Интернет зависит от глобальной системы маршрутизации, которая позволяет сетям, центрам обработки данных, облачным платформам, интернет-провайдерам и предприятиям обмениваться трафиком. Одним из наиболее важных протоколов в этой системе является Протокол шлюзовых границ (Border Gateway Protocol), широко известный как BGP. BGP позволяет независимым сетям объявлять диапазоны IP-адресов, до которых они могут обеспечить доступ. Без BGP современный Интернет не смог бы соединить миллионы сетей в разных странах и у различных провайдеров. Однако изначально BGP был разработан для обмена информацией о маршрутизации, основываясь преимущественно на доверии. Когда сеть объявляет IP-префикс, другие сети могут принять это объявление без наличия надёжного криптографического метода подтверждения того, что данная сеть действительно имеет право использовать этот префикс. Это создаёт проблему безопасности. Неправильное или злонамеренное объявление маршрута может перенаправить трафик, прервать работу сервисов или привести к утечке данных по незапланированным путям.
RPKI был разработан для повышения безопасности маршрутизации в Интернете. Аббревиатура RPKI расшифровывается как «Инфраструктура открытых ключей для интернет-ресурсов» (Resource Public Key Infrastructure). Она обеспечивает способ связывания интернет-номерных ресурсов, таких как префиксы IPv4 и IPv6, с автономной системой (AS), уполномоченной объявлять эти префиксы. Сетевые операторы могут затем использовать эту информацию для проверки того, соответствует ли объявление BGP записанному разрешению.
Для компаний, управляющих собственным ASN, ресурсами IP-адресов, использующих нескольких провайдеров или планирующих анонсировать IPv4 или IPv6 пространство, понимание RPKI становится всё более важным. RPKI не заменяет BGP и не решает все проблемы маршрутизации. Вместо этого он предоставляет дополнительный уровень проверки, который помогает сетям принимать более безопасные решения по маршрутизации.
Что такое RPKI?
RPKI — это инфраструктура безопасности, которая использует цифровые сертификаты и криптографические записи для проверки связи между префиксом IP-адреса и исходным автономной системой (ASN). Префикс IP представляет собой блок адресов, например, IPv4 /24 or an IPv6 /48ASN идентифицирует независимую сеть, участвующую в маршрутизации BGP.
Основная идея проста. Организация, имеющая право использовать IP-префикс, публикует подписанное заявление, в котором указывается, какой ASN разрешено инициировать этот префикс в BGP. Сети, получающие объявления BGP, могут сравнивать эти объявления с опубликованной информацией. Если объявление соответствует информации, оно может считаться авторизованным. Если же оно противоречит опубликованным данным, объявление может быть признано подозрительным или недействительным.
Записи, используемые для выражения этой авторизации, обычно называются авторизациями происхождения маршрутов (ROA). ROA идентифицирует IP-префикс, авторизованный исходный автономный номер (ASN) и, при необходимости, максимальную длину префикса, которую ASN разрешено анонсировать. Хотя ROA являются важной частью RPKI, данная статья сосредоточена на более широкой цели RPKI и том, как она улучшает безопасность маршрутизации.
RPKI обычно управляется через региональные интернет-регистратуры, включая RIPE NCC, ARIN, APNIC, LACNIC и AFRINIC. В зависимости от региона и типа ресурсов владелец ресурса или спонсирующая организация может создавать и управлять соответствующими авторизационными записями через системы регистратуры.
Зачем BGP нужен RPKI?
BGP был создан в то время, когда Интернет был меньше и количество участвующих сетей было ограниченным. Его основной целью была передача информации о достижимости между автономными системами. BGP может выбирать маршруты на основе политик, длины пути, локального предпочтения и других атрибутов, но сам протокол не проверяет автоматически, авторизована ли ASN для объявления конкретного IP-префикса.
