlaczego legitymne trasy mog\u0105 sta\u0107 si\u0119 nieprawid\u0142owe, oraz zapewnia proces rozwi\u0105zywania problem\u00f3w dla operator\u00f3w sieci zarz\u0105dzaj\u0105cych w\u0142asnym ASN, zasobami IPv4, alokacjami IPv6 lub rutingiem g\u00f3rnostronnym. Je\u015bli jeste\u015b nowy w temacie, zacznij od naszego przewodnika do Czym jest RPKI?<\/a> i nast\u0119pnie przeczytaj Co to jest ROA w RPKI?<\/a> dla szczeg\u00f3\u0142owego wyja\u015bnienia samego rekordu autoryzacji.<\/p>\n\n\n\n RPKI oznacza Infrastructure Publicznych Kluczy Kryptograficznych. \u0141\u0105czy zasoby liczbowe Internetu z zapisanymi kryptograficznie rekordami autoryzacji. W\u0142a\u015bciciel lub upowa\u017cniony mened\u017cer prefiksu IP mo\u017ce opublikowa\u0107 ROA, kt\u00f3ry stwierdza, \u017ce okre\u015blony ASN jest dozwolony do generowania tego prefiksu w BGP.<\/p>\n\n\n\n Weryfikator zbiera te zarejestrowane rekordy, sprawdza ich autentyczno\u015b\u0107 i tworzy weryfikowany zbi\u00f3r danych dla operator\u00f3w sieci. Gdy otrzymuje tras\u0119 BGP, system routingu operatora por\u00f3wnuje tras\u0119 z tym zbiorem danych. Por\u00f3wnanie zadaje trzy podstawowe pytania: Czy og\u0142oszony prefiks jest pokryty upowa\u017cnieniem? Czy ASN orygina\u0142u to ten wymieniony w tym upowa\u017cnieniu? Czy d\u0142ugo\u015b\u0107 og\u0142oszonego prefiksu mie\u015bci si\u0119 w dopuszczalnej maksymalnej d\u0142ugo\u015bci?<\/p>\n\n\n\n Odpowiedzi na te pytania generuj\u0105 stan RPKI. Stan ten dotyczy autoryzacji pochodzenia trasy, a nie ka\u017cdego atrybutu \u015bcie\u017cki BGP. RPKI nie dowodzi, \u017ce wszystkie sieci po\u015brednie s\u0105 poprawne, \u017ce ruch b\u0119dzie nast\u0119powa\u0142 tras\u0105 najlepsz\u0105, ani \u017ce zas\u00f3b adresowy jest prawid\u0142owo dost\u0119pny do sprzeda\u017cy. Jest to skupiony sygna\u0142 bezpiecze\u0144stwa, kt\u00f3ry zwi\u0119ksza zaufanie do pochodzenia trasy.<\/p>\n\n\n\n Trasa jest Weryfikacja RPKI<\/strong> je\u015bli og\u0142oszenie BGP jest pokryte przez co najmniej jedno stosowne ROA, to ASN orygina\u0142u zgadza si\u0119 z zatwierdzonym ASN, a d\u0142ugo\u015b\u0107 og\u0142aszanej przestrzeni jest dozwolona przez maksymaln\u0105 d\u0142ugo\u015b\u0107 ROA. W praktyce, trasa jest zgodna z uprawnieniem do routingu opublikowanym przez w\u0142a\u015bciciela zasob\u00f3w.<\/p>\n\n\n\n Na przyk\u0142ad, za\u0142\u00f3\u017cmy, \u017ce firma kontroluje Poprawna odpowied\u017a to sygna\u0142 pozytywny, ale nie powinna by\u0107 traktowana jako pe\u0142na gwarancja. Trasa mo\u017ce nadal mie\u0107 niepoprawny przebieg, z\u0142\u0105 reputacj\u0119 firmy, przestarza\u0142y opis rejestru lub problem operacyjny poza uprawnieniami \u017ar\u00f3d\u0142owymi. Operatorzy sieci zwykle \u0142\u0105cz\u0105 RPKI z monitorowaniem BGP, filtrowaniem prefiks\u00f3w, sprawdzaniem rejestr\u00f3w i procedurami reagowania na incydenty.