Internetet är beroende av ett globalt routningssystem som gör det möjligt för nätverk, datacenter, molnplattformar, internetleverantörer och företag att utbyta trafik. Ett av de viktigaste protokollen i detta system är Border Gateway Protocol, vanligtvis känt som BGP. BGP gör det möjligt för oberoende nätverk att annonsera vilka IP-adressintervall de kan nå. Utan BGP skulle inte det moderna Internet kunna ansluta miljontals nätverk över olika länder och leverantörer. Men BGP var ursprungligen designat för att utbyta routningsinformation baserat i stor utsträckning på förtroende. När ett nätverk annonserar ett IP-prefix kan andra nätverk acceptera annonsen utan att ha en stark kryptografisk metod för att bekräfta om nätverket faktiskt har behörighet att använda prefixet. Detta skapar ett säkerhetsproblem. En felaktig eller maliciös routannons kan omdirigera trafik, störa tjänster eller exponera data för ovälkomna vägar.
RPKI utvecklades för att förbättra säkerheten i internetrutning. Namnet står för Resource Public Key Infrastructure. Det ger ett sätt att koppla ihop internetnummerresurser, såsom IPv4- och IPv6-prefix, med det autonoma systems nummer som är behörigt att ursprungligen generera dem. Nätverksoperatörer kan sedan använda denna information för att avgöra om en BGP-meddelande är förenligt med den registrerade behörigheten.
För företag som driver sina egna ASN, hanterar IP-resurser, använder flera upstream-leverantörer eller planerar att annonsera IPv4- eller IPv6-adressrymd är det allt viktigare att förstå RPKI. RPKI ersätter inte BGP och löser inte alla routningsproblem. Istället tillhandahåller det ett extra lager av verifiering som hjälper nätverk att fatta säkrare routningsbeslut.
Vad är RPKI?
RPKI är ett säkerhetsramverk som använder digitala certifikat och kryptografiska register för att verifiera relationen mellan en IP-adressprefix och en ursprungs-ASN. Ett IP-prefix är ett block av adresser, såsom ett IPv4 /24 or an IPv6 /48. En ASN identifierar ett oberoende nätverk som deltar i BGP-rutning.
Den grundläggande idén är enkel. En organisation som har behörighet att använda ett IP-prefix publicerar en signerad förklaring som anger vilken ASN som får originera det prefixet i BGP. Nätverk som tar emot BGP-annonseringar kan jämföra annonseringen med den publicerade informationen. Om annonseringen stämmer överens kan den behandlas som auktoriserad. Om den strider mot informationen kan annonseringen betraktas som misstänksam eller ogiltig.
De register som används för att uttrycka denna behörighet kallas vanligtvis Route Origin Authorizations, eller ROA:er. En ROA identifierar ett IP-prefix, en auktoriserad ursprungs-ASN och, när det är tillämpligt, den maximala prefixlängden som ASN:n får annonsera. Även om ROA:er är en viktig del av RPKI fokuserar denna artikel på RPKI:s bredare syfte och hur det förbättrar routingsäkerheten.
RPKI hanteras generellt via de regionala internetregistren, inklusive RIPE NCC, ARIN, APNIC, LACNIC och AFRINIC. Beroende på region och resurstyp kan resursinnehavaren eller det sponsrande organisationen skapa och hantera de relevanta auktorisationsposterna genom registrens system.
Varför behöver BGP RPKI?
BGP skapades under en tid när Internet var mindre och antalet deltagande nätverk var begränsat. Dess huvudsakliga syfte var att utbyta räckviddsinformation mellan autonoma system. BGP kan välja vägar baserat på policy, vägslängd, lokal preferens och andra attribut, men protokollet verifierar inte automatiskt om ett ASN är auktoriserat att originera ett visst IP-prefix.
Detta innebär att ett konfigurationsfel ibland kan se ut likt en skadlig annonsering. Om ett nätverk av misstag annonserar ett prefix som tillhör en annan organisation kan andra nätverk initialt acceptera rutterna. Resultatet kan bli trafik som hamnar vid fel destination, förlust av anslutningsförmåga eller instabil routning.