Это означает, что ошибка в конфигурации иногда может выглядеть как злонамеренное объявление. Если сеть случайно объявляет префикс, принадлежащий другой организации, другие сети могут первоначально принять этот маршрут. Результатом может стать отправка трафика не по назначению, потеря связности или нестабильность маршрутизации.
Хорошо известным примером является утечка маршрутов или перехват префиксов. При перехвате ASN анонсирует префикс, которым он не управляет или который он не должен инициировать. Анонс может быть более специфичным, чем легитимный маршрут, или может достигать достаточного количества сетей, чтобы повлиять на трафик. Даже если инцидент происходит случайно, операционное воздействие может быть значительным.
RPKI помогает сетевым операторам, предоставляя им внешний источник информации об авторизации. Вместо того чтобы полагаться только на содержимое объявления BGP, маршрутизатор или система защиты маршрутизации могут проверить, был ли исходный ASN авторизован владельцем адресного пространства. Это не предотвращает все инциденты с маршрутизацией, но делает один важный класс ошибок маршрутизации более лёгким для выявления и фильтрации.
Как работает RPKI?
RPKI работает через цепочку доверия. Интернет-числовые ресурсы управляются региональными интернет-регистраторами, и эти регистраторы обеспечивают основу для соответствующих цифровых сертификатов. Владелец IP-ресурса может создать запись авторизации, указывающую, какой ASN может инициировать префикс.
Подписанные записи собираются в репозитории, к которым может получить доступ программное обеспечение для обеспечения безопасности маршрутизации. Оператор сети запускает валидатор RPKI или использует сервис, выполняющий проверку от его имени. Валидатор загружает доступные записи, проверяет их подписи, убеждается в их актуальности и формирует проверенный набор данных.
Затем проверенный набор данных подключается к инфраструктуре маршрутизации сети. При получении маршрута BGP маршрутизатор или система политик маршрутизации сравнивает объявленный префикс и исходный ASN с проверенной информацией RPKI. Результат обычно классифицируется как «Действительно», «Недействительно» или «Не найдено».
Этот процесс происходит отдельно от самой сессии BGP. BGP продолжает обмениваться маршрутной информацией, а RPKI предоставляет дополнительные данные авторизации, которые могут использоваться в политике маршрутизации. Сеть может решать, как обрабатывать каждый результат проверки. Например, она может отклонять недействительные маршруты, назначать им меньший приоритет или генерировать оповещения для дальнейшего анализа.
Процесс спроектирован так, чтобы быть распределённым и масштабируемым. Крупные сети могут проверять множество тысяч префиксов без необходимости каждой организации устанавливать прямые связи со всеми остальными сетями. Это важно, поскольку Интернет включает огромное количество независимых операторов с различными политиками и техническими условиями.
Что такое авторизация происхождения маршрута?
Авторизация происхождения маршрута — это подписанная запись, которая указывает, какой автономной системе разрешено анонсировать конкретный IP-префикс. Это одна из самых заметных и практичных частей развертывания RPKI.
Например, организация может контролировать префикс IPv4 192.0.2.0/24 и используйте ASN AS64500 чтобы объявить это. Организация может создать авторизацию, которая позволяет AS64500 возникать 192.0.2.0/24Если другой ASN позже анонсирует тот же префикс, сети, выполняющие валидацию RPKI, могут обнаружить, что источник не соответствует авторизации.
Авторизация также может указывать максимальную длину префикса. Это важно, поскольку сеть может пожелать разрешить исходному ASN анонсировать точный агрегированный префикс, но не более мелкие префиксы с большей детализацией. Тщательно выбранная максимальная длина может снизить риск того, что неожиданный анонс будет воспринят как авторизованный.
Настройка ROA требует внимания, поскольку неверная запись может сделать легитимный маршрут недействительным. Если организация меняет транзитного провайдера, перемещает префикс в другую автономную систему (ASN), разделяет объявление на более специфичные префиксы или передаёт ресурсы другому владельцу, записи авторизации могут потребовать обновления. Устаревшая запись может вызвать перебои в работе даже при правильной конфигурации BGP.