<\/p>\n\n\n\n Stan poprawny mo\u017ce ulec zmianie, gdy sie\u0107 si\u0119 zmienia. Je\u015bli firma przenosi prefiks do innego ASN, zaczyna og\u0142asza\u0107 bardziej szczeg\u00f3\u0142ow\u0105 tras\u0119 lub zmienia sw\u00f3j plan adresowy, istniej\u0105cy ROA mo\u017ce nie odpowiada\u0107 nowemu og\u0142oszeniu. RPKI odzwierciedla aktualne dane autoryzacyjne, dlatego musi by\u0107 utrzymywany jako cz\u0119\u015b\u0107 normalnych operacji sieciowych.<\/p>\n\n\n\n Trasa jest RPKI nieprawid\u0142owy<\/strong> kiedy istnieje stosowne upowa\u017cnienie, ale og\u0142oszenie BGP konfliktuje z nim. Konflikt zwykle obejmuje jedn\u0105 z dw\u00f3ch rzeczy: ASN \u017ar\u00f3d\u0142owy nie jest upowa\u017cniony, lub og\u0142aszany prefiks jest bardziej szczeg\u00f3\u0142owy ni\u017c maksymalna d\u0142ugo\u015b\u0107 dozwolona przez ROA.<\/p>\n\n\n\n Na przyk\u0142ad, ROA mo\u017ce zautoryzowa\u0107 Nieprawid\u0142owe nie oznacza zawsze, \u017ce zachodzi z\u0142o\u015bliwe przej\u0119cie. Wiele nieprawid\u0142owych tras powstaje z powodu zwyk\u0142ych b\u0142\u0119d\u00f3w operacyjnych. In\u017cynier mo\u017ce zapomnie\u0107 zaktualizowa\u0107 ROA po migracji ASN, dostawca mo\u017ce og\u0142osi\u0107 prefiks klienta z niepoprawnym \u017ar\u00f3d\u0142em, lub sie\u0107 mo\u017ce zacz\u0105\u0107 u\u017cywa\u0107 bardziej szczeg\u00f3\u0142owych prefiks\u00f3w bez zmiany maksymalnej d\u0142ugo\u015bci.<\/p>\n\n\n\n W tym samym czasie wynik nieprawid\u0142owy nie powinien by\u0107 ignorowany. Mo\u017ce wskazywa\u0107 na nieautoryzowane o\u015bwiadczenie, przekaz trasy z nieoczekiwanym \u017ar\u00f3d\u0142em, lub b\u0142\u0105d konfiguracji, kt\u00f3ry mo\u017ce sprawi\u0107, \u017ce prefiks b\u0119dzie niedost\u0119pny przez sieci korzystaj\u0105ce z ostrej filtracji RPKI. Poprawn\u0105 reakcj\u0105 jest szybka analiza wyniku i por\u00f3wnanie go z zaplanowanym projektem routingu.<\/p>\n\n\n\n Trasa jest Nie znaleziono RPKI<\/strong> kiedy weryfikator nie mo\u017ce znale\u017a\u0107 odpowiedniego ROA dla og\u0142oszonego prefiksu. Nie ma opublikowanego upowa\u017cnienia, kt\u00f3re mog\u0142oby potwierdzi\u0107 lub zaprzeczy\u0107 pochodzenia AS na t\u0119 tras\u0119.<\/p>\n\n\n\n Nie znaleziono czasem nazywane jest \"nieznanym\", poniewa\u017c system weryfikacji nie ma wystarczaj\u0105cej ilo\u015bci informacji o uprawnieniach, by doj\u015b\u0107 do wniosku. Oznacza to, \u017ce trasa nie jest nieprawid\u0142owa, a tak\u017ce nie dowodzi, \u017ce \u017ar\u00f3d\u0142o jest nieautoryzowane. Wiele prawid\u0142owych prefiks\u00f3w w Internecie nadal nie ma ROA, poniewa\u017c w\u0142a\u015bciciel zasobu nie utworzy\u0142 jeszcze jednego lub uprawnienia jeszcze nie sta\u0142y si\u0119 widoczne dla weryfikatora.<\/p>\n\n\n\n Brak ROA zmniejsza ilo\u015b\u0107 dost\u0119pnych informacji dla sieci, kt\u00f3re chc\u0105 zweryfikowa\u0107 tras\u0119. Je\u015bli nieautoryzowany ASN og\u0142asza ten sam prefiks, sie\u0107 widz\u0105ca oba og\u0142oszenia mo\u017ce mie\u0107 trudno\u015bci z odr\u00f3\u017cnieniem legitymacyjnej trasy od fa\u0142szywej za pomoc\u0105 jedynie RPKI.