A Internet depende de um sistema global de roteamento que permite que redes, centros de dados, plataformas em nuvem, provedores de servi\u00e7os de Internet e empresas troquem tr\u00e1fego. Um dos protocolos mais importantes neste sistema \u00e9 o Border Gateway Protocol, conhecido como BGP. O BGP permite que redes independentes anunciem quais intervalos de endere\u00e7os IP elas podem alcan\u00e7ar. Sem o BGP, a Internet moderna n\u00e3o seria capaz de conectar milh\u00f5es de redes em diferentes pa\u00edses e provedores. No entanto, o BGP foi originalmente projetado para trocar informa\u00e7\u00f5es de roteamento com base principalmente na confian\u00e7a. Quando uma rede anuncia um prefixo de IP, outras redes podem aceitar o an\u00fancio sem ter um m\u00e9todo criptogr\u00e1fico forte para confirmar se essa rede est\u00e1 realmente autorizada a usar o prefixo. Isso cria um problema de seguran\u00e7a. Um an\u00fancio de rota incorreto ou malicioso pode redirecionar o tr\u00e1fego, interromper servi\u00e7os ou expor dados a caminhos indesejados.<\/p>\n\n\n\n
O RPKI foi desenvolvido para melhorar a seguran\u00e7a do roteamento na Internet. O nome significa Infraestrutura de Chaves P\u00fablicas de Recursos. Ele fornece uma maneira de conectar recursos num\u00e9ricos da Internet, como prefixos IPv4 e IPv6, com o N\u00famero do Sistema Aut\u00f4nomo autorizado a origin\u00e1-los. Os operadores de rede podem ent\u00e3o usar essas informa\u00e7\u00f5es para determinar se um an\u00fancio BGP est\u00e1 consistente com a autoriza\u00e7\u00e3o registrada.<\/p>\n\n\n\n
Para empresas que operam a sua pr\u00f3pria ASN, gerem recursos de IP, utilizam m\u00faltiplos fornecedores upstream ou planeiam anunciar espa\u00e7o IPv4 ou IPv6, compreender o RPKI est\u00e1 a tornar-se cada vez mais importante. O RPKI n\u00e3o substitui o BGP e n\u00e3o resolve todos os problemas de roteamento. Em vez disso, fornece uma camada adicional de verifica\u00e7\u00e3o que ajuda as redes a tomar decis\u00f5es de roteamento mais seguras.<\/p>\n\n\n\n
O RPKI \u00e9 um quadro de seguran\u00e7a que utiliza certificados digitais e registos criptogr\u00e1ficos para verificar a rela\u00e7\u00e3o entre um prefixo de endere\u00e7os IP e um ASN de origem. Um prefixo IP \u00e9 um bloco de endere\u00e7os, como um IPv4 A ideia b\u00e1sica \u00e9 simples. Uma organiza\u00e7\u00e3o autorizada a utilizar um prefixo IP publica uma declara\u00e7\u00e3o assinada que identifica qual o ASN permitido para originar esse prefixo no BGP. As redes que recebem an\u00fancios BGP podem comparar o an\u00fancio com as informa\u00e7\u00f5es publicadas. Se o an\u00fancio corresponder, pode ser tratado como autorizado. Se entrar em conflito com as informa\u00e7\u00f5es, o an\u00fancio pode ser considerado suspeito ou inv\u00e1lido.<\/p>\n\n\n\n Os registos utilizados para expressar esta autoriza\u00e7\u00e3o s\u00e3o comumente chamados de Autoriza\u00e7\u00f5es de Origem de Rota, ou ROAs. Um ROA identifica um prefixo IP, um ASN de origem autorizado e, quando aplic\u00e1vel, o comprimento m\u00e1ximo do prefixo que o ASN est\u00e1 autorizado a anunciar. Embora os ROAs sejam uma parte importante do RPKI, este artigo foca-se no prop\u00f3sito mais amplo do RPKI e em como ele melhora a seguran\u00e7a do roteamento.<\/p>\n\n\n\n O RPKI \u00e9 geralmente operado atrav\u00e9s dos Registos Regionais de Internet, incluindo o RIPE NCC, ARIN, APNIC, LACNIC e AFRINIC. Dependendo da regi\u00e3o e do tipo de recurso, o detentor do recurso ou a organiza\u00e7\u00e3o patrocinadora pode criar e gerir os registos de autoriza\u00e7\u00e3o relevantes atrav\u00e9s dos sistemas do registo.<\/p>\n\n\n\n O BGP foi criado numa altura em que a Internet era mais pequena e o n\u00famero de redes participantes era limitado. O seu objetivo principal era trocar informa\u00e7\u00f5es de alcan\u00e7abilidade entre sistemas aut\u00f3nomos. O BGP pode selecionar caminhos com base em pol\u00edticas, comprimento do caminho, prefer\u00eancia local e outros atributos, mas o protocolo em si n\u00e3o verifica automaticamente se um ASN est\u00e1 autorizado a originar um determinado prefixo IP.