В будущей статье можно будет объяснить, как создать ROA, как выбрать максимальную длину и как обновлять авторизации во время миграции ASN или IP-ресурсов.
Что означают «Действительно», «Недействительно» и «Не найдено»?
Статус «Действительно» означает, что объявление BGP охвачено соответствующим авторизационным документом RPKI и что исходный автономный номер (ASN) имеет право объявлять данный префикс. Как правило, это указывает на то, что объявленный префикс, его длина и исходный ASN соответствуют опубликованной авторизации.
Недействительный результат означает, что авторизация существует, но объявление BGP не соответствует ей. Это может произойти из-за того, что исходный ASN не авторизован, объявление является более специфичным, чем разрешённая максимальная длина, или префикс пересекается с авторизацией для другого источника. Недействительные маршруты требуют немедленного внимания, поскольку они могут представлять собой перехват, случайную ошибку конфигурации или незавершённый переход.
Результат «Not Found» означает, что для объявления не было найдено подходящего разрешения. Это автоматически не означает, что маршрут является вредоносным или неверным. Просто RPKI не может подтвердить происхождение с помощью опубликованных в настоящее время записей. Многие легитимные маршруты остаются в статусе «Not Found», поскольку владелец ресурсов не создал разрешение.
Различие между состояниями Invalid (Недействительно) и Not Found (Не найдено) имеет важное значение. Состояние Invalid указывает на конфликт с существующими данными об авторизации, тогда как Not Found означает отсутствие таких данных. Операторы сетей обычно относятся к маршрутам со статусом Invalid более серьёзно, однако их точная политика маршрутизации зависит от уровня допустимого риска, требований к обслуживанию и операционных процедур.
Why RPKI Matters for IPv4 Networks
Пространство адресов IPv4 ограничено, и многие префиксы IPv4 теперь используются в сложных схемах, включающих провайдеров, центры обработки данных, облачные платформы, компании по аренде и транзакции передачи. Эти схемы делают точность маршрутизации особенно важной.
Когда префикс IPv4 передаётся или перемещается между организациями, источник BGP также может измениться. Если авторизация предыдущего владельца остаётся активной, а новый владелец анонсирует префикс из другой автономной системы (ASN), маршрут может стать недействительным с точки зрения RPKI. Это одна из причин, по которой планирование RPKI должно быть включено в работу по передаче и миграции IPv4-префиксов.
Прежде чем принять или объявить префикс IPv4, организация должна подтвердить, какое лицо контролирует ресурс, какой автономной системе (AS) ожидается его происхождение, и отражают ли соответствующие записи авторизации запланированную схему маршрутизации. Следует совместно проанализировать запись в публичном реестре, объявления BGP и информацию RPKI. RPKI особенно полезен, когда компания использует нескольких транзитных провайдеров. Согласованная авторизация происхождения может защитить префикс независимо от того, какой вышестоящий провайдер передает маршрут. Однако организации по-прежнему необходимо убедиться, что все провайдеры используют правильный номер AS и длину префикса.
Компании, оценивающие блок IPv4-адресов, также могут использовать общедоступные инструменты для проверки текущих данных регистрации, информации об исходном автономном номере (ASN), статуса RPKI и видимости в BGP. Эти проверки не заменяют договорную проверку должной осмотрительности или оценку репутации, но позволяют выявить очевидные несоответствия в маршрутизации до совершения сделки или развёртывания.
Why RPKI Matters for IPv6 Networks
Сети IPv6 выигрывают от тех же принципов проверки происхождения, что и сети IPv4. Префиксы IPv6 анонсируются через BGP, и неверное происхождение может создавать аналогичные риски, включая прерывание трафика, утечку маршрутов и несанкционированные анонсы.
Развёртывание IPv6 часто включает более крупные блоки адресов и более структурированные планы адресации. Организация может получить широкое выделение и анонсировать агрегированный префикс, используя при этом меньшие внутренние подсети для сайтов, центров обработки данных или сервисов. Авторизация RPKI должна соответствовать префиксам, которые фактически предназначены для публичной маршрутизации.