<\/p>\n\n\n\n Nale\u017cy normalnie publikowa\u0107 dok\u0142adne ROA dla prefiks\u00f3w, kt\u00f3re publicznie og\u0142aszaj\u0105, szczeg\u00f3lnie gdy te prefiksy obs\u0142uguj\u0105 istotne us\u0142ugi. Jednak operatorzy powinni unika\u0107 tworzenia po\u015bpiechnych lub zbyt szerokich uprawnie\u0144 tylko po to, by zmieni\u0107 \"Not Found\" na \"Valid\". \u0179le skonfigurowane ROA mog\u0105 przekszta\u0142ci\u0107 prawid\u0142owy tras\u0119 w \"Invalid\", co mo\u017ce mie\u0107 bardziej natychmiastowy wp\u0142yw operacyjny.<\/p>\n\n\n\n Najwa\u017cniejsz\u0105 r\u00f3\u017cnic\u0105 jest to, \u017ce Nieprawid\u0142owy jest konflikt<\/strong>, podczas gdy Nie znaleziono to brak danych autoryzacyjnych<\/strong>. Nieprawid\u0142owy oznacza, \u017ce weryfikator znalaz\u0142 odpowiedni ROA, ale trasa nie spe\u0142nia jego warunk\u00f3w. Nie znaleziono oznacza, \u017ce nie znaleziono \u017cadnego stosownego ROA.<\/p>\n\n\n\n Rozwa\u017c dwa przyk\u0142ady. W pierwszym przypadku firma publikuje ROA zatwierdzaj\u0105ce Ta r\u00f3\u017cnica ma znaczenie przy tworzeniu polityki routingu. Wiele sieci udziela specjalnej traktacji nieprawid\u0142owym trasom, poniewa\u017c istniej\u0105ca autoryzacja wskazuje, \u017ce w\u0142a\u015bciciel zasobu wyrazi\u0142 okre\u015blony oczekiwania. Trasy Nie Znalezione mog\u0105 by\u0107 monitorowane, nadawane im ni\u017cszy priorytet lub akceptowane zgodnie z lokaln\u0105 polityk\u0105. Ka\u017cda sie\u0107 decyduje, jak zastosowa\u0107 wynik.<\/p>\n\n\n\n Operatorzy sieci powinni r\u00f3wnie\u017c pami\u0119ta\u0107, \u017ce wyniki weryfikacji mog\u0105 si\u0119 zmienia\u0107 tymczasowo podczas od\u015bwie\u017cania repozytori\u00f3w i walidator\u00f3w. Je\u015bli ROA zosta\u0142 utworzony lub zmieniony kilka minut temu, r\u00f3\u017cne narz\u0119dzia mog\u0105 wy\u015bwietla\u0107 r\u00f3\u017cne stany, dop\u00f3ki aktualizacja nie zostanie rozpropagowana przez system weryfikacji.<\/p>\n\n\n\n Najcz\u0119stszym powodem jest zmiana ASN. Firma mo\u017ce pocz\u0105tkowo og\u0142osi\u0107 prefiks z ASN dostarczonego przez organizacj\u0119 g\u00f3rno\u015brodkow\u0105 lub wspieraj\u0105c\u0105, a p\u00f3\u017aniej przenie\u015b\u0107 prefiks na w\u0142asny ASN. Je\u015bli ROA nadal autoryzuje stary \u017ar\u00f3d\u0142o, nowe og\u0142oszenie staje si\u0119 nieprawid\u0142owe.<\/p>\n\n\n\n Drugi pow\u00f3d to nieprawid\u0142owa maksymalna d\u0142ugo\u015b\u0107 prefiksu. Organizacja mo\u017ce posiada\u0107 Przekazywanie IPv4 mo\u017ce powodowa\u0107 podobne problemy. Podczas przekazywania, administratorzy i \u017ar\u00f3d\u0142o routingu mog\u0105 zmienia\u0107 si\u0119 w r\u00f3\u017cnych czasach. Je\u015bli uprawnienia poprzedniego w\u0142a\u015bciciela s\u0105 aktywne, a nowy w\u0142a\u015bciciel og\u0142asza prefiks z innego ASN, przej\u015bcie mo\u017ce spowodowa\u0107 stan nieprawid\u0142owy.