RPKI-validering \u00e4r nu en viktig del av modern BGP-routningss\u00e4kerhet. Den hj\u00e4lper n\u00e4tverksoperat\u00f6rer att avg\u00f6ra om ett autonomt systemnummer \u00e4r beh\u00f6rigt att ursprungs en viss IPv4- eller IPv6-prefix. N\u00e4r en router f\u00e5r en v\u00e4gans\u00f6kning kan den j\u00e4mf\u00f6ra anslaget med det publicerade RPKI-beh\u00f6righeten f\u00f6r den adressomfattningen.<\/p>\n\n\n\n
Resultatet visas normalt som giltigt, ogiltigt eller inte hittad. Dessa tre etiketter \u00e4r enkla, men de f\u00f6rst\u00f6rs ofta. Ett giltigt resultat betyder inte att varje del av v\u00e4gen \u00e4r perfekt. Ett ogiltigt resultat betyder inte alltid att n\u00e5gon attackerar n\u00e4tverket. En inte hittad resultat betyder inte automatiskt att annonseringen \u00e4r os\u00e4ker.<\/p>\n\n\n\n
Etiketterna beskriver endast f\u00f6rh\u00e5llandet mellan en BGP-annons och den tillg\u00e4ngliga Route Origin Authorization-data. F\u00f6r att f\u00f6rst\u00e5 resultatet korrekt m\u00e5ste du j\u00e4mf\u00f6ra tre detaljer: den annonserade IP-prefixen, den ursprungliga ASN och den maximala prefixl\u00e4ngd som till\u00e5ts av auktoriseringen.<\/p>\n\n\n\n
Den h\u00e4r artikeln f\u00f6rklarar varje RPKI-status i praktiska termer, visar varf\u00f6r legitima v\u00e4gar kan bli ogiltiga och ger en fels\u00f6kningsprocess f\u00f6r n\u00e4tverksoperat\u00f6rer som hanterar sitt eget ASN, IPv4-resurser, IPv6-alloceringar eller uppstr\u00f6msrutter. Om du \u00e4r nyb\u00f6rjare p\u00e5 \u00e4mnet b\u00f6rja med v\u00e5r guide till Vad \u00e4r RPKI?<\/a> och l\u00e4s sedan Vad \u00e4r en ROA i RPKI?<\/a> f\u00f6r en detaljerad f\u00f6rklaring av auktoriseringsposten sj\u00e4lv.<\/p>\n\n\n\n RPKI st\u00e5r f\u00f6r Resource Public Key Infrastructure. Den kopplar internetnummerresurser till kryptografiskt signerade auktoriseringsposter. \u00c4garen eller beh\u00f6rig administrat\u00f6r av en IP-prefix kan publicera en ROA som anger att ett visst ASN \u00e4r till\u00e5tet att ursprungsmeddela den prefixen i BGP.<\/p>\n\n\n\n En validerare samlar in dessa signerade poster, kontrollerar deras autenticitet och skapar en validerad dataupps\u00e4ttning f\u00f6r n\u00e4tverksoperat\u00f6rer. N\u00e4r en BGP-rutt tas emot j\u00e4mf\u00f6rs rutten med den h\u00e4r dataupps\u00e4ttningen av operat\u00f6rens routningssystem. J\u00e4mf\u00f6relsen st\u00e4ller tre grundl\u00e4ggande fr\u00e5gor: \u00c4r det annonserade prefixet t\u00e4ckt av en auktorisering? \u00c4r ursprungs-ASN den som anges i den auktoriseringen? \u00c4r det annonserade prefixl\u00e4ngden inom det till\u00e5tna maximala l\u00e4ngden?<\/p>\n\n\n\n Svaret p\u00e5 dessa fr\u00e5gor ger statusen f\u00f6r RPKI. Statusen g\u00e4ller f\u00f6r route origin authorization, inte f\u00f6r alla attribut i BGP-s\u00f6kv\u00e4gen. RPKI bevisar inte att alla mellann\u00e4tverk \u00e4r korrekta, att trafiken f\u00f6ljer den b\u00e4sta s\u00f6kv\u00e4gen eller att adressresurserna \u00e4r lagligt tillg\u00e4ngliga f\u00f6r s\u00e4lj. Det \u00e4r ett fokuserat s\u00e4kerhetssignal som f\u00f6rb\u00e4ttrar f\u00f6rtroendet f\u00f6r en routes ursprung.<\/p>\n\n\n\n En rutt \u00e4r RPKI giltig<\/strong> n\u00e4r BGP-annonsen t\u00e4cks av minst en till\u00e4mplig ROA, matchar origin ASN den auktoriserade ASN och den annonserade prefixl\u00e4ngden \u00e4r till\u00e5ten av ROA: s maximala l\u00e4ngd. I praktiskt fall \u00e4r v\u00e4gen konsistent med den rutingstillst\u00e5nd som publicerats av resurs\u00e4garen.