Ett välkänt exempel är en ruttläckage eller prefixkapning. Vid en kapning meddelar ett ASN ett prefix som det inte kontrollerar eller som det inte ska ursprungligen. Meddelandet kan vara mer specifikt än den legitima rutten, eller så kan det nå tillräckligt många nätverk för att påverka trafiken. Även när incidenten är oavsiktlig kan den operativa påverkan vara betydande.
RPKI hjälper till genom att ge nätverksoperatörer en extern källa för auktoriseringsinformation. Istället för att endast lita på innehållet i en BGP-annons kan en router eller ett routningssäkerhetssystem kontrollera om ursprungs-ASN har auktoriserats av innehavaren av adressutrymmet. Detta förhindrar inte alla routningsincidenter, men det gör en viktig klass av routningsfel lättare att identifiera och filtrera.
Hur fungerar RPKI?
RPKI fungerar genom en tillitskedja. Internetnummerresurser hanteras av regionala internetregister, och dessa register utgör grunden för de relevanta digitala certifikaten. Innehavaren av en IP-resurs kan skapa ett auktoriseringsregister som anger vilken ASN som får originera prefixet.
De signerade posterna samlas in i arkiv som kan nås av routningssäkerhetsprogramvara. En nätverksoperatör kör en RPKI-validerare eller använder en tjänst som utför validering åt honom/henne. Valideraren laddar ner de tillgängliga posterna, verifierar deras signaturer, kontrollerar om de är aktuella och producerar ett validerat dataset.
Den validerade datasetet ansluts sedan till nätverkets routningsinfrastruktur. När en BGP-rutt tas emot jämför routern eller routningspolicy-systemet den annonserade prefixen och ursprungs-ASN med den validerade RPKI-informationen. Resultatet klassas vanligtvis som Giltig, Ogiltig eller Ej funnen.
Denna process sker separat från BGP-sessionen i sig. BGP fortsätter att utbyta routinginformation, medan RPKI tillhandahåller ytterligare auktoriseringsdata som kan användas i routningspolicy. Ett nätverk kan bestämma hur varje valideringsresultat ska hanteras. Det kan exempelvis avvisa ogiltiga rutter, tilldela dem lägre prioritet eller generera varningar för vidare granskning.
Processen är utformad för att vara distribuerad och skalbar. Stora nätverk kan validera många tusentals prefix utan att varje organisation behöver upprätta ett direkt samarbete med alla andra nätverk. Detta är viktigt eftersom Internet omfattar ett stort antal oberoende operatörer med olika policyer och tekniska miljöer.
Vad är en Route Origin Authorization?
En Route Origin Authorization är en signerad post som anger vilken ASN som har behörighet att originera ett specifikt IP-prefix. Det är en av de mest synliga och praktiska delarna av RPKI-implementeringen.
Till exempel kan en organisation kontrollera IPv4-prefixet 192.0.2.0/24 och använd ASN AS64500 för att meddela det. Organisationen kan skapa en behörighet som tillåter AS64500 att uppstå 192.0.2.0/24Om en annan ASN senare annonserar samma prefix kan nätverk som utför RPKI-validering upptäcka att originalet inte stämmer överens med auktorisationen.
Auktorisationen kan också ange en maximal prefixlängd. Detta är viktigt eftersom ett nätverk kanske vill tillåta att den ursprungliga ASN:en annonserar det exakta aggregatprefixet men inte mindre, mer specifika prefix. En noggrant vald maxlängd kan minska risken för att en oväntad annonsering behandlas som auktoriserad.
ROA-konfiguration kräver uppmärksamhet eftersom en felaktig post kan göra att en legitim route visas som ogiltig. Om en organisation byter sin transitleverantör, flyttar ett prefix till ett annat ASN, delar upp en annons i mer specifika prefix eller överför resurser till en annan innehavare, kan auktorisationsposterna behöva uppdateras. En föråldrad post kan orsaka driftstopp även när BGP-konfigurationen i sig är korrekt.