<\/p>\n\n\n\n Nieprawid\u0142owe rekordy, niepoprawne granice sieci i nieporozumienia dotycz\u0105ce roli dostawcy przesy\u0142ki s\u0105 innymi cz\u0119stymi przyczynami. Dostawca mo\u017ce przenosi\u0107 tras\u0119 klienta bez bycia pocz\u0105tkowym ASN. ROA zwykle musi zezwoli\u0107 na ASN, kt\u00f3ry pojawia si\u0119 jako pocz\u0105tek trasy, a nie po prostu na dostawc\u0119 transportuj\u0105cy ruch.<\/p>\n\n\n\n Zacznij od zapisania dok\u0142adnego prefiksu i AS numeru \u017ar\u00f3d\u0142owego pokazanego w og\u0142oszeniu BGP. Nie uzywaj skr\u00f3conego wy\u015bwietlenia ani poprzedniego dokumentu konfiguracyjnego. Potwierd\u017a rodzaj adresu, d\u0142ugo\u015b\u0107 prefiksu i \u017ar\u00f3d\u0142o obserwowane przez co najmniej jeden niezawodny monitor routingu.<\/p>\n\n\n\n Nast\u0119pnie sprawd\u017a aktywne ROA dla tego prefiksu. Sprawd\u017a zatwierdzony ASN i maksymaln\u0105 d\u0142ugo\u015b\u0107 prefiksu. Je\u015bli ASN \u017ar\u00f3d\u0142owy nie pasuje, ustal, czy b\u0142\u0105d jest w trasie czy w autoryzacji. Je\u015bli ASN jest poprawny, sprawd\u017a, czy og\u0142oszeni prefiks jest bardziej szczeg\u00f3\u0142owy ni\u017c dozwolona maksymalna d\u0142ugo\u015b\u0107.<\/p>\n\n\n\n Nast\u0119pnie sprawd\u017a ostatnie zmiany. Szukaj migracji ASN, zmiany dostawcy zgodno\u015bci, przekazania IPv4, wdro\u017cenia IPv6, przeniesienia centrum danych, zmiany agregacji tras lub aktualizacji polityki BGP. Wi\u0119kszo\u015b\u0107 prawid\u0142owych wynik\u00f3w \"Invalid\" mo\u017ce by\u0107 zwi\u0105zana z ostatni\u0105 zmian\u0105, kt\u00f3ra nie zosta\u0142a odzwierciedlona w zarz\u0105dzaniu RPKI.<\/p>\n\n\n\n Je\u015bli ROA jest nieprawid\u0142owe, zaktualizuj je przez odpowiedni Regionalny Rejestr Internetowy, sponsoruj\u0105cego LIR lub system zarz\u0105dzania RPKI. Je\u015bli og\u0142oszenie BGP jest nieprawid\u0142owe, popraw zasad\u0119 routingu zamiast tego. Nie rozwi\u0105zywa\u0107 b\u0142\u0119du routingu publikuj\u0105c niepotrzebnie szeroki ROA, poniewa\u017c mo\u017ce to zautoryzowa\u0107 og\u0142oszenia, kt\u00f3re nigdy nie by\u0142y zamierzone.<\/p>\n\n\n\n Po skorygowaniu, przydziel czas na od\u015bwie\u017cenie repozytorium i weryfikatora. Sprawd\u017a wynik ponownie za pomoc\u0105 zewn\u0119trznego serwisu weryfikacji i \u017ar\u00f3d\u0142a monitorowania BGP. Trasa powinna wr\u00f3ci\u0107 do stanu \"Poprawna\", gdy orygina\u0142 i d\u0142ugo\u015b\u0107 prefiksu b\u0119d\u0105 odpowiada\u0107 opublikowanemu uprawnieniu.<\/p>\n\n\n\n Weryfikacja RPKI nie usuwa automatycznie trasy z Internetu. Sie\u0107 odbieraj\u0105ca decyduje, jak wykorzysta\u0107 wynik w swojej polityce routingu. Niekt\u00f3rzy operatorzy odrzucaj\u0105 nieprawid\u0142owe trasy, inni oznaczaj\u0105 je ni\u017cszym priorytetem, generuj\u0105 alerty lub nadal akceptuj\u0105 je przy okre\u015blonych warunkach.