<\/p>\n\n\n\n Isto significa que um erro de configura\u00e7\u00e3o pode, por vezes, assemelhar-se a um an\u00fancio malicioso. Se uma rede anunciar acidentalmente um prefixo pertencente a outra organiza\u00e7\u00e3o, outras redes podem inicialmente aceitar a rota. O resultado pode ser tr\u00e1fego direcionado para o destino errado, perda de conectividade ou roteamento inst\u00e1vel.<\/p>\n\n\n\n Um exemplo bem conhecido \u00e9 um vazamento de rota ou sequestro de prefixo. Num sequestro, uma ASN anuncia um prefixo que n\u00e3o controla ou que n\u00e3o deveria originar. O an\u00fancio pode ser mais espec\u00edfico do que a rota leg\u00edtima, ou pode atingir redes suficientes para afetar o tr\u00e1fego. Mesmo quando o incidente \u00e9 acidental, o impacto operacional pode ser significativo.<\/p>\n\n\n\n O RPKI ajuda ao fornecer aos operadores de rede uma fonte externa de informa\u00e7\u00e3o de autoriza\u00e7\u00e3o. Em vez de depender apenas do conte\u00fado de um an\u00fancio BGP, um router ou sistema de seguran\u00e7a de roteamento pode verificar se o ASN de origem foi autorizado pelo detentor do espa\u00e7o de endere\u00e7os. Isto n\u00e3o previne todos os incidentes de roteamento, mas torna mais f\u00e1cil identificar e filtrar uma classe importante de erros de roteamento.<\/p>\n\n\n\n O RPKI funciona atrav\u00e9s de uma cadeia de confian\u00e7a. Os recursos num\u00e9ricos da Internet s\u00e3o geridos por Registos Intern\u00e9ticos Regionais, e esses registos fornecem a base para os certificados digitais relevantes. O detentor de um recurso IP pode criar um registo de autoriza\u00e7\u00e3o que indique qual o ASN que pode originar o prefixo.<\/p>\n\n\n\n Os registos assinados s\u00e3o recolhidos em reposit\u00f3rios que podem ser acedidos por software de seguran\u00e7a de roteamento. Um operador de rede executa um validador RPKI ou utiliza um servi\u00e7o que realiza a valida\u00e7\u00e3o em seu nome. O validador descarrega os registos dispon\u00edveis, verifica as suas assinaturas, confirma se est\u00e3o atualizados e produz um conjunto de dados validado.<\/p>\n\n\n\n O conjunto de dados validado \u00e9 ent\u00e3o conectado \u00e0 infraestrutura de roteamento da rede. Quando uma rota BGP \u00e9 recebida, o router ou o sistema de pol\u00edticas de roteamento compara o prefixo anunciado e o ASN de origem com as informa\u00e7\u00f5es RPKI validadas. O resultado \u00e9 normalmente classificado como V\u00e1lido, Inv\u00e1lido ou N\u00e3o Encontrado.<\/p>\n\n\n\n Este processo ocorre separadamente da pr\u00f3pria sess\u00e3o BGP. O BGP continua a trocar informa\u00e7\u00f5es de roteamento, enquanto o RPKI fornece dados adicionais de autoriza\u00e7\u00e3o que podem ser utilizados na pol\u00edtica de roteamento. Uma rede pode decidir como lidar com cada resultado de valida\u00e7\u00e3o. Por exemplo, pode rejeitar rotas Inv\u00e1lidas, atribuir-lhes uma prefer\u00eancia mais baixa ou gerar alertas para an\u00e1lise adicional.<\/p>\n\n\n\n O processo foi concebido para ser distribu\u00eddo e escal\u00e1vel. Redes de grandes dimens\u00f5es podem validar milhares de prefixos sem que seja necess\u00e1rio que cada organiza\u00e7\u00e3o estabele\u00e7a uma rela\u00e7\u00e3o direta com todas as outras redes. Isto \u00e9 importante porque a Internet inclui um n\u00famero enorme de operadores independentes, com pol\u00edticas e ambientes t\u00e9cnicos diferentes.<\/p>\n\n\n\n Uma Autoriza\u00e7\u00e3o de Origem de Rota \u00e9 um registo assinado que indica qual o ASN autorizado a originar um prefixo IP espec\u00edfico. \u00c9 uma das partes mais vis\u00edveis e pr\u00e1ticas da implementa\u00e7\u00e3o do RPKI.<\/p>\n\n\n\n Por exemplo, uma organiza\u00e7\u00e3o pode controlar o prefixo IPv4 A autoriza\u00e7\u00e3o tamb\u00e9m pode especificar um comprimento m\u00e1ximo de prefixo. Isto \u00e9 importante porque uma rede pode querer permitir que o ASN de origem anuncie exatamente o prefixo agregado, mas n\u00e3o prefixos mais espec\u00edficos e menores. Um comprimento m\u00e1ximo cuidadosamente selecionado pode reduzir o risco de um an\u00fancio inesperado ser tratado como autorizado.