Распространённой ошибкой является предположение, что маршрутизация IPv6 автоматически более безопасна из-за гораздо большего адресного пространства. Размер адресного пространства не устраняет необходимости проверки происхождения маршрута. Если префикс IPv6 анонсируется неверным ASN и отсутствует авторизация, другие сети могут иметь ограниченные возможности для отличия этого анонса от легитимного маршрута. Организациям, развёртывающим IPv6, следует включить RPKI в свою начальную схему маршрутизации, а не ждать, пока сеть полностью заработает. Это облегчает координацию плана адресации, использования ASN, провайдеров верхнего уровня и записей авторизации до того, как производственный трафик начнёт зависеть от анонса.
Каковы основные преимущества RPKI?
Основное преимущество RPKI заключается в том, что оно предоставляет широко признанный метод проверки происхождения маршрута BGP. Это даёт операторам сетей более надёжную основу для фильтрации и мониторинга объявлений, чем только информация BGP.
RPKI может снизить риск принятия маршрутов, которые явно не соответствуют заявленным правам владельца ресурсов. Он также помогает выявлять операционные ошибки во время миграций сети, изменений провайдеров, изменений спонсорства AS-номеров и передачи ресурсов IPv4 или IPv6.
Для владельцев IP-ресурсов RPKI демонстрирует, что организация активно управляет безопасностью маршрутизации своего адресного пространства. Это может улучшить взаимодействие с транзитными провайдерами и снизить путаницу при участии нескольких сторон в анонсировании одного и того же префикса.
Для провайдеров транзита и хостинг-компаний валидация RPKI может стать частью более широкой программы обеспечения безопасности маршрутизации. Провайдеры могут использовать результаты валидации вместе с фильтрами префиксов, данными IRR, мониторингом BGP и внутренними политиками маршрутизации. Ни один источник данных не является идеальным, но сочетание нескольких сигналов обеспечивает лучшую операционную видимость.
RPKI также улучшает реагирование на инциденты. Когда появляется неожиданное объявление BGP, команда сети может быстро проверить, авторизован ли источник. Это помогает отличить потенциальную перехватку от законного, но не задокументированного изменения маршрутизации.
Что RPKI не может делать
RPKI ценен, но не является полной заменой для обеспечения безопасности маршрутизации. Он проверяет связь между префиксом и исходным ASN. Он не доказывает, что каждый узел в пути BGP заслуживает доверия, и не гарантирует, что трафик будет следовать по лучшему или самому безопасному физическому маршруту.
RPKI не шифрует трафик приложений. Он не защищает веб-сессии, DNS-запросы, электронную почту или конфиденциальные данные от перехвата. Для этих целей по-прежнему необходимы технологии шифрования, такие как TLS, VPN и защищённые протоколы приложений.
RPKI также не предотвращает автоматически каждую утечку маршрутов. Маршрут может быть инициирован правильным ASN, но всё равно распространён в те места, где он не должен появляться. Проверка происхождения может классифицировать такой маршрут как действительный (Valid), поскольку его происхождение авторизовано, даже если более широкий путь операционно неверен.
RPKI сам по себе не доказывает законное право собственности. Записи реестров, договоры, документы о передаче прав и организационные полномочия остаются важными. Статус Valid указывает на то, что маршрут соответствует опубликованному разрешению; он не подтверждает, что выполнены все коммерческие или юридические требования.
Наконец, RPKI работает эффективно только при условии поддержания актуальности записей. Организация, которая создает авторизации, но забывает обновлять их после изменения провайдера или ASN, может спровоцировать собственный сбой маршрутизации.
Как бизнес может начать использовать RPKI?
