Internetet \u00e4r beroende av ett globalt routningssystem som g\u00f6r det m\u00f6jligt f\u00f6r n\u00e4tverk, datacenter, molnplattformar, internetleverant\u00f6rer och f\u00f6retag att utbyta trafik. Ett av de viktigaste protokollen i detta system \u00e4r Border Gateway Protocol, vanligtvis k\u00e4nt som BGP. BGP g\u00f6r det m\u00f6jligt f\u00f6r oberoende n\u00e4tverk att annonsera vilka IP-adressintervall de kan n\u00e5. Utan BGP skulle inte det moderna Internet kunna ansluta miljontals n\u00e4tverk \u00f6ver olika l\u00e4nder och leverant\u00f6rer. Men BGP var ursprungligen designat f\u00f6r att utbyta routningsinformation baserat i stor utstr\u00e4ckning p\u00e5 f\u00f6rtroende. N\u00e4r ett n\u00e4tverk annonserar ett IP-prefix kan andra n\u00e4tverk acceptera annonsen utan att ha en stark kryptografisk metod f\u00f6r att bekr\u00e4fta om n\u00e4tverket faktiskt har beh\u00f6righet att anv\u00e4nda prefixet. Detta skapar ett s\u00e4kerhetsproblem. En felaktig eller malici\u00f6s routannons kan omdirigera trafik, st\u00f6ra tj\u00e4nster eller exponera data f\u00f6r ov\u00e4lkomna v\u00e4gar.<\/p>\n\n\n\n
RPKI utvecklades f\u00f6r att f\u00f6rb\u00e4ttra s\u00e4kerheten i internetrutning. Namnet st\u00e5r f\u00f6r Resource Public Key Infrastructure. Det ger ett s\u00e4tt att koppla ihop internetnummerresurser, s\u00e5som IPv4- och IPv6-prefix, med det autonoma systems nummer som \u00e4r beh\u00f6rigt att ursprungligen generera dem. N\u00e4tverksoperat\u00f6rer kan sedan anv\u00e4nda denna information f\u00f6r att avg\u00f6ra om en BGP-meddelande \u00e4r f\u00f6renligt med den registrerade beh\u00f6righeten.<\/p>\n\n\n\n
F\u00f6r f\u00f6retag som driver sina egna ASN, hanterar IP-resurser, anv\u00e4nder flera upstream-leverant\u00f6rer eller planerar att annonsera IPv4- eller IPv6-adressrymd \u00e4r det allt viktigare att f\u00f6rst\u00e5 RPKI. RPKI ers\u00e4tter inte BGP och l\u00f6ser inte alla routningsproblem. Ist\u00e4llet tillhandah\u00e5ller det ett extra lager av verifiering som hj\u00e4lper n\u00e4tverk att fatta s\u00e4krare routningsbeslut.<\/p>\n\n\n\n
RPKI \u00e4r ett s\u00e4kerhetsramverk som anv\u00e4nder digitala certifikat och kryptografiska register f\u00f6r att verifiera relationen mellan en IP-adressprefix och en ursprungs-ASN. Ett IP-prefix \u00e4r ett block av adresser, s\u00e5som ett IPv4 Den grundl\u00e4ggande id\u00e9n \u00e4r enkel. En organisation som har beh\u00f6righet att anv\u00e4nda ett IP-prefix publicerar en signerad f\u00f6rklaring som anger vilken ASN som f\u00e5r originera det prefixet i BGP. N\u00e4tverk som tar emot BGP-annonseringar kan j\u00e4mf\u00f6ra annonseringen med den publicerade informationen. Om annonseringen st\u00e4mmer \u00f6verens kan den behandlas som auktoriserad. Om den strider mot informationen kan annonseringen betraktas som misst\u00e4nksam eller ogiltig.<\/p>\n\n\n\n De register som anv\u00e4nds f\u00f6r att uttrycka denna beh\u00f6righet kallas vanligtvis Route Origin Authorizations, eller ROA:er. En ROA identifierar ett IP-prefix, en auktoriserad ursprungs-ASN och, n\u00e4r det \u00e4r till\u00e4mpligt, den maximala prefixl\u00e4ngden som ASN:n f\u00e5r annonsera. \u00c4ven om ROA:er \u00e4r en viktig del av RPKI fokuserar denna artikel p\u00e5 RPKI:s bredare syfte och hur det f\u00f6rb\u00e4ttrar routings\u00e4kerheten.<\/p>\n\n\n\n RPKI hanteras generellt via de regionala internetregistren, inklusive RIPE NCC, ARIN, APNIC, LACNIC och AFRINIC. Beroende p\u00e5 region och resurstyp kan resursinnehavaren eller det sponsrande organisationen skapa och hantera de relevanta auktorisationsposterna genom registrens system.