<\/p>\n\n\n\n A configura\u00e7\u00e3o ROA requer aten\u00e7\u00e3o, pois um registo incorreto pode fazer com que uma rota leg\u00edtima seja considerada inv\u00e1lida. Se uma organiza\u00e7\u00e3o alterar o seu fornecedor de tr\u00e2nsito, mover um prefixo para uma ASN diferente, dividir um an\u00fancio em prefixos mais espec\u00edficos ou transferir recursos para outro detentor, os registos de autoriza\u00e7\u00e3o podem precisar de ser atualizados. Um registo desatualizado pode causar uma interrup\u00e7\u00e3o mesmo quando a configura\u00e7\u00e3o BGP est\u00e1 correta.<\/p>\n\n\n\n Um artigo futuro pode explicar como criar um ROA, como escolher um comprimento m\u00e1ximo e como atualizar autoriza\u00e7\u00f5es durante uma migra\u00e7\u00e3o de ASN ou recursos IP.<\/p>\n\n\n\n Um resultado v\u00e1lido significa que um an\u00fancio BGP est\u00e1 coberto por uma autoriza\u00e7\u00e3o RPKI aplic\u00e1vel e que o ASN de origem est\u00e1 autorizado a anunciar o prefixo. Geralmente, indica que o prefixo anunciado, o comprimento do prefixo e o ASN de origem est\u00e3o em conformidade com a autoriza\u00e7\u00e3o publicada.<\/p>\n\n\n\n Um resultado inv\u00e1lido significa que existe uma autoriza\u00e7\u00e3o, mas o an\u00fancio BGP n\u00e3o est\u00e1 em conformidade com ela. Isto pode acontecer porque o ASN de origem n\u00e3o est\u00e1 autorizado, porque o an\u00fancio \u00e9 mais espec\u00edfico do que o comprimento m\u00e1ximo permitido ou porque o prefixo se sobrep\u00f5e a uma autoriza\u00e7\u00e3o para uma origem diferente. As rotas inv\u00e1lidas merecem aten\u00e7\u00e3o imediata, pois podem representar um sequestro, uma configura\u00e7\u00e3o acidental ou uma migra\u00e7\u00e3o incompleta.<\/p>\n\n\n\n Um resultado Not Found significa que n\u00e3o foi encontrada nenhuma autoriza\u00e7\u00e3o aplic\u00e1vel para o an\u00fancio. Isso n\u00e3o significa automaticamente que a rota \u00e9 maliciosa ou incorreta. Significa apenas que o RPKI n\u00e3o consegue confirmar a origem utilizando os registos atualmente publicados. Muitas rotas leg\u00edtimas permanecem como Not Found porque o detentor dos recursos n\u00e3o criou uma autoriza\u00e7\u00e3o.<\/p>\n\n\n\n A distin\u00e7\u00e3o entre Inv\u00e1lido e N\u00e3o Encontrado \u00e9 importante. Inv\u00e1lido indica um conflito com os dados de autoriza\u00e7\u00e3o existentes, enquanto N\u00e3o Encontrado indica a aus\u00eancia de dados de autoriza\u00e7\u00e3o. Os operadores de rede costumam tratar as rotas Inv\u00e1lidas com mais seriedade, mas a sua pol\u00edtica de roteamento exata depende da sua toler\u00e2ncia ao risco, dos requisitos do servi\u00e7o e dos procedimentos operacionais.<\/p>\n\n\n\n O espa\u00e7o de endere\u00e7os IPv4 \u00e9 limitado, e muitos prefixos IPv4 est\u00e3o agora em uso em arranjos complexos que envolvem fornecedores, centros de dados, plataformas de cloud, empresas de arrendamento e transa\u00e7\u00f5es de transfer\u00eancia. Estes arranjos tornam a precis\u00e3o do roteamento especialmente importante.<\/p>\n\n\n\n Quando um prefixo IPv4 \u00e9 transferido ou movido entre organiza\u00e7\u00f5es, a origem BGP tamb\u00e9m pode mudar. Se a autoriza\u00e7\u00e3o do antigo propriet\u00e1rio permanecer ativa enquanto o novo propriet\u00e1rio anuncia o prefixo a partir de uma ASN diferente, a rota pode tornar-se Inv\u00e1lida no RPKI. Esta \u00e9 uma das raz\u00f5es pelas quais o planeamento do RPKI deve ser inclu\u00eddo nos trabalhos de transfer\u00eancia e migra\u00e7\u00e3o de IPv4.<\/p>\n\n\n\n Antes de aceitar ou anunciar um prefixo IPv4, uma organiza\u00e7\u00e3o deve confirmar qual entidade controla o recurso, qual ASN se espera que o origine e se os registos de autoriza\u00e7\u00e3o relevantes refletem o plano de roteamento previsto. O registo do registo p\u00fablico, os an\u00fancios BGP e as informa\u00e7\u00f5es RPKI devem ser analisados em conjunto. O RPKI \u00e9 particularmente \u00fatil quando uma empresa utiliza v\u00e1rios fornecedores de tr\u00e2nsito. Uma autoriza\u00e7\u00e3o de origem consistente pode ajudar a proteger o prefixo, independentemente do fornecedor upstream que transporte a rota. No entanto, a organiza\u00e7\u00e3o ainda precisa de garantir que todos os fornecedores est\u00e3o a utilizar o ASN e o comprimento do prefixo corretos.