<\/p>\n\n\n\n \u015acie\u017cka wa\u017cna mo\u017ce otrzyma\u0107 normalne traktowanie, ale wci\u0105\u017c konkuruje z innymi \u015bcie\u017ckami zgodnie z lokaln\u0105 preferencj\u0105, d\u0142ugo\u015bci\u0105 \u015bcie\u017cki, zasadami in\u017cynierii ruchu i polityk\u0105 dostawcy. \u015acie\u017cka \"Nie znaleziono\" mo\u017ce zosta\u0107 zaakceptowana przez jedn\u0105 sie\u0107 i traktowana ostro\u017cniej przez inn\u0105. \u015acie\u017cka nieprawid\u0142owa mo\u017ce by\u0107 widoczna przez niekt\u00f3rych dostawc\u00f3w, podczas gdy w sieciach, kt\u00f3re stosuj\u0105 surowe filtry, staje si\u0119 niedost\u0119pna.<\/p>\n\n\n\n Ta r\u00f3\u017cnica wyja\u015bnia, dlaczego nieprawid\u0142owa o\u015bwiadczenie mo\u017ce powodowa\u0107 cz\u0119\u015bciow\u0105 \u0142\u0105czno\u015b\u0107. Us\u0142uga mo\u017ce dzia\u0142a\u0107 z jednego regionu, ale nie dzia\u0142a\u0107 z innego, poniewa\u017c r\u00f3\u017cne sieci stosuj\u0105 r\u00f3\u017cne polityki. Podczas diagnozowania przestoju jest wi\u0119c przydatne por\u00f3wnanie stanu weryfikacji z widoczno\u015bci\u0105 BGP z wielu lokalizacji.<\/p>\n\n\n\n RPKI powinno by\u0107 traktowane jako jedno z wej\u015b\u0107 do polityki routingu, a nie uniwersalna zast\u0119pca filtr\u00f3w prefiks\u00f3w lub monitorowania tras. Najlepsze wyniki operacyjne zwykle pochodz\u0105 z po\u0142\u0105czenia dok\u0142adnych danych RPKI z dobrze utrzymanymi rejestrami i rekordami routingu.<\/p>\n\n\n\n Te same trzy stany stosuj\u0105 si\u0119 zar\u00f3wno do IPv4, jak i IPv6. W ka\u017cdym rodzaju adres\u00f3w, weryfikator por\u00f3wnuje oznajmiony prefiks, ASN \u017ar\u00f3d\u0142owy i dozwolony d\u0142ugo\u015b\u0107 prefiksu z dost\u0119pnych ROA.<\/p>\n\n\n\n Operacje IPv4 cz\u0119sto obejmuj\u0105 stosunkowo ma\u0142e prefiksy, przekazywania, umowy wynajmu i wielu dostawc\u00f3w. Zmiana oryginalnego ASNU lub u\u017cycie bardziej szczeg\u00f3\u0142owych og\u0142oszeni mo\u017ce szybko wp\u0142yn\u0105\u0107 na wynik weryfikacji. Posiadacze zasob\u00f3w IPv4 powinni przegl\u0105da\u0107 RPKI, gdy blok zostaje przekazany, wynaj\u0119ty, przeniesiony mi\u0119dzy dostawcami lub og\u0142oszony z nowego miejsca.<\/p>\n\n\n\n Sieci IPv6 otrzymuj\u0105 cz\u0119sto wi\u0119ksze przydzielenia i mog\u0105 og\u0142asza\u0107 agregat, u\u017cywaj\u0105c mniejszych podsieci wewn\u0119trznych. Publiczny ROA powinien odpowiada\u0107 prefiksom, kt\u00f3re faktycznie s\u0105 og\u0142aszane w Internecie. Je\u015bli operator IPv6 zezwala tylko na agregat, a p\u00f3\u017aniej og\u0142asza bardziej szczeg\u00f3\u0142owe trasy, te trasy mog\u0105 sta\u0107 si\u0119 nieprawid\u0142owe, chyba \u017ce maksymalna d\u0142ugo\u015b\u0107 umo\u017cliwia je.<\/p>\n\n\n\n A larger IPv6 address space does not remove the need for origin validation. IPv6 route hijacks and configuration mistakes can still interrupt services. Publishing precise ROAs during the initial IPv6 deployment makes future troubleshooting easier and gives upstream networks a clear authorization signal.<\/p>\n\n\n\n Przed zmian\u0105 ASN, dostawcy w g\u00f3r\u0119, planu agregacji trasy lub w\u0142a\u015bciciela zasob\u00f3w adresowych zapisz aktualny stan RPKI. Potwierd\u017a, kt\u00f3ry ASN obecnie oryginalnie og\u0142asza prefiks i czy og\u0142oszenie jest poprawne, niepoprawne lub nie znaleziono.