<\/p>\n\n\n\n BGP skapades under en tid n\u00e4r Internet var mindre och antalet deltagande n\u00e4tverk var begr\u00e4nsat. Dess huvudsakliga syfte var att utbyta r\u00e4ckviddsinformation mellan autonoma system. BGP kan v\u00e4lja v\u00e4gar baserat p\u00e5 policy, v\u00e4gsl\u00e4ngd, lokal preferens och andra attribut, men protokollet verifierar inte automatiskt om ett ASN \u00e4r auktoriserat att originera ett visst IP-prefix.<\/p>\n\n\n\n Detta inneb\u00e4r att ett konfigurationsfel ibland kan se ut likt en skadlig annonsering. Om ett n\u00e4tverk av misstag annonserar ett prefix som tillh\u00f6r en annan organisation kan andra n\u00e4tverk initialt acceptera rutterna. Resultatet kan bli trafik som hamnar vid fel destination, f\u00f6rlust av anslutningsf\u00f6rm\u00e5ga eller instabil routning.<\/p>\n\n\n\n Ett v\u00e4lk\u00e4nt exempel \u00e4r en ruttl\u00e4ckage eller prefixkapning. Vid en kapning meddelar ett ASN ett prefix som det inte kontrollerar eller som det inte ska ursprungligen. Meddelandet kan vara mer specifikt \u00e4n den legitima rutten, eller s\u00e5 kan det n\u00e5 tillr\u00e4ckligt m\u00e5nga n\u00e4tverk f\u00f6r att p\u00e5verka trafiken. \u00c4ven n\u00e4r incidenten \u00e4r oavsiktlig kan den operativa p\u00e5verkan vara betydande.<\/p>\n\n\n\n RPKI hj\u00e4lper till genom att ge n\u00e4tverksoperat\u00f6rer en extern k\u00e4lla f\u00f6r auktoriseringsinformation. Ist\u00e4llet f\u00f6r att endast lita p\u00e5 inneh\u00e5llet i en BGP-annons kan en router eller ett routningss\u00e4kerhetssystem kontrollera om ursprungs-ASN har auktoriserats av innehavaren av adressutrymmet. Detta f\u00f6rhindrar inte alla routningsincidenter, men det g\u00f6r en viktig klass av routningsfel l\u00e4ttare att identifiera och filtrera.<\/p>\n\n\n\n RPKI fungerar genom en tillitskedja. Internetnummerresurser hanteras av regionala internetregister, och dessa register utg\u00f6r grunden f\u00f6r de relevanta digitala certifikaten. Innehavaren av en IP-resurs kan skapa ett auktoriseringsregister som anger vilken ASN som f\u00e5r originera prefixet.<\/p>\n\n\n\n De signerade posterna samlas in i arkiv som kan n\u00e5s av routningss\u00e4kerhetsprogramvara. En n\u00e4tverksoperat\u00f6r k\u00f6r en RPKI-validerare eller anv\u00e4nder en tj\u00e4nst som utf\u00f6r validering \u00e5t honom\/henne. Valideraren laddar ner de tillg\u00e4ngliga posterna, verifierar deras signaturer, kontrollerar om de \u00e4r aktuella och producerar ett validerat dataset.<\/p>\n\n\n\n Den validerade datasetet ansluts sedan till n\u00e4tverkets routningsinfrastruktur. N\u00e4r en BGP-rutt tas emot j\u00e4mf\u00f6r routern eller routningspolicy-systemet den annonserade prefixen och ursprungs-ASN med den validerade RPKI-informationen. Resultatet klassas vanligtvis som Giltig, Ogiltig eller Ej funnen.<\/p>\n\n\n\n Denna process sker separat fr\u00e5n BGP-sessionen i sig. BGP forts\u00e4tter att utbyta routinginformation, medan RPKI tillhandah\u00e5ller ytterligare auktoriseringsdata som kan anv\u00e4ndas i routningspolicy. Ett n\u00e4tverk kan best\u00e4mma hur varje valideringsresultat ska hanteras. Det kan exempelvis avvisa ogiltiga rutter, tilldela dem l\u00e4gre prioritet eller generera varningar f\u00f6r vidare granskning.<\/p>\n\n\n\n Processen \u00e4r utformad f\u00f6r att vara distribuerad och skalbar. Stora n\u00e4tverk kan validera m\u00e5nga tusentals prefix utan att varje organisation beh\u00f6ver uppr\u00e4tta ett direkt samarbete med alla andra n\u00e4tverk. Detta \u00e4r viktigt eftersom Internet omfattar ett stort antal oberoende operat\u00f6rer med olika policyer och tekniska milj\u00f6er.<\/p>\n\n\n\n En Route Origin Authorization \u00e4r en signerad post som anger vilken ASN som har beh\u00f6righet att originera ett specifikt IP-prefix. Det \u00e4r en av de mest synliga och praktiska delarna av RPKI-implementeringen.