<\/p>\n\n\n\n As empresas que avaliam um bloco IPv4 tamb\u00e9m podem utilizar ferramentas p\u00fablicas para rever os dados de registo atuais, informa\u00e7\u00f5es sobre a ASN de origem, o estado RPKI e a visibilidade BGP. Estas verifica\u00e7\u00f5es n\u00e3o substituem a dilig\u00eancia devida contratual ou a avalia\u00e7\u00e3o de reputa\u00e7\u00e3o, mas podem revelar inconsist\u00eancias \u00f3bvias no roteamento antes de uma transa\u00e7\u00e3o ou implementa\u00e7\u00e3o.<\/p>\n\n\n\n As redes IPv6 beneficiam dos mesmos princ\u00edpios de valida\u00e7\u00e3o de origem que as redes IPv4. Os prefixos IPv6 s\u00e3o anunciados atrav\u00e9s do BGP, e uma origem incorreta pode criar riscos semelhantes, incluindo interrup\u00e7\u00e3o de tr\u00e1fego, vazamento de rotas e an\u00fancios n\u00e3o autorizados.<\/p>\n\n\n\n Os despliegues de IPv6 implican a mi\u00fado bloques de enderezos m\u00e1is grandes e plans de enderezado m\u00e1is estruturados. Unha organizaci\u00f3n pode recibir unha asignaci\u00f3n ampla e anunciar un agregado, mentres usa subredes internas m\u00e1is pequenas para sitios, centros de datos ou servizos. A autorizaci\u00f3n RPKI debe coincidir cos prefixos que est\u00e1n realmente destinados ao enrutamento p\u00fablico.<\/p>\n\n\n\n Um erro comum \u00e9 assumir que o roteamento IPv6 \u00e9 automaticamente mais seguro porque o IPv6 tem um espa\u00e7o de endere\u00e7os muito maior. O tamanho do espa\u00e7o de endere\u00e7os n\u00e3o elimina a necessidade de verificar a origem da rota. Se um prefixo IPv6 for anunciado por uma ASN incorreta e n\u00e3o existir autoriza\u00e7\u00e3o, outras redes podem ter capacidade limitada para distinguir o an\u00fancio de uma rota leg\u00edtima. As organiza\u00e7\u00f5es que implementam IPv6 devem incluir o RPKI no seu projeto inicial de roteamento, em vez de esperar at\u00e9 que a rede esteja totalmente operacional. Isso facilita a coordena\u00e7\u00e3o do plano de endere\u00e7os, uso de ASN, provedores upstream e registos de autoriza\u00e7\u00e3o antes que o tr\u00e1fego de produ\u00e7\u00e3o dependa do an\u00fancio.<\/p>\n\n\n\n O principal benef\u00edcio do RPKI \u00e9 que ele fornece um m\u00e9todo amplamente reconhecido para validar a origem de uma rota BGP. Isso d\u00e1 aos operadores de rede uma base mais s\u00f3lida para filtrar e monitorar an\u00fancios do que apenas as informa\u00e7\u00f5es do BGP.<\/p>\n\n\n\n O RPKI pode reduzir o risco de aceitar rotas que s\u00e3o claramente inconsistentes com a autoriza\u00e7\u00e3o declarada pelo detentor dos recursos. Tamb\u00e9m pode ajudar a identificar erros operacionais durante migra\u00e7\u00f5es de rede, altera\u00e7\u00f5es de provedores, mudan\u00e7as no patroc\u00ednio do ASN e transfer\u00eancias de recursos IPv4 ou IPv6.<\/p>\n\n\n\n Para os titulares de recursos IP, o RPKI demonstra que a organiza\u00e7\u00e3o est\u00e1 a gerir ativamente a seguran\u00e7a do roteamento do seu espa\u00e7o de endere\u00e7os. Isto pode melhorar a coordena\u00e7\u00e3o com os fornecedores de tr\u00e2nsito e reduzir a confus\u00e3o quando m\u00faltiplas partes est\u00e3o envolvidas no an\u00fancio do mesmo prefixo.<\/p>\n\n\n\n Para os operadores de tr\u00e2nsito e empresas de alojamento, a valida\u00e7\u00e3o RPKI pode tornar-se parte de um programa mais abrangente de seguran\u00e7a de roteamento. Os provedores podem utilizar os resultados da validiza\u00e7\u00e3o em conjunto com filtros de prefixos, dados do IRR, monitoriza\u00e7\u00e3o BGP e pol\u00edticas internas de roteamento. Nenhuma fonte de dados \u00e9 perfeita, mas combinar v\u00e1rios sinais proporciona uma melhor visibilidade operacional.