Первым шагом является создание инвентаря всех префиксов IPv4 и IPv6, которыми организация владеет, арендует, спонсирует или планирует анонсировать. Для каждого префикса необходимо записать предполагаемый исходный ASN (Autonomous System Number), провайдеров, осуществляющих анонс, длину префикса, а также информацию о том, виден ли данный префикс в BGP на текущий момент.
Следующим шагом является подтверждение записей в реестре и ресурсных записей. Организация должна убедиться, что адресное пространство связано с правильным аккаунтом, организацией, спонсирующим LIR или владельцем ресурсов. Если публичные регистрационные данные устарели, их следует исправить перед созданием новых маршрутизационных авторизаций. После подтверждения инвентаря ресурсов организация может создать соответствующие записи авторизации через свой региональный интернет-регистр или спонсирующего провайдера. Исходный ASN и максимальная длина префикса должны отражать фактический план маршрутизации. Если легитимно используется несколько ASNs, дизайн должен быть тщательно документирован, а не добавлены широкие авторизации без четкой причины.
Затем организация должна проверить записи с помощью валидатора RPKI или установленного сервиса мониторинга. Важно убедиться, что предполагаемые анонсы возвращают результат «Valid» перед применением строгих политик фильтрации к трафику клиентов или производственной сети.
Развертывание следует рассматривать как операционный процесс, а не как разовую задачу по настройке. Изменения у провайдеров верхнего уровня, спонсорство ASN, агрегация префиксов, расположение центров обработки данных и условия передачи IPv4-адресов могут влиять на записи RPKI. Мониторинг и управление изменениями должны быть частью обычного рабочего процесса сети.
Распространённые ошибки при развёртывании RPKI
Одной из распространённых ошибок является создание авторизации для неверного исходного ASN. Это часто происходит во время миграции провайдера, когда старый ASN остаётся в записи, а сеть начинает анонсировать трафик с нового ASN.
Ещё одна ошибка — неправильная установка максимальной длины префикса. Если организация авторизует только агрегированный маршрут, но анонсирует более конкретный маршрут, этот анонс может стать недействительным (Invalid). Если максимальная длина установлена слишком широкой, авторизация может разрешить анонсы, которые организация не намеревалась допускать.
Устаревшие записи также являются серьёзной проблемой. Авторизация, которая была корректной несколько лет назад, может больше не соответствовать текущей сетевой архитектуре организации. Регулярные проверки особенно важны после передачи IPv4-адресов, слияния компаний, изменения спонсирующего LIR или перенумерации ASN.
Некоторые организации также предполагают, что результат «Not Found» означает, что маршрут должен быть отклонён. В большинстве случаев «Not Found» означает, что авторизация отсутствует. Это должно обрабатываться в соответствии с политикой сети и моделью рисков, а не рассматриваться как автоматически злонамеренное действие.
RPKI, IRR и мониторинг BGP
RPKI является частью более широкого подхода к безопасности маршрутизации. Базы данных IRR содержат объекты политики маршрутизации, которые могут использоваться операторами сетей для создания фильтров. Эти объекты могут описывать, какой ASN ожидается как источник префикса, но они используют другую модель доверия и проверки по сравнению с RPKI.
Мониторинг BGP показывает, что фактически анонсируется и где этот анонс виден. Он может выявить изменения маршрутов, неожиданные источники, изменения путей и периоды нестабильности. RPKI показывает, является ли источник авторизованным, но не предоставляет полную операционную историю маршрута.
По этой причине RPKI, IRR и мониторинг BGP часто используются вместе. Тщательный анализ маршрутизации может включать сравнение записи реестра, ожидаемого ASN, объекта IRR, авторизации RPKI и текущих наблюдений за BGP. Когда эти источники согласованы, положение в маршрутизации становится более понятным. В случае расхождений необходимо провести расследование до завершения миграции или передачи.
Как следует поддерживать RPKI?
Обслуживание RPKI должно быть связано с управлением изменениями в сети. Когда организация планирует изменить свой исходный ASN, провайдера верхнего уровня, длину префикса или место объявления, она должна оценить ожидаемое влияние на записи авторизации до внесения изменений.