<\/p>\n\n\n\n Till exempel kan en organisation kontrollera IPv4-prefixet Auktorisationen kan ocks\u00e5 ange en maximal prefixl\u00e4ngd. Detta \u00e4r viktigt eftersom ett n\u00e4tverk kanske vill till\u00e5ta att den ursprungliga ASN:en annonserar det exakta aggregatprefixet men inte mindre, mer specifika prefix. En noggrant vald maxl\u00e4ngd kan minska risken f\u00f6r att en ov\u00e4ntad annonsering behandlas som auktoriserad.<\/p>\n\n\n\n ROA-konfiguration kr\u00e4ver uppm\u00e4rksamhet eftersom en felaktig post kan g\u00f6ra att en legitim route visas som ogiltig. Om en organisation byter sin transitleverant\u00f6r, flyttar ett prefix till ett annat ASN, delar upp en annons i mer specifika prefix eller \u00f6verf\u00f6r resurser till en annan innehavare, kan auktorisationsposterna beh\u00f6va uppdateras. En f\u00f6r\u00e5ldrad post kan orsaka driftstopp \u00e4ven n\u00e4r BGP-konfigurationen i sig \u00e4r korrekt.<\/p>\n\n\n\n En framtida artikel kan f\u00f6rklara hur man skapar en ROA, hur man v\u00e4ljer en maximal l\u00e4ngd och hur man uppdaterar auktoriseringar under en migration av ASN- eller IP-resurser.<\/p>\n\n\n\n Ett giltigt resultat inneb\u00e4r att en BGP-annons t\u00e4cks av en till\u00e4mplig RPKI-auktorisation och att ursprungs-ASN:n har beh\u00f6righet att annonsera prefixet. Det indikerar generellt att det annonsade prefixet, prefixl\u00e4ngden och ursprungs-ASN:n \u00e4r f\u00f6renliga med den publicerade auktorisationen.<\/p>\n\n\n\n Ett ogiltigt resultat inneb\u00e4r att en auktorisering finns, men att BGP-annonsen inte \u00f6verensst\u00e4mmer med den. Detta kan ske eftersom ursprungs-ASN:n inte \u00e4r auktoriserad, annonsen \u00e4r mer specifik \u00e4n det till\u00e5tna maxl\u00e4ngden eller eftersom prefixet \u00f6verlappar en auktorisering f\u00f6r ett annat ursprung. Ogiltiga rutter kr\u00e4ver omedelbar uppm\u00e4rksamhet eftersom de kan representera en hijack, en slumpm\u00e4ssig konfiguration eller en ofullst\u00e4ndig migration.<\/p>\n\n\n\n Ett resultat av \"Not Found\" inneb\u00e4r att ingen till\u00e4mplig auktorisation hittades f\u00f6r annonsen. Det betyder inte automatiskt att routen \u00e4r skadlig eller felaktig. Det inneb\u00e4r bara att RPKI inte kan bekr\u00e4fta ursprunget med de aktuellt publicerade posterna. M\u00e5nga legitima rutter f\u00f6rblir \"Not Found\" eftersom resursinnehavaren inte har skapat en auktorisation.<\/p>\n\n\n\n Distinktionen mellan \"Invalid\" (ogiltig) och \"Not Found\" (ej hittad) \u00e4r viktig. \"Invalid\" indikerar en konflikt med befintlig auktorisationsdata, medan \"Not Found\" indikerar att det saknas auktorisationsdata. N\u00e4tverksoperat\u00f6rer behandlar ofta ogiltiga rutter mer allvarligt, men deras exakta routningpolicy beror p\u00e5 deras risktolerans, servicekrav och driftsf\u00f6rfaranden.<\/p>\n\n\n\n IPv4-adressrymden \u00e4r begr\u00e4nsad, och m\u00e5nga IPv4-prefix anv\u00e4nds nu i komplexa arrangemang som involverar leverant\u00f6rer, datacenter, molnplattformar, leasingbolag och \u00f6verf\u00f6ringstransaktioner. Dessa arrangemang g\u00f6r routningsnoggrannhet s\u00e4rskilt viktig.<\/p>\n\n\n\n N\u00e4r en IPv4-prefix \u00f6verf\u00f6rs eller flyttas mellan organisationer kan BGP-originen ocks\u00e5 \u00e4ndras. Om den tidigare \u00e4garens auktorisation fortfarande \u00e4r aktiv medan den nya \u00e4garen annonserar prefixet fr\u00e5n ett annat ASN, kan routen bli RPKI-ogiltig. Detta \u00e4r en anledning till att RPKI-planering b\u00f6r inkluderas i arbete med IPv4-\u00f6verf\u00f6ring och migration.<\/p>\n\n\n\n Innan en organisation accepterar eller annonserar ett IPv4-prefix b\u00f6r den bekr\u00e4fta vilken enhet som har kontroll \u00f6ver resursen, vilket ASN som f\u00f6rv\u00e4ntas originera det, och om de relevanta auktoriseringsposterna speglar den planerade routningsdesignen. Den offentliga registret posten, BGP-annonseringarna och RPKI-informationen b\u00f6r granskas tillsammans. RPKI \u00e4r s\u00e4rskilt anv\u00e4ndbart n\u00e4r ett f\u00f6retag anv\u00e4nder flera transitleverant\u00f6rer. En konsekvent ursprungsauktorisation kan hj\u00e4lpa till att skydda prefixet oavsett vilken uppstr\u00f6msleverant\u00f6r som transporterar rutten. Organisationen m\u00e5ste dock fortfarande se till att alla leverant\u00f6rer anv\u00e4nder r\u00e4tt ASN och prefixl\u00e4ngd.