<\/p>\n\n\n\n O RPKI tamb\u00e9m melhora a resposta a incidentes. Quando surge um an\u00fancio BGP inesperado, a equipa de rede pode verificar rapidamente se a origem est\u00e1 autorizada. Isto ajuda a distinguir um poss\u00edvel hijacking de uma altera\u00e7\u00e3o de roteamento leg\u00edtima, mas n\u00e3o documentada.<\/p>\n\n\n\n O RPKI \u00e9 valioso, mas n\u00e3o substitui completamente a seguran\u00e7a de roteamento. Ele valida a rela\u00e7\u00e3o entre um prefixo e um ASN de origem. N\u00e3o prova que cada salto no caminho BGP seja confi\u00e1vel, nem garante que o tr\u00e1fego seguir\u00e1 a rota f\u00edsica mais eficiente ou segura.<\/p>\n\n\n\n O RPKI n\u00e3o encripta o tr\u00e1fego das aplica\u00e7\u00f5es. N\u00e3o protege sess\u00f5es web, consultas DNS, correio eletr\u00f3nico ou dados privados contra intercepta\u00e7\u00e3o. As tecnologias de encripta\u00e7\u00e3o, como TLS, VPNs e protocolos de aplica\u00e7\u00e3o seguros, continuam a ser necess\u00e1rias para esses fins.<\/p>\n\n\n\n O RPKI tamb\u00e9m n\u00e3o impede automaticamente todos os vazamentos de rotas. Uma rota pode ser originada pelo ASN correto, mas ainda assim ser propagada para locais onde n\u00e3o deveria aparecer. A valida\u00e7\u00e3o de origem pode classificar tal rota como V\u00e1lida porque a origem \u00e9 autorizada, mesmo que o caminho mais amplo esteja operacionalmente incorreto.<\/p>\n\n\n\n O RPKI n\u00e3o comprova, por si s\u00f3, a propriedade legal. Os registos do registo, os contratos, os documentos de transfer\u00eancia e a autoriza\u00e7\u00e3o organizacional continuam a ser importantes. Um resultado V\u00e1lido indica que a rota corresponde a uma autoriza\u00e7\u00e3o publicada; n\u00e3o confirma que todos os requisitos comerciais ou legais tenham sido satisfeitos.<\/p>\n\n\n\n Finalmente, o RPKI s\u00f3 funciona eficazmente quando os registos s\u00e3o mantidos. Uma organiza\u00e7\u00e3o que cria autoriza\u00e7\u00f5es e depois se esquece de as atualizar ap\u00f3s uma mudan\u00e7a de fornecedor ou ASN pode causar a sua pr\u00f3pria interrup\u00e7\u00e3o de roteamento.<\/p>\n\n\n\n O primeiro passo \u00e9 criar um invent\u00e1rio de todos os prefixos IPv4 e IPv6 que a organiza\u00e7\u00e3o possui, arrenda, patrocina ou espera anunciar. Para cada prefixo, registe o ASN de origem pretendido, os fornecedores de an\u00fancio, o comprimento do prefixo e se o prefixo est\u00e1 atualmente vis\u00edvel no BGP.<\/p>\n\n\n\n O pr\u00f3ximo passo \u00e9 confirmar os registos e os registros de recursos. A organiza\u00e7\u00e3o deve verificar se o espa\u00e7o de endere\u00e7os est\u00e1 associado \u00e0 conta correta, organiza\u00e7\u00e3o, LIR patrocinador ou detentor de recursos. Se os dados p\u00fablicos de registo estiverem desatualizados, devem ser corrigidos antes de criar novas autoriza\u00e7\u00f5es de roteamento. Ap\u00f3s a confirma\u00e7\u00e3o do invent\u00e1rio de recursos, a organiza\u00e7\u00e3o pode criar os registros de autoriza\u00e7\u00e3o apropriados atrav\u00e9s do seu Registro Internet Regional ou provedor patrocinador. O ASN de origem e o comprimento m\u00e1ximo do prefixo devem refletir o plano de roteamento real. Se v\u00e1rios ASNs forem utilizados legitimamente, o design deve ser documentado cuidadosamente em vez de adicionar autoriza\u00e7\u00f5es amplas sem uma raz\u00e3o clara.<\/p>\n\n\n\n A organiza\u00e7\u00e3o deve, em seguida, validar os registos utilizando um validador RPKI ou um servi\u00e7o de monitoriza\u00e7\u00e3o estabelecido. \u00c9 importante confirmar que os an\u00fancios pretendidos retornam um resultado V\u00e1lido antes de aplicar pol\u00edticas de filtragem rigorosas ao tr\u00e1fego dos clientes ou da produ\u00e7\u00e3o.<\/p>\n\n\n\n O processo de implementa\u00e7\u00e3o deve ser tratado como um processo operacional, e n\u00e3o como uma tarefa de configura\u00e7\u00e3o \u00fanica. As altera\u00e7\u00f5es nos fornecedores upstream, no patroc\u00ednio do ASN, na agrega\u00e7\u00e3o de prefixos, nas localiza\u00e7\u00f5es dos data centers e nos acordos de transfer\u00eancia de IPv4 podem afetar todos os registos RPKI. A monitoriza\u00e7\u00e3o e a gest\u00e3o de altera\u00e7\u00f5es devem fazer parte do fluxo normal de trabalho da rede.