En framtida artikel kan förklara hur man skapar en ROA, hur man väljer en maximal längd och hur man uppdaterar auktoriseringar under en migration av ASN- eller IP-resurser.
Vad betyder giltig, ogiltig och ej hittad?
Ett giltigt resultat innebär att en BGP-annons täcks av en tillämplig RPKI-auktorisation och att ursprungs-ASN:n har behörighet att annonsera prefixet. Det indikerar generellt att det annonsade prefixet, prefixlängden och ursprungs-ASN:n är förenliga med den publicerade auktorisationen.
Ett ogiltigt resultat innebär att en auktorisering finns, men att BGP-annonsen inte överensstämmer med den. Detta kan ske eftersom ursprungs-ASN:n inte är auktoriserad, annonsen är mer specifik än det tillåtna maxlängden eller eftersom prefixet överlappar en auktorisering för ett annat ursprung. Ogiltiga rutter kräver omedelbar uppmärksamhet eftersom de kan representera en hijack, en slumpmässig konfiguration eller en ofullständig migration.
Ett resultat av "Not Found" innebär att ingen tillämplig auktorisation hittades för annonsen. Det betyder inte automatiskt att routen är skadlig eller felaktig. Det innebär bara att RPKI inte kan bekräfta ursprunget med de aktuellt publicerade posterna. Många legitima rutter förblir "Not Found" eftersom resursinnehavaren inte har skapat en auktorisation.
Distinktionen mellan "Invalid" (ogiltig) och "Not Found" (ej hittad) är viktig. "Invalid" indikerar en konflikt med befintlig auktorisationsdata, medan "Not Found" indikerar att det saknas auktorisationsdata. Nätverksoperatörer behandlar ofta ogiltiga rutter mer allvarligt, men deras exakta routningpolicy beror på deras risktolerans, servicekrav och driftsförfaranden.
Why RPKI Matters for IPv4 Networks
IPv4-adressrymden är begränsad, och många IPv4-prefix används nu i komplexa arrangemang som involverar leverantörer, datacenter, molnplattformar, leasingbolag och överföringstransaktioner. Dessa arrangemang gör routningsnoggrannhet särskilt viktig.
När en IPv4-prefix överförs eller flyttas mellan organisationer kan BGP-originen också ändras. Om den tidigare ägarens auktorisation fortfarande är aktiv medan den nya ägaren annonserar prefixet från ett annat ASN, kan routen bli RPKI-ogiltig. Detta är en anledning till att RPKI-planering bör inkluderas i arbete med IPv4-överföring och migration.
Innan en organisation accepterar eller annonserar ett IPv4-prefix bör den bekräfta vilken enhet som har kontroll över resursen, vilket ASN som förväntas originera det, och om de relevanta auktoriseringsposterna speglar den planerade routningsdesignen. Den offentliga registret posten, BGP-annonseringarna och RPKI-informationen bör granskas tillsammans. RPKI är särskilt användbart när ett företag använder flera transitleverantörer. En konsekvent ursprungsauktorisation kan hjälpa till att skydda prefixet oavsett vilken uppströmsleverantör som transporterar rutten. Organisationen måste dock fortfarande se till att alla leverantörer använder rätt ASN och prefixlängd.
Företag som utvärderar en IPv4-block kan också använda offentliga verktyg för att granska aktuell registreringsdata, information om ursprungs-ASN, RPKI-status och BGP-synlighet. Dessa kontroller ersätter inte avtalsmässig due diligence eller reputationskontroll, men de kan avslöja uppenbara routningsinkonsekvenser innan en transaktion eller driftsättning.
Why RPKI Matters for IPv6 Networks
IPv6-nätverk drar nytta av samma principer för validering av ursprung som IPv4-nätverk. IPv6-prefix annonseras via BGP, och ett felaktigt ursprung kan skapa liknande risker, inklusive trafikhindring, route leaks och obehöriga annonseringar.
IPv6-deploymenter innebär ofta större adressblock och mer strukturerade adressplaner. En organisation kan få en bred allokering och annonsera en aggregerad prefix medan mindre interna subnät används för platser, datacenter eller tjänster. RPKI-auktorisation bör matcha de prefix som faktiskt är avsedda för offentlig routning.