<\/p>\n\n\n\n F\u00f6retag som utv\u00e4rderar en IPv4-block kan ocks\u00e5 anv\u00e4nda offentliga verktyg f\u00f6r att granska aktuell registreringsdata, information om ursprungs-ASN, RPKI-status och BGP-synlighet. Dessa kontroller ers\u00e4tter inte avtalsm\u00e4ssig due diligence eller reputationskontroll, men de kan avsl\u00f6ja uppenbara routningsinkonsekvenser innan en transaktion eller drifts\u00e4ttning.<\/p>\n\n\n\n IPv6-n\u00e4tverk drar nytta av samma principer f\u00f6r validering av ursprung som IPv4-n\u00e4tverk. IPv6-prefix annonseras via BGP, och ett felaktigt ursprung kan skapa liknande risker, inklusive trafikhindring, route leaks och obeh\u00f6riga annonseringar.<\/p>\n\n\n\n IPv6-deploymenter inneb\u00e4r ofta st\u00f6rre adressblock och mer strukturerade adressplaner. En organisation kan f\u00e5 en bred allokering och annonsera en aggregerad prefix medan mindre interna subn\u00e4t anv\u00e4nds f\u00f6r platser, datacenter eller tj\u00e4nster. RPKI-auktorisation b\u00f6r matcha de prefix som faktiskt \u00e4r avsedda f\u00f6r offentlig routning.<\/p>\n\n\n\n Ett vanligt misstag \u00e4r att anta att IPv6-ruttning automatiskt \u00e4r s\u00e4krare eftersom IPv6 har ett mycket st\u00f6rre adressutrymme. Storleken p\u00e5 adressutrymmet avl\u00e4gsnar inte behovet av att verifiera ruttens ursprung. Om en IPv6-prefix annonseras av en felaktig ASN och ingen auktorisation finns, kan andra n\u00e4tverk ha begr\u00e4nsad f\u00f6rm\u00e5ga att skilja annonsen fr\u00e5n en legitim rutt. Organisationer som implementerar IPv6 b\u00f6r inkludera RPKI i sin initiala ruttdesign snarare \u00e4n att v\u00e4nta tills n\u00e4tverket \u00e4r fullt operativt. Detta g\u00f6r det l\u00e4ttare att samordna adressplanen, ASN-anv\u00e4ndningen, upstream-leverant\u00f6rerna och auktorisationsregister innan produktionsberoende trafik beror p\u00e5 annonsen.<\/p>\n\n\n\n Den fr\u00e4msta f\u00f6rdelen med RPKI \u00e4r att det ger en allm\u00e4nt erk\u00e4nd metod f\u00f6r att validera ursprunget till en BGP-rutt. Detta ger n\u00e4tverksoperat\u00f6rer en starkare grund f\u00f6r filtrering och \u00f6vervakning av annonseringar \u00e4n vad BGP-informationen ensam g\u00f6r.<\/p>\n\n\n\n RPKI kan minska risken f\u00f6r att acceptera rutter som uppenbart strider mot resursinnehavarens angivna auktorisation. Det kan ocks\u00e5 hj\u00e4lpa till att identifiera driftsfel under n\u00e4tverksmigrationer, leverant\u00f6rsbyten, \u00e4ndringar av ASN-sponsring och \u00f6verf\u00f6ringar av IPv4- eller IPv6-resurser.<\/p>\n\n\n\n F\u00f6r IP-resursinnehavare visar RPKI att organisationen aktivt hanterar s\u00e4kerheten i sin adressrymds routing. Detta kan f\u00f6rb\u00e4ttra samordningen med transitleverant\u00f6rer och minska f\u00f6rvirring n\u00e4r flera parter \u00e4r inblandade i att annonsera samma prefix.<\/p>\n\n\n\n F\u00f6r transitleverant\u00f6rer och v\u00e4rdtj\u00e4nstf\u00f6retag kan RPKI-validering bli en del av ett bredare program f\u00f6r routings\u00e4kerhet. Leverant\u00f6rer kan anv\u00e4nda valideringsresultat tillsammans med prefixfiltrering, IRR-data, BGP-overvakning och interna routingspolicyer. Ingen enskild datak\u00e4lla \u00e4r perfekt, men att kombinera flera signaler ger b\u00e4ttre operativ insyn.<\/p>\n\n\n\n RPKI f\u00f6rb\u00e4ttrar ocks\u00e5 incidenthantering. N\u00e4r en ov\u00e4ntad BGP-annons dyker upp kan n\u00e4tverksteamet snabbt kontrollera om ursprunget \u00e4r auktoriserat. Detta kan hj\u00e4lpa till att skilja en potentiell hijack fr\u00e5n en legitim men odokumenterad routnings\u00e4ndring.