<\/p>\n\n\n\n Um erro comum \u00e9 criar uma autoriza\u00e7\u00e3o para a ASN de origem errada. Isto acontece frequentemente durante uma migra\u00e7\u00e3o de fornecedor, quando a ASN antiga permanece no registo enquanto a rede come\u00e7a a anunciar a partir de uma nova ASN.<\/p>\n\n\n\n Outro erro \u00e9 definir incorretamente o comprimento m\u00e1ximo do prefixo. Se uma organiza\u00e7\u00e3o autorizar apenas um agregado, mas anunciar uma rota mais espec\u00edfica, o an\u00fancio mais espec\u00edfico pode tornar-se Inv\u00e1lido. Se o comprimento m\u00e1ximo for definido de forma demasiado ampla, a autoriza\u00e7\u00e3o pode permitir an\u00fancios que a organiza\u00e7\u00e3o n\u00e3o pretendia permitir.<\/p>\n\n\n\n Os registos desatualizados tamb\u00e9m constituem um problema significativo. Uma autoriza\u00e7\u00e3o que estava correta h\u00e1 v\u00e1rios anos pode j\u00e1 n\u00e3o corresponder ao desenho atual da rede da organiza\u00e7\u00e3o. As revis\u00f5es regulares s\u00e3o especialmente importantes ap\u00f3s uma transfer\u00eancia de IPv4, fus\u00e3o, altera\u00e7\u00e3o do LIR patrocinador ou renomea\u00e7\u00e3o de ASN.<\/p>\n\n\n\n Algumas organiza\u00e7\u00f5es tamb\u00e9m assumem que um resultado de N\u00e3o Encontrado significa que uma rota deve ser rejeitada. Na maioria dos casos, N\u00e3o Encontrado significa que n\u00e3o existe nenhuma autoriza\u00e7\u00e3o. Deve ser tratado de acordo com a pol\u00edtica da rede e o modelo de risco, em vez de ser tratado como automaticamente malicioso.<\/p>\n\n\n\n O RPKI \u00e9 uma parte de uma abordagem mais ampla de seguran\u00e7a de roteamento. As bases de dados IRR cont\u00eam objetos de pol\u00edtica de roteamento que podem ser utilizados por operadores de rede para gerar filtros. Estes objetos podem descrever qual ASN se espera que origine um prefixo, mas utilizam um modelo de confian\u00e7a e valida\u00e7\u00e3o diferente do RPKI.<\/p>\n\n\n\n A monitoriza\u00e7\u00e3o BGP mostra o que est\u00e1 realmente a ser anunciado e onde o an\u00fancio \u00e9 vis\u00edvel. Pode revelar altera\u00e7\u00f5es de rotas, origens inesperadas, mudan\u00e7as de caminho e per\u00edodos de instabilidade. O RPKI indica se a origem est\u00e1 autorizada, mas n\u00e3o fornece o hist\u00f3rico operacional completo de uma rota.<\/p>\n\n\n\n Por esta raz\u00e3o, o RPKI, o IRR e a monitoriza\u00e7\u00e3o do BGP s\u00e3o frequentemente utilizados em conjunto. Uma revis\u00e3o robusta da roteamento pode comparar o registo no registry, o ASN esperado, o objeto IRR, a autoriza\u00e7\u00e3o RPKI e as observa\u00e7\u00f5es do BGP em tempo real. Quando estas fontes concordam, a posi\u00e7\u00e3o de roteamento torna-se mais f\u00e1cil de compreender. Quando discordam, a diverg\u00eancia deve ser investigada antes de uma migra\u00e7\u00e3o ou transfer\u00eancia ser conclu\u00edda.<\/p>\n\n\n\n A manuten\u00e7\u00e3o do RPKI deve estar ligada \u00e0 gest\u00e3o de altera\u00e7\u00f5es da rede. Quando uma organiza\u00e7\u00e3o planeia alterar o seu ASN de origem, o fornecedor upstream, o comprimento do prefixo ou a localiza\u00e7\u00e3o do an\u00fancio, deve rever o efeito esperado nos registos de autoriza\u00e7\u00e3o antes de efetuar a altera\u00e7\u00e3o.<\/p>\n\n\n\n A monitoriza\u00e7\u00e3o deve alertar a equipa de rede quando um prefixo esperado se tornar Inv\u00e1lido, quando uma autoriza\u00e7\u00e3o for removida ou quando surgir uma origem anteriormente n\u00e3o vista. Os alertas s\u00e3o mais \u00fateis quando incluem o prefixo afetado, o ASN da origem, o estado de valida\u00e7\u00e3o atual e a hora da altera\u00e7\u00e3o.<\/p>\n\n\n\n As organiza\u00e7\u00f5es devem tamb\u00e9m documentar quem \u00e9 respons\u00e1vel pela gest\u00e3o do RPKI. Em algumas empresas, a equipa de engenharia de rede gere os registos. Noutras, o LIR patrocinador, o prestador de servi\u00e7os geridos ou a equipa de seguran\u00e7a trata deles. Uma propriedade clara ajuda a evitar atrasos durante incidentes e migra\u00e7\u00f5es de provedores.