Ett vanligt misstag är att anta att IPv6-ruttning automatiskt är säkrare eftersom IPv6 har ett mycket större adressutrymme. Storleken på adressutrymmet avlägsnar inte behovet av att verifiera ruttens ursprung. Om en IPv6-prefix annonseras av en felaktig ASN och ingen auktorisation finns, kan andra nätverk ha begränsad förmåga att skilja annonsen från en legitim rutt. Organisationer som implementerar IPv6 bör inkludera RPKI i sin initiala ruttdesign snarare än att vänta tills nätverket är fullt operativt. Detta gör det lättare att samordna adressplanen, ASN-användningen, upstream-leverantörerna och auktorisationsregister innan produktionsberoende trafik beror på annonsen.
Vilka är de huvudsakliga fördelarna med RPKI?
Den främsta fördelen med RPKI är att det ger en allmänt erkänd metod för att validera ursprunget till en BGP-rutt. Detta ger nätverksoperatörer en starkare grund för filtrering och övervakning av annonseringar än vad BGP-informationen ensam gör.
RPKI kan minska risken för att acceptera rutter som uppenbart strider mot resursinnehavarens angivna auktorisation. Det kan också hjälpa till att identifiera driftsfel under nätverksmigrationer, leverantörsbyten, ändringar av ASN-sponsring och överföringar av IPv4- eller IPv6-resurser.
För IP-resursinnehavare visar RPKI att organisationen aktivt hanterar säkerheten i sin adressrymds routing. Detta kan förbättra samordningen med transitleverantörer och minska förvirring när flera parter är inblandade i att annonsera samma prefix.
För transitleverantörer och värdtjänstföretag kan RPKI-validering bli en del av ett bredare program för routingsäkerhet. Leverantörer kan använda valideringsresultat tillsammans med prefixfiltrering, IRR-data, BGP-overvakning och interna routingspolicyer. Ingen enskild datakälla är perfekt, men att kombinera flera signaler ger bättre operativ insyn.
RPKI förbättrar också incidenthantering. När en oväntad BGP-annons dyker upp kan nätverksteamet snabbt kontrollera om ursprunget är auktoriserat. Detta kan hjälpa till att skilja en potentiell hijack från en legitim men odokumenterad routningsändring.
Vad RPKI inte kan göra
RPKI är värdefullt, men det är inte en komplett ersättning för routningsäkerhet. Det validerar relationen mellan ett prefix och en ursprungs-ASN. Det bevisar inte att varje hopp i BGP-vägen är pålitligt, och det garanterar inte att trafiken följer den bästa eller säkraste fysiska vägen.
RPKI krypterar inte applikationstrafik. Det skyddar inte webbsessioner, DNS-frågor, e-post eller privat data från avlyssning. Krypteringstekniker som TLS, VPN och säkra applikationsprotokoll krävs fortfarande för dessa ändamål.
RPKI förhindrar inte heller automatiskt varje typ av route leak. En route kan ha sitt ursprung i den korrekta ASN:n men ändå spridas till platser där den inte bör förekomma. Originvalidering kan klassificera en sådan route som Valid eftersom originalet är auktoriserat, även om den bredare vägen är operativt felaktig.
RPKI bevisar inte juridisk äganderätt i sig själv. Registreringsregister, avtal, överlåtelsehandlingar och organisationsbehörighet förblir viktiga. Ett giltigt resultat indikerar att routen matchar en publicerad auktorisation; det bekräftar inte att alla kommersiella eller juridiska krav har uppfyllts.
Slutligen fungerar RPKI endast effektivt när posterna underhålls. En organisation som skapar auktorisationer och sedan glömmer att uppdatera dem efter en leverantör- eller ASN-förändring kan skapa sin egen routningsavbrott.
Hur kan ett företag börja använda RPKI?
Det första steget är att skapa en inventering över alla IPv4- och IPv6-prefix som organisationen äger, hyr, sponsrar eller förväntas annonsera. För varje prefix ska du registrera avsett ursprungs-ASN, de annonsleverantörerna, prefixlängden och om prefixet för närvarande är synligt i BGP.