<\/p>\n\n\n\n Po przygotowaniu nowego projektu routingu por\u00f3wnaj oczekiwane \u017ar\u00f3d\u0142a i d\u0142ugo\u015bci prefiks\u00f3w z zaplanowanymi ROA. Je\u015bli \u017ar\u00f3d\u0142o ulegnie zmianie, opublikuj lub zaktualizuj uprawnienie przed og\u0142oszeniem nowego trasy, kiedy tylko pozwoli harmonogram operacyjny. Podczas kontrolowanej migracji tymczasowe uprawnienie dla obu \u017ar\u00f3de\u0142 mo\u017ce by\u0107 odpowiednie, ale uk\u0142ad powinien by\u0107 zarejestrowany, a stare uprawnienie usuni\u0119te, gdy przej\u015bcie zostanie uko\u0144czone.<\/p>\n\n\n\nCo to jest weryfikacja RPKI?<\/h2>\n\n\n\n
Co oznacza RPKI Valid?<\/h2>\n\n\n\n
203.0.113.0\/24<\/code> i publikuje ROA zatwierdzaj\u0105cego AS64500<\/code> pochodzi\u0107 z tego \/24<\/code>. Je\u017celi firma og\u0142osi 203.0.113.0\/24<\/code> z AS64500<\/code>, o\u015bwiadczenie powinno zwr\u00f3ci\u0107 poprawne. Tak samo dotyczy przyk\u0142adu IPv6, takiego jak 2001:db8:1200::\/48<\/code> kiedy u\u017cywane s\u0105 poprawne ASN i dozwolona d\u0142ugo\u015b\u0107 prefiksu.<\/p>\n\n\n\nCo oznacza RPKI nieprawid\u0142owy?<\/h2>\n\n\n\n
AS64500<\/code> pochodzi\u0107 198.51.100.0\/24<\/code>. Je\u015bli AS64510<\/code> og\u0142oszeni \u017ce ten sam prefiks, oryginalny ASN nie pasuje i trasa staje si\u0119 nieprawid\u0142owa. Wynik mo\u017ce r\u00f3wnie\u017c wyst\u0105pi\u0107, gdy AS64500<\/code> jest upowa\u017cniony do \/24<\/code> ale og\u0142asza 198.51.100.0\/25<\/code> przy czym ROA nie zezwala na prefiksy specyficzne.<\/p>\n\n\n\nCo znaczy komunikat \u201eRPKI nie znaleziono\u201d?<\/h2>\n\n\n\n
R\u00f3\u017cnica mi\u0119dzy nieprawid\u0142owym a nie znalezionym<\/h2>\n\n\n\n
AS64500<\/code> dla 192.0.2.0\/24<\/code>, ale AS64510<\/code> og\u0142oszeni prefiks. Trasa jest nieprawid\u0142owa, poniewa\u017c \u017ar\u00f3d\u0142o konfliktuje z uprawnieniem. W drugim przypadku firma nie opublikowa\u0142a \u017cadnego ROA, i AS64500<\/code> og\u0142oszeni prefiks. Trasa nie zosta\u0142a znaleziona, poniewa\u017c brak jest uprawnie\u0144 do oceny.<\/p>\n\n\n\nDlaczego legitymny spos\u00f3b mo\u017ce sta\u0107 si\u0119 nieprawid\u0142owy?<\/h2>\n\n\n\n
\/20<\/code>, opublikuj ROA o maksymalnej d\u0142ugo\u015bci \/20<\/code>, a p\u00f3\u017aniej og\u0142osi\u0107 dwa \/21<\/code> \u015bcie\u017cki dla in\u017cynierii ruchu. Te bardziej szczeg\u00f3\u0142owe og\u0142oszeni mog\u0105 nie by\u0107 obj\u0119te oryginalnym pozwoleniem. Konfiguracja BGP mo\u017ce by\u0107 celowa, ale polityka RPKI jest zbyt ograniczaj\u0105ca dla nowego projektu.<\/p>\n\n\n\nJak rozwi\u0105zywa\u0107 problemy z wynikiem RPKI nieprawid\u0142owy<\/h2>\n\n\n\n
Jak wyniki RPKI wp\u0142ywaj\u0105 na trasowanie BGP<\/h2>\n\n\n\n
RPKI Validation for IPv4 and IPv6<\/h2>\n\n\n\n
Jak sprawdzi\u0107 stan RPKI przed zmian\u0105 sieci<\/h2>\n\n\n\n