<\/p>\n\n\n\n RPKI \u00e4r v\u00e4rdefullt, men det \u00e4r inte en komplett ers\u00e4ttning f\u00f6r routnings\u00e4kerhet. Det validerar relationen mellan ett prefix och en ursprungs-ASN. Det bevisar inte att varje hopp i BGP-v\u00e4gen \u00e4r p\u00e5litligt, och det garanterar inte att trafiken f\u00f6ljer den b\u00e4sta eller s\u00e4kraste fysiska v\u00e4gen.<\/p>\n\n\n\n RPKI krypterar inte applikationstrafik. Det skyddar inte webbsessioner, DNS-fr\u00e5gor, e-post eller privat data fr\u00e5n avlyssning. Krypteringstekniker som TLS, VPN och s\u00e4kra applikationsprotokoll kr\u00e4vs fortfarande f\u00f6r dessa \u00e4ndam\u00e5l.<\/p>\n\n\n\n RPKI f\u00f6rhindrar inte heller automatiskt varje typ av route leak. En route kan ha sitt ursprung i den korrekta ASN:n men \u00e4nd\u00e5 spridas till platser d\u00e4r den inte b\u00f6r f\u00f6rekomma. Originvalidering kan klassificera en s\u00e5dan route som Valid eftersom originalet \u00e4r auktoriserat, \u00e4ven om den bredare v\u00e4gen \u00e4r operativt felaktig.<\/p>\n\n\n\n RPKI bevisar inte juridisk \u00e4gander\u00e4tt i sig sj\u00e4lv. Registreringsregister, avtal, \u00f6verl\u00e5telsehandlingar och organisationsbeh\u00f6righet f\u00f6rblir viktiga. Ett giltigt resultat indikerar att routen matchar en publicerad auktorisation; det bekr\u00e4ftar inte att alla kommersiella eller juridiska krav har uppfyllts.<\/p>\n\n\n\n Slutligen fungerar RPKI endast effektivt n\u00e4r posterna underh\u00e5lls. En organisation som skapar auktorisationer och sedan gl\u00f6mmer att uppdatera dem efter en leverant\u00f6r- eller ASN-f\u00f6r\u00e4ndring kan skapa sin egen routningsavbrott.<\/p>\n\n\n\n Det f\u00f6rsta steget \u00e4r att skapa en inventering \u00f6ver alla IPv4- och IPv6-prefix som organisationen \u00e4ger, hyr, sponsrar eller f\u00f6rv\u00e4ntas annonsera. F\u00f6r varje prefix ska du registrera avsett ursprungs-ASN, de annonsleverant\u00f6rerna, prefixl\u00e4ngden och om prefixet f\u00f6r n\u00e4rvarande \u00e4r synligt i BGP.<\/p>\n\n\n\n N\u00e4sta steg \u00e4r att bekr\u00e4fta register- och resursposter. Organisationen b\u00f6r verifiera att adressrymden \u00e4r kopplad till r\u00e4tt konto, organisation, sponsrande LIR eller resurshavare. Om den offentliga registreringsdatan \u00e4r f\u00f6r\u00e5ldrad ska den korrigeras innan nya routningsauktorisationer skapas. N\u00e4r resursinventeringen har bekr\u00e4ftats kan organisationen skapa l\u00e4mpliga auktorisationsposter via sin regionala internetregister (RIR) eller sponsrande leverant\u00f6r. Ursprungs-ASN och maximal prefixl\u00e4ngd ska \u00e5terspegla den faktiska routningsplanen. Om flera ASNs anv\u00e4nds legitimt b\u00f6r designen dokumenteras noggrant snarare \u00e4n att l\u00e4gga till breda auktorisationer utan tydlig anledning.<\/p>\n\n\n\n Organisationen b\u00f6r sedan validera posterna med hj\u00e4lp av en RPKI-validerare eller en etablerad \u00f6vervakningstj\u00e4nst. Det \u00e4r viktigt att bekr\u00e4fta att de avsedda annonseringarna returnerar ett giltigt resultat innan strikt filtreringspolicy till\u00e4mpas p\u00e5 kund- eller produktionsdata.<\/p>\n\n\n\n Distribution b\u00f6r behandlas som en operativ process, inte som en eng\u00e5ngskonfigurationsuppgift. \u00c4ndringar av upstream-leverant\u00f6rer, ASN-sponsring, prefixaggregering, datacenterplatser och IPv4-transferarrangemang kan alla p\u00e5verka RPKI-poster. \u00d6vervakning och f\u00f6r\u00e4ndringshantering b\u00f6r vara en del av det normala n\u00e4tverksfl\u00f6det.<\/p>\n\n\n\n Ett vanligt misstag \u00e4r att skapa en auktorisation f\u00f6r fel ursprunglig ASN. Detta h\u00e4nder ofta under en leverant\u00f6rs\u00f6verg\u00e5ng n\u00e4r den gamla ASN:n fortfarande finns i registret medan n\u00e4tverket b\u00f6rjar annonsera fr\u00e5n en ny ASN.