Nästa steg är att bekräfta register- och resursposter. Organisationen bör verifiera att adressrymden är kopplad till rätt konto, organisation, sponsrande LIR eller resurshavare. Om den offentliga registreringsdatan är föråldrad ska den korrigeras innan nya routningsauktorisationer skapas. När resursinventeringen har bekräftats kan organisationen skapa lämpliga auktorisationsposter via sin regionala internetregister (RIR) eller sponsrande leverantör. Ursprungs-ASN och maximal prefixlängd ska återspegla den faktiska routningsplanen. Om flera ASNs används legitimt bör designen dokumenteras noggrant snarare än att lägga till breda auktorisationer utan tydlig anledning.
Organisationen bör sedan validera posterna med hjälp av en RPKI-validerare eller en etablerad övervakningstjänst. Det är viktigt att bekräfta att de avsedda annonseringarna returnerar ett giltigt resultat innan strikt filtreringspolicy tillämpas på kund- eller produktionsdata.
Distribution bör behandlas som en operativ process, inte som en engångskonfigurationsuppgift. Ändringar av upstream-leverantörer, ASN-sponsring, prefixaggregering, datacenterplatser och IPv4-transferarrangemang kan alla påverka RPKI-poster. Övervakning och förändringshantering bör vara en del av det normala nätverksflödet.
Vanliga misstag vid RPKI-implementering
Ett vanligt misstag är att skapa en auktorisation för fel ursprunglig ASN. Detta händer ofta under en leverantörsövergång när den gamla ASN:n fortfarande finns i registret medan nätverket börjar annonsera från en ny ASN.
Ett annat misstag är att ange den maximala prefixlängden felaktigt. Om en organisation endast auktoriserar ett aggregat men meddelar en mer specifik route, kan den mer specifika meddelandet bli ogiltigt. Om den maximala längden görs för bred kan auktorisationen tillåta meddelanden som organisationen inte avsåg att tillåta.
Föråldrade poster är också ett stort problem. En auktorisation som var korrekt för flera år sedan kanske inte längre stämmer överens med organisationens nuvarande nätverksdesign. Regelbundna granskningar är särskilt viktiga efter en IPv4-överföring, fusion, ändring av sponsrande LIR eller ASN-numrering.
Vissa organisationer antar också att ett resultat av "Not Found" innebär att en rutt ska avslås. I de flesta fall betyder "Not Found" att ingen auktorisering finns. Det bör hanteras enligt nätverkets policy och riskmodell, snarare än att betraktas som automatiskt skadligt.
RPKI, IRR och BGP-overvakning
RPKI är en del av en bredare strategi för routningssäkerhet. IRR-databaser innehåller objekt för routningspolicy som kan användas av nätverksoperatörer för att generera filter. Dessa objekt kan beskriva vilken ASN som förväntas originera ett prefix, men de använder en annan modell för tillit och validering än RPKI.
BGP-overvakning visar vad som faktiskt annonseras och var annonsen är synlig. Den kan avslöja förändringar i rutter, oväntade ursprung, ändrade vägar och perioder av instabilitet. RPKI visar om ursprunget är auktoriserat, men den ger inte den fullständiga driftshistoriken för en ruta.
Av denna anledning används RPKI, IRR och BGP-overvakning ofta tillsammans. En omfattande granskning av routningen kan jämföra registerraden, förväntat ASN, IRR-objektet, RPKI-auktorisationen och aktuella BGP-iakttagelser. När dessa källor överensstämmer blir routningsläget lättare att förstå. När de inte överensstämmer bör skillnaden undersökas innan en migration eller överföring slutförs.
Hur bör RPKI underhållas?
Underhåll av RPKI bör kopplas till hantering av nätverksändringar. När en organisation planerar att ändra sitt ursprungliga ASN, upstream-leverantör, prefixlängd eller meddelandeläge bör den granska de förväntade effekterna på auktoriseringsposter innan ändringen genomförs.