<\/p>\n\n\n\n Uma revis\u00e3o peri\u00f3dica pode ser agendada mensalmente, trimestralmente ou sempre que ocorrer uma altera\u00e7\u00e3o significativa no roteamento. A frequ\u00eancia adequada depende do tamanho e da complexidade da rede. O ponto importante \u00e9 que o RPKI deve ser tratado como uma parte viva do sistema de roteamento.<\/p>\n\n\n\n N\u00e3o. Uma rede pode utilizar o BGP sem publicar registos de autoriza\u00e7\u00e3o RPKI. No entanto, o RPKI \u00e9 cada vez mais recomendado porque oferece \u00e0s outras redes uma forma de validar a origem das rotas anunciadas pela organiza\u00e7\u00e3o.<\/p>\n\n\n\n O RPKI n\u00e3o impede fisicamente que outra rede envie um an\u00fancio BGP n\u00e3o autorizado. Permite que as redes receptoras identifiquem an\u00fancios que n\u00e3o correspondam \u00e0s autoriza\u00e7\u00f5es publicadas. As redes podem ent\u00e3o rejeitar, desfavorecer ou monitorizar essas rotas de acordo com as suas pol\u00edticas.<\/p>\n\n\n\n No. RPKI supports both IPv4 and IPv6 prefixes. The same basic origin validation concept applies to both address families.<\/p>\n\n\n\n N\u00e3o necessariamente. Not Found significa que n\u00e3o foi encontrada nenhuma autoriza\u00e7\u00e3o aplic\u00e1vel. Isso n\u00e3o prova que a rota esteja errada. No entanto, os detentores de recursos devem considerar publicar autoriza\u00e7\u00f5es precisas para que outras redes possam validar seus an\u00fancios.<\/p>\n\n\n\n N\u00e3o. O RPKI e o IRR t\u00eam prop\u00f3sitos diferentes e s\u00e3o frequentemente utilizados em conjunto. Alguns fornecedores utilizam ambos os sistemas ao criar filtros de roteamento e ao rever an\u00fancios.<\/p>\n\n\n\n Um registo incorreto pode fazer com que um an\u00fancio BGP leg\u00edtimo seja classificado como Inv\u00e1lido. A organiza\u00e7\u00e3o deve rever o ASN de origem, o comprimento do prefixo e o comprimento m\u00e1ximo, e atualizar a autoriza\u00e7\u00e3o antes de aplicar o filtro estrito de rotas.<\/p>\n\n\n\n RPKI is an important improvement to the security of Internet routing. It gives IP resource holders a way to publish cryptographic authorization for the ASNs that are allowed to originate their IPv4 and IPv6 prefixes. It also gives network operators a practical method for checking whether BGP announcements match that authorization.<\/p>\n\n\n\n O conceito \u00e9 simples: o detentor de um prefixo IP publica a origem pretendida, e outras redes validam o an\u00fancio com base nessa informa\u00e7\u00e3o. O resultado pode ajudar a identificar rotas autorizadas, rotas em conflito e rotas para as quais n\u00e3o foi publicada qualquer autoriza\u00e7\u00e3o. O RPKI n\u00e3o substitui uma engenharia de rede cuidadosa, a gest\u00e3o dos registos, os registos IRR, a monitoriza\u00e7\u00e3o BGP ou a dilig\u00eancia devida contratual. Tamb\u00e9m n\u00e3o garante que todas as rotas sejam seguras ou que todos os incidentes de roteamento sejam evitados. O seu valor reside em adicionar um sinal de autoriza\u00e7\u00e3o fi\u00e1vel ao processo de roteamento.<\/p>\n\n\n\n Para organiza\u00e7\u00f5es que gerem um ASN, espa\u00e7o IPv4, espa\u00e7o IPv6 ou m\u00faltiplos fornecedores upstream, o RPKI deve ser inclu\u00eddo no desenho normal de roteamento. Antes de anunciar um prefixo, alterar de fornecedor, concluir uma transfer\u00eancia de IPv4 ou implementar uma nova rede IPv6, reveja os dados do registo, o ASN de origem, os registos de autoriza\u00e7\u00e3o e o estado BGP em tempo real em conjunto. Esse processo simples pode evitar erros evit\u00e1veis e melhorar a fiabilidade geral da conectividade \u00e0 Internet.