<\/p>\n\n\n\n Ett annat misstag \u00e4r att ange den maximala prefixl\u00e4ngden felaktigt. Om en organisation endast auktoriserar ett aggregat men meddelar en mer specifik route, kan den mer specifika meddelandet bli ogiltigt. Om den maximala l\u00e4ngden g\u00f6rs f\u00f6r bred kan auktorisationen till\u00e5ta meddelanden som organisationen inte avs\u00e5g att till\u00e5ta.<\/p>\n\n\n\n F\u00f6r\u00e5ldrade poster \u00e4r ocks\u00e5 ett stort problem. En auktorisation som var korrekt f\u00f6r flera \u00e5r sedan kanske inte l\u00e4ngre st\u00e4mmer \u00f6verens med organisationens nuvarande n\u00e4tverksdesign. Regelbundna granskningar \u00e4r s\u00e4rskilt viktiga efter en IPv4-\u00f6verf\u00f6ring, fusion, \u00e4ndring av sponsrande LIR eller ASN-numrering.<\/p>\n\n\n\n Vissa organisationer antar ocks\u00e5 att ett resultat av \"Not Found\" inneb\u00e4r att en rutt ska avsl\u00e5s. I de flesta fall betyder \"Not Found\" att ingen auktorisering finns. Det b\u00f6r hanteras enligt n\u00e4tverkets policy och riskmodell, snarare \u00e4n att betraktas som automatiskt skadligt.<\/p>\n\n\n\n RPKI \u00e4r en del av en bredare strategi f\u00f6r routningss\u00e4kerhet. IRR-databaser inneh\u00e5ller objekt f\u00f6r routningspolicy som kan anv\u00e4ndas av n\u00e4tverksoperat\u00f6rer f\u00f6r att generera filter. Dessa objekt kan beskriva vilken ASN som f\u00f6rv\u00e4ntas originera ett prefix, men de anv\u00e4nder en annan modell f\u00f6r tillit och validering \u00e4n RPKI.<\/p>\n\n\n\n BGP-overvakning visar vad som faktiskt annonseras och var annonsen \u00e4r synlig. Den kan avsl\u00f6ja f\u00f6r\u00e4ndringar i rutter, ov\u00e4ntade ursprung, \u00e4ndrade v\u00e4gar och perioder av instabilitet. RPKI visar om ursprunget \u00e4r auktoriserat, men den ger inte den fullst\u00e4ndiga driftshistoriken f\u00f6r en ruta.<\/p>\n\n\n\n Av denna anledning anv\u00e4nds RPKI, IRR och BGP-overvakning ofta tillsammans. En omfattande granskning av routningen kan j\u00e4mf\u00f6ra registerraden, f\u00f6rv\u00e4ntat ASN, IRR-objektet, RPKI-auktorisationen och aktuella BGP-iakttagelser. N\u00e4r dessa k\u00e4llor \u00f6verensst\u00e4mmer blir routningsl\u00e4get l\u00e4ttare att f\u00f6rst\u00e5. N\u00e4r de inte \u00f6verensst\u00e4mmer b\u00f6r skillnaden unders\u00f6kas innan en migration eller \u00f6verf\u00f6ring slutf\u00f6rs.<\/p>\n\n\n\n Underh\u00e5ll av RPKI b\u00f6r kopplas till hantering av n\u00e4tverks\u00e4ndringar. N\u00e4r en organisation planerar att \u00e4ndra sitt ursprungliga ASN, upstream-leverant\u00f6r, prefixl\u00e4ngd eller meddelandel\u00e4ge b\u00f6r den granska de f\u00f6rv\u00e4ntade effekterna p\u00e5 auktoriseringsposter innan \u00e4ndringen genomf\u00f6rs.<\/p>\n\n\n\n \u00d6vervakningen b\u00f6r varna n\u00e4tverksteamet n\u00e4r en f\u00f6rv\u00e4ntad prefix blir ogiltig, n\u00e4r ett tillst\u00e5nd upph\u00f6r att g\u00e4lla eller n\u00e4r en tidigare ok\u00e4nd origin dyker upp. Varningar \u00e4r mest anv\u00e4ndbara n\u00e4r de inneh\u00e5ller det p\u00e5verkade prefixet, ursprungs-ASN, aktuell valideringsstatus och tidpunkten f\u00f6r \u00e4ndringen.<\/p>\n\n\n\n Organisationer b\u00f6r ocks\u00e5 dokumentera vem som \u00e4r ansvarig f\u00f6r att hantera RPKI. I vissa f\u00f6retag hanterar n\u00e4tverksingenj\u00f6rsteamet posterna, medan det i andra fall \u00e4r den sponsrade LIR:n, leverant\u00f6ren av hanteringstj\u00e4nster eller s\u00e4kerhetsteamet som sk\u00f6ter dem. Tydligt \u00e4garskap hj\u00e4lper till att f\u00f6rhindra f\u00f6rseningar vid incidenter och \u00f6verg\u00e5ngar mellan leverant\u00f6rer.<\/p>\n\n\n\n En periodisk granskning kan schemal\u00e4ggas m\u00e5nadsvis, kvartalsvis eller n\u00e4r en st\u00f6rre \u00e4ndring av routningen sker. Den l\u00e4mpliga frekvensen beror p\u00e5 n\u00e4tverkets storlek och komplexitet. Det viktiga \u00e4r att RPKI behandlas som en levande del av routningsystemet.