Мониторинг должен оповещать сетевую команду, когда ожидаемый префикс становится недействительным (Invalid), когда авторизация удаляется или когда появляется ранее неизвестный источник. Оповещения наиболее полезны, когда они содержат затронутый префикс, ASN источника, текущее состояние валидации и время изменения.
Организации также должны документировать, кто отвечает за управление RPKI. В некоторых компаниях эти записи управляет команда сетевой инженерии. В других — спонсирующий LIR, провайдер управляемых услуг или команда безопасности. Четкое распределение ответственности помогает предотвратить задержки во время инцидентов и миграций между провайдерами.
Периодический обзор может быть запланирован ежемесячно, ежеквартально или всякий раз, когда происходит крупное изменение маршрутизации. Соответствующая частота зависит от размера и сложности сети. Важный момент заключается в том, что RPKI следует рассматривать как живую часть системы маршрутизации.
Часто задаваемые вопросы о RPKI
Обязательно ли использовать RPKI для работы BGP?
Нет. Сеть может использовать BGP без публикации записей авторизации RPKI. Однако использование RPKI становится всё более рекомендуемым, поскольку оно предоставляет другим сетям возможность проверять происхождение маршрутов, объявляемых организацией.
Предотвращает ли RPKI BGP-хайджек?
RPKI физически не предотвращает отправку несанкционированных объявлений BGP другими сетями. Он позволяет принимающим сетям выявлять объявления, которые не соответствуют опубликованным авторизациям. Сети могут затем отклонять такие маршруты, снижать их приоритет или отслеживать их в соответствии со своими политиками.
Является ли RPKI только для IPv4?
No. RPKI supports both IPv4 and IPv6 prefixes. The same basic origin validation concept applies to both address families.
Опасно ли состояние RPKI Not Found?
Не обязательно. Not Found означает, что не было найдено никакого применимого авторизации. Это не доказывает, что маршрут неверен. Однако держатели ресурсов должны учитывать публикацию точных авторизаций, чтобы другие сети могли проверять их анонсы.
Может ли RPKI заменить объект маршрута в IRR?
Нет. RPKI и IRR служат разным целям и часто используются вместе. Некоторые провайдеры применяют обе системы при построении маршрутных фильтров и проверке объявлений.
Что происходит, если запись RPKI неверна?
Неверная запись может привести к тому, что легитимное BGP-объявление будет классифицировано как недействительное. Организации следует проверить исходный ASN, длину префикса и максимальную длину, а затем обновить авторизацию перед применением строгой маршрутизации.
RPKI is an important improvement to the security of Internet routing. It gives IP resource holders a way to publish cryptographic authorization for the ASNs that are allowed to originate their IPv4 and IPv6 prefixes. It also gives network operators a practical method for checking whether BGP announcements match that authorization.
Концепция проста: владелец IP-префикса публикует предполагаемый источник, а другие сети проверяют объявление на соответствие этой информации. Результат может помочь определить авторизованные маршруты, конфликтующие маршруты и маршруты, для которых не было опубликовано никакой авторизации. RPKI не заменяет тщательное сетевое проектирование, управление реестрами, записи IRR, мониторинг BGP или договорную должную осмотрительность. Он также не гарантирует, что каждый маршрут будет безопасным или что каждое инцидент с маршрутизацией будет предотвращён. Его ценность заключается в добавлении надёжного сигнала авторизации в процесс маршрутизации.
Для организаций, управляющих ASN, пулами адресов IPv4, IPv6 или несколькими провайдерами верхнего уровня, RPKI должен быть включён в стандартный дизайн маршрутизации. Перед анонсом префикса, сменой провайдера, завершением передачи пула IPv4-адресов или развёртыванием новой сети IPv6 необходимо совместно проверить данные реестра, исходный ASN, записи авторизации и текущее состояние BGP. Этот простой процесс позволяет избежать предотвратимых ошибок и повысить общую надёжность подключения к Интернету.