Övervakningen bör varna nätverksteamet när en förväntad prefix blir ogiltig, när ett tillstånd upphör att gälla eller när en tidigare okänd origin dyker upp. Varningar är mest användbara när de innehåller det påverkade prefixet, ursprungs-ASN, aktuell valideringsstatus och tidpunkten för ändringen.
Organisationer bör också dokumentera vem som är ansvarig för att hantera RPKI. I vissa företag hanterar nätverksingenjörsteamet posterna, medan det i andra fall är den sponsrade LIR:n, leverantören av hanteringstjänster eller säkerhetsteamet som sköter dem. Tydligt ägarskap hjälper till att förhindra förseningar vid incidenter och övergångar mellan leverantörer.
En periodisk granskning kan schemaläggas månadsvis, kvartalsvis eller när en större ändring av routningen sker. Den lämpliga frekvensen beror på nätverkets storlek och komplexitet. Det viktiga är att RPKI behandlas som en levande del av routningsystemet.
Vanliga frågor om RPKI
Krävs RPKI för att använda BGP?
Nej. Ett nätverk kan använda BGP utan att publicera RPKI-auktoriseringsposter. RPKI rekommenderas dock allt oftare eftersom det ger andra nätverk ett sätt att validera ursprunget för de rutter som organisationen annonserar.
Förhindrar RPKI en BGP-hijack?
RPKI förhindrar inte fysiskt att ett annat nätverk skickar en obehörig BGP-annons. Det gör det möjligt för mottagande nätverk att identifiera annonser som inte stämmer överens med publicerade auktorisationer. Nätverken kan sedan avvisa, de-preferera eller övervaka dessa rutter enligt sina policyer.
Är RPKI endast för IPv4?
No. RPKI supports both IPv4 and IPv6 prefixes. The same basic origin validation concept applies to both address families.
Är ett RPKI-resultat "Not Found" farligt?
Inte nödvändigtvis. Not Found betyder att ingen tillämplig auktorisation hittades. Det bevisar inte att routen är felaktig. Resursinnehavare bör dock överväga att publicera korrekta auktoriseringar så att andra nätverk kan validera deras annonseringar.
Kan RPKI ersätta ett IRR-routobjekt?
Nej. RPKI och IRR har olika syften och används ofta tillsammans. Vissa leverantörer använder båda systemen när de bygger routningsfilter och granskar annonseringar.
Vad händer om ett RPKI-post är felaktigt?
Ett felaktigt register kan göra att en legitim BGP-annons klassificeras som ogiltig. Organisationen bör granska ursprungs-ASN, prefixlängd och maximal längd, och sedan uppdatera auktoriseringen innan strikt ruttfiltrering tillämpas.
RPKI is an important improvement to the security of Internet routing. It gives IP resource holders a way to publish cryptographic authorization for the ASNs that are allowed to originate their IPv4 and IPv6 prefixes. It also gives network operators a practical method for checking whether BGP announcements match that authorization.
Konceptet är enkelt: innehavaren av ett IP-prefix publicerar den avsedda ursprungsnoden, och andra nätverk validerar annonsen mot denna information. Resultatet kan hjälpa till att identifiera auktoriserade rutter, konflikterande rutter samt rutter för vilka ingen auktorisering har publicerats. RPKI ersätter inte noggrann nätverksingenjörskonst, hantering av register, IRR-poster, BGP-overvakning eller avtalsmässig due diligence. Det garanterar heller inte att varje ruta är säker eller att varje routingincident kommer att förhindras. Dess värde ligger i att lägga till en pålitlig auktorisationssignal till routeprocessen.
För organisationer som hanterar ett ASN, IPv4-utrymme, IPv6-utrymme eller flera upstream-leverantörer bör RPKI ingå i den normala routningsdesignen. Innan du annonserar en prefix, byter leverantör, genomför en överföring av IPv4-adresser eller distribuerar ett nytt IPv6-nätverk, granska registret data, ursprungs-ASN, auktoriseringsposter och live BGP-tillstånd tillsammans. Denna enkla process kan förhindra undvikbara misstag och förbättra den övergripande tillförlitligheten hos Internetanslutningen.