<\/p>\n\n\n\n <\/p>","protected":false},"excerpt":{"rendered":" The Internet depends on a global routing system that allows networks, data centers, cloud platforms, Internet service providers, and enterprises to exchange traffic. One of the most important protocols in this system is the Border Gateway Protocol, commonly known as BGP. BGP allows independent networks to announce which IP address ranges they can reach. Without […]<\/p>\n","protected":false},"author":1,"featured_media":1088,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_seopress_titles_title":"What Is RPKI? A Beginner\u2019s Guide to Secure BGP Routing","_seopress_titles_desc":"Learn what RPKI is, how it protects BGP routing, why it matters for IPv4 and IPv6 networks, and how businesses can start using route origin validation.","_seopress_robots_index":"","_seopress_robots_follow":"","_seopress_robots_imageindex":"","_seopress_robots_snippet":"","_seopress_robots_primary_cat":"","_seopress_robots_breadcrumbs":"","_seopress_robots_freeze_modified_date":"","_seopress_robots_custom_modified_date":"","_seopress_robots_canonical":"","_seopress_social_fb_title":"","_seopress_social_fb_desc":"","_seopress_social_fb_img":"","_seopress_social_fb_img_attachment_id":0,"_seopress_social_fb_img_width":0,"_seopress_social_fb_img_height":0,"_seopress_social_twitter_title":"","_seopress_social_twitter_desc":"","_seopress_social_twitter_img":"","_seopress_social_twitter_img_attachment_id":0,"_seopress_social_twitter_img_width":0,"_seopress_social_twitter_img_height":0,"_seopress_redirections_value":"","_seopress_redirections_enabled":"","_seopress_redirections_enabled_regex":"","_seopress_redirections_logged_status":"","_seopress_redirections_param":"","_seopress_redirections_type":0,"_seopress_analysis_target_kw":"","footnotes":""},"categories":[1],"tags":[],"class_list":["post-1086","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-article"],"_links":{"self":[{"href":"https:\/\/junglelabs.uk\/pt\/wp-json\/wp\/v2\/posts\/1086","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/junglelabs.uk\/pt\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/junglelabs.uk\/pt\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/junglelabs.uk\/pt\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/junglelabs.uk\/pt\/wp-json\/wp\/v2\/comments?post=1086"}],"version-history":[{"count":3,"href":"https:\/\/junglelabs.uk\/pt\/wp-json\/wp\/v2\/posts\/1086\/revisions"}],"predecessor-version":[{"id":1091,"href":"https:\/\/junglelabs.uk\/pt\/wp-json\/wp\/v2\/posts\/1086\/revisions\/1091"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/junglelabs.uk\/pt\/wp-json\/wp\/v2\/media\/1088"}],"wp:attachment":[{"href":"https:\/\/junglelabs.uk\/pt\/wp-json\/wp\/v2\/media?parent=1086"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/junglelabs.uk\/pt\/wp-json\/wp\/v2\/categories?post=1086"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/junglelabs.uk\/pt\/wp-json\/wp\/v2\/tags?post=1086"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}\/24<\/code> or an IPv6 \/48<\/code>. Um ASN identifica uma rede independente que participa do roteamento BGP.<\/p>\n\n\n\nPorque o BGP precisa do RPKI?<\/h2>\n\n\n\n
Como Funciona o RPKI?<\/h2>\n\n\n\n
O que \u00e9 uma Autoriza\u00e7\u00e3o de Origem de Rota?<\/h2>\n\n\n\n
192.0.2.0\/24<\/code> e utilize ASN AS64500<\/code> para o anunciar. A organiza\u00e7\u00e3o pode criar uma autoriza\u00e7\u00e3o que permita AS64500<\/code> originar 192.0.2.0\/24<\/code>. Se outra ASN anunciar posteriormente o mesmo prefixo, as redes que realizam valida\u00e7\u00e3o RPKI podem detetar que a origem n\u00e3o corresponde \u00e0 autoriza\u00e7\u00e3o.<\/p>\n\n\n\nO que significam V\u00e1lido, Inv\u00e1lido e N\u00e3o Encontrado?<\/h2>\n\n\n\n
Why RPKI Matters for IPv4 Networks<\/h2>\n\n\n\n
Why RPKI Matters for IPv6 Networks<\/h2>\n\n\n\n
Quais s\u00e3o os principais benef\u00edcios do RPKI?<\/h2>\n\n\n\n
O que o RPKI N\u00e3o Pode Fazer<\/h2>\n\n\n\n
Como uma empresa pode come\u00e7ar a usar RPKI?<\/h2>\n\n\n\n
Erros Comuns na Implementa\u00e7\u00e3o do RPKI<\/h2>\n\n\n\n
RPKI, IRR e Monitoriza\u00e7\u00e3o BGP<\/h2>\n\n\n\n
Como deve ser mantido o RPKI?<\/h2>\n\n\n\n
Perguntas Frequentes sobre RPKI<\/h2>\n\n\n\n
O RPKI \u00e9 obrigat\u00f3rio para usar o BGP?<\/h3>\n\n\n\n
O RPKI impede um sequestro de BGP?<\/h3>\n\n\n\n
O RPKI \u00e9 apenas para IPv4?<\/h3>\n\n\n\n
Um resultado de RPKI \"Not Found\" \u00e9 perigoso?<\/h3>\n\n\n\n
O RPKI pode substituir um objeto de rota IRR?<\/h3>\n\n\n\n
O que acontece se um registo RPKI estiver errado?<\/h3>\n\n\n\n