<\/p>\n\n\n\n Nej. Ett n\u00e4tverk kan anv\u00e4nda BGP utan att publicera RPKI-auktoriseringsposter. RPKI rekommenderas dock allt oftare eftersom det ger andra n\u00e4tverk ett s\u00e4tt att validera ursprunget f\u00f6r de rutter som organisationen annonserar.<\/p>\n\n\n\n RPKI f\u00f6rhindrar inte fysiskt att ett annat n\u00e4tverk skickar en obeh\u00f6rig BGP-annons. Det g\u00f6r det m\u00f6jligt f\u00f6r mottagande n\u00e4tverk att identifiera annonser som inte st\u00e4mmer \u00f6verens med publicerade auktorisationer. N\u00e4tverken kan sedan avvisa, de-preferera eller \u00f6vervaka dessa rutter enligt sina policyer.<\/p>\n\n\n\n No. RPKI supports both IPv4 and IPv6 prefixes. The same basic origin validation concept applies to both address families.<\/p>\n\n\n\n Inte n\u00f6dv\u00e4ndigtvis. Not Found betyder att ingen till\u00e4mplig auktorisation hittades. Det bevisar inte att routen \u00e4r felaktig. Resursinnehavare b\u00f6r dock \u00f6verv\u00e4ga att publicera korrekta auktoriseringar s\u00e5 att andra n\u00e4tverk kan validera deras annonseringar.<\/p>\n\n\n\n Nej. RPKI och IRR har olika syften och anv\u00e4nds ofta tillsammans. Vissa leverant\u00f6rer anv\u00e4nder b\u00e5da systemen n\u00e4r de bygger routningsfilter och granskar annonseringar.<\/p>\n\n\n\n Ett felaktigt register kan g\u00f6ra att en legitim BGP-annons klassificeras som ogiltig. Organisationen b\u00f6r granska ursprungs-ASN, prefixl\u00e4ngd och maximal l\u00e4ngd, och sedan uppdatera auktoriseringen innan strikt ruttfiltrering till\u00e4mpas.<\/p>\n\n\n\n RPKI is an important improvement to the security of Internet routing. It gives IP resource holders a way to publish cryptographic authorization for the ASNs that are allowed to originate their IPv4 and IPv6 prefixes. It also gives network operators a practical method for checking whether BGP announcements match that authorization.<\/p>\n\n\n\n Konceptet \u00e4r enkelt: innehavaren av ett IP-prefix publicerar den avsedda ursprungsnoden, och andra n\u00e4tverk validerar annonsen mot denna information. Resultatet kan hj\u00e4lpa till att identifiera auktoriserade rutter, konflikterande rutter samt rutter f\u00f6r vilka ingen auktorisering har publicerats. RPKI ers\u00e4tter inte noggrann n\u00e4tverksingenj\u00f6rskonst, hantering av register, IRR-poster, BGP-overvakning eller avtalsm\u00e4ssig due diligence. Det garanterar heller inte att varje ruta \u00e4r s\u00e4ker eller att varje routingincident kommer att f\u00f6rhindras. Dess v\u00e4rde ligger i att l\u00e4gga till en p\u00e5litlig auktorisationssignal till routeprocessen.<\/p>\n\n\n\n F\u00f6r organisationer som hanterar ett ASN, IPv4-utrymme, IPv6-utrymme eller flera upstream-leverant\u00f6rer b\u00f6r RPKI ing\u00e5 i den normala routningsdesignen. Innan du annonserar en prefix, byter leverant\u00f6r, genomf\u00f6r en \u00f6verf\u00f6ring av IPv4-adresser eller distribuerar ett nytt IPv6-n\u00e4tverk, granska registret data, ursprungs-ASN, auktoriseringsposter och live BGP-tillst\u00e5nd tillsammans. Denna enkla process kan f\u00f6rhindra undvikbara misstag och f\u00f6rb\u00e4ttra den \u00f6vergripande tillf\u00f6rlitligheten hos Internetanslutningen.<\/p>\n\n\n\n <\/p>","protected":false},"excerpt":{"rendered":" The Internet depends on a global routing system that allows networks, data centers, cloud platforms, Internet service providers, and enterprises to exchange traffic. One of the most important protocols in this system is the Border Gateway Protocol, commonly known as BGP. BGP allows independent networks to announce which IP address ranges they can reach. Without […]<\/p>\n","protected":false},"author":1,"featured_media":1088,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_seopress_titles_title":"What Is RPKI? A Beginner\u2019s Guide to Secure BGP Routing","_seopress_titles_desc":"Learn what RPKI is, how it protects BGP routing, why it matters for IPv4 and IPv6 networks, and how businesses can start using route origin validation.","_seopress_robots_index":"","_seopress_robots_follow":"","_seopress_robots_imageindex":"","_seopress_robots_snippet":"","_seopress_robots_primary_cat":"","_seopress_robots_breadcrumbs":"","_seopress_robots_freeze_modified_date":"","_seopress_robots_custom_modified_date":"","_seopress_robots_canonical":"","_seopress_social_fb_title":"","_seopress_social_fb_desc":"","_seopress_social_fb_img":"","_seopress_social_fb_img_attachment_id":0,"_seopress_social_fb_img_width":0,"_seopress_social_fb_img_height":0,"_seopress_social_twitter_title":"","_seopress_social_twitter_desc":"","_seopress_social_twitter_img":"","_seopress_social_twitter_img_attachment_id":0,"_seopress_social_twitter_img_width":0,"_seopress_social_twitter_img_height":0,"_seopress_redirections_value":"","_seopress_redirections_enabled":"","_seopress_redirections_enabled_regex":"","_seopress_redirections_logged_status":"","_seopress_redirections_param":"","_seopress_redirections_type":0,"_seopress_analysis_target_kw":"","footnotes":""},"categories":[1],"tags":[],"class_list":["post-1086","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-article"],"_links":{"self":[{"href":"https:\/\/junglelabs.uk\/sv\/wp-json\/wp\/v2\/posts\/1086","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/junglelabs.uk\/sv\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/junglelabs.uk\/sv\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/junglelabs.uk\/sv\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/junglelabs.uk\/sv\/wp-json\/wp\/v2\/comments?post=1086"}],"version-history":[{"count":3,"href":"https:\/\/junglelabs.uk\/sv\/wp-json\/wp\/v2\/posts\/1086\/revisions"}],"predecessor-version":[{"id":1091,"href":"https:\/\/junglelabs.uk\/sv\/wp-json\/wp\/v2\/posts\/1086\/revisions\/1091"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/junglelabs.uk\/sv\/wp-json\/wp\/v2\/media\/1088"}],"wp:attachment":[{"href":"https:\/\/junglelabs.uk\/sv\/wp-json\/wp\/v2\/media?parent=1086"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/junglelabs.uk\/sv\/wp-json\/wp\/v2\/categories?post=1086"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/junglelabs.uk\/sv\/wp-json\/wp\/v2\/tags?post=1086"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}\/24<\/code> or an IPv6 \/48<\/code>. En ASN identifierar ett oberoende n\u00e4tverk som deltar i BGP-rutning.<\/p>\n\n\n\nVarf\u00f6r beh\u00f6ver BGP RPKI?<\/h2>\n\n\n\n
Hur fungerar RPKI?<\/h2>\n\n\n\n
Vad \u00e4r en Route Origin Authorization?<\/h2>\n\n\n\n
192.0.2.0\/24<\/code> och anv\u00e4nd ASN AS64500<\/code> f\u00f6r att meddela det. Organisationen kan skapa en beh\u00f6righet som till\u00e5ter AS64500<\/code> att uppst\u00e5 192.0.2.0\/24<\/code>Om en annan ASN senare annonserar samma prefix kan n\u00e4tverk som utf\u00f6r RPKI-validering uppt\u00e4cka att originalet inte st\u00e4mmer \u00f6verens med auktorisationen.<\/p>\n\n\n\nVad betyder giltig, ogiltig och ej hittad?<\/h2>\n\n\n\n
Why RPKI Matters for IPv4 Networks<\/h2>\n\n\n\n
Why RPKI Matters for IPv6 Networks<\/h2>\n\n\n\n
Vilka \u00e4r de huvudsakliga f\u00f6rdelarna med RPKI?<\/h2>\n\n\n\n
Vad RPKI inte kan g\u00f6ra<\/h2>\n\n\n\n
Hur kan ett f\u00f6retag b\u00f6rja anv\u00e4nda RPKI?<\/h2>\n\n\n\n
Vanliga misstag vid RPKI-implementering<\/h2>\n\n\n\n
RPKI, IRR och BGP-overvakning<\/h2>\n\n\n\n
Hur b\u00f6r RPKI underh\u00e5llas?<\/h2>\n\n\n\n
Vanliga fr\u00e5gor om RPKI<\/h2>\n\n\n\n
Kr\u00e4vs RPKI f\u00f6r att anv\u00e4nda BGP?<\/h3>\n\n\n\n
F\u00f6rhindrar RPKI en BGP-hijack?<\/h3>\n\n\n\n
\u00c4r RPKI endast f\u00f6r IPv4?<\/h3>\n\n\n\n
\u00c4r ett RPKI-resultat \"Not Found\" farligt?<\/h3>\n\n\n\n
Kan RPKI ers\u00e4tta ett IRR-routobjekt?<\/h3>\n\n\n\n
Vad h\u00e4nder om ett RPKI-post \u00e4r felaktigt?<\/h3>\n\n\n\n