<\/p>\n\n\n\n Till exempel, anta att en f\u00f6retag styr Ett giltigt resultat \u00e4r ett positivt tecken, men det b\u00f6r inte tolkas som en fullst\u00e4ndig s\u00e4kerhet. Den aktuella v\u00e4gen kan fortfarande ha en felaktig v\u00e4g, en d\u00e5lig f\u00f6retagsreputation, en f\u00f6r\u00e5ldrad registertext eller ett operativt problem utanf\u00f6r ursprungsbefogenheten. N\u00e4tverksoperat\u00f6rer kombinerar normalt RPKI med BGP-\u00f6vervakning, prefixfilter, registerr\u00e4ttigheter och incidenthanteringsprocedurer.<\/p>\n\n\n\n En giltig status kan ocks\u00e5 f\u00f6r\u00e4ndras n\u00e4r n\u00e4tverket \u00e4ndras. Om en f\u00f6retag flyttar en prefix till en annan ASN, b\u00f6rjar annonsera en mer specifik v\u00e4g, eller \u00e4ndrar sitt adressplan, kan den befintliga ROA inte l\u00e4ngre matcha den nya annonseringen. RPKI speglar den aktuella auktoriseringsdata, s\u00e5 den m\u00e5ste underh\u00e5llas som en del av normala n\u00e4tverksoperationer.<\/p>\n\n\n\n En rutt \u00e4r RPKI ogiltig<\/strong> n\u00e4r en till\u00e4mplig auktorisering finns, men BGP-annonsen konflierar med den. Konflikten handlar vanligtvis om en av tv\u00e5 saker: origin ASN \u00e4r inte auktoriserad, eller s\u00e5 \u00e4r den annonserade prefixet mer specifik \u00e4n den maximala l\u00e4ngd som till\u00e5ts av ROA.<\/p>\n\n\n\n Till exempel kan en ROA godk\u00e4nna Ogiltig inneb\u00e4r inte n\u00f6dv\u00e4ndigtvis att en skadlig omskakning sker. M\u00e5nga ogiltiga v\u00e4gar orsakas av vanliga operativa misstag. En tekniker kan gl\u00f6mma att uppdatera en ROA efter en ASN-migrering, en leverant\u00f6r kan annonsera en kundprefix med felaktig ursprung, eller n\u00e4tverket kan b\u00f6rja anv\u00e4nda mer specifika prefix utan att \u00e4ndra maxl\u00e4ngden.<\/p>\n\n\n\n Samtidigt b\u00f6r ett ogiltigt resultat inte ignoreras. Det kan indikera en oautoriserad annons, en route leak med en ov\u00e4ntad ursprung, eller en konfigurationsfel som kan g\u00f6ra prefixet of\u00e5ngbart genom n\u00e4tverk som anv\u00e4nder strikt RPKI-filter. Det r\u00e4tta \u00e5tg\u00e4rden \u00e4r att unders\u00f6ka resultatet snabbt och j\u00e4mf\u00f6ra det med den avsedda routningsdesignen.<\/p>\n\n\n\n En rutt \u00e4r RPKI hittades inte<\/strong> n\u00e4r valideraren inte kan hitta en till\u00e4mplig ROA f\u00f6r den annonserade prefixen. Det finns ingen publicerad auktorisering som kan bekr\u00e4fta eller f\u00f6rneka ursprungs-ASN f\u00f6r den v\u00e4gen.<\/p>\n\n\n\n Ej\u00e4 tillg\u00e4nglig kallas ibland \"ok\u00e4nd\", eftersom valideringssystemet inte har tillr\u00e4ckligt med auktoriseringsinformation f\u00f6r att dra n\u00e5got slutsats. Det betyder inte att v\u00e4gen \u00e4r ogiltig, och det bevisar inte att ursprunget \u00e4r oautentiserat. M\u00e5nga legitima prefix p\u00e5 Internet har fortfarande ingen ROA, antingen f\u00f6r att resursh\u00e5llaren inte har skapat en eller f\u00f6r att auktoriseringen \u00e4nnu inte \u00e4r synlig f\u00f6r valideraren.<\/p>\n\n\n\n F\u00f6rekomsten av en ROA minskar m\u00e4ngden information som \u00e4r tillg\u00e4nglig f\u00f6r n\u00e4tverk som vill validera v\u00e4gen. Om en oautentiserad ASN annonserar samma prefix kan ett n\u00e4tverk som ser b\u00e5da annonsen ha sv\u00e5rt att skilja den legitima v\u00e4gen fr\u00e5n den falska med RPKI ensamt.<\/p>\n\n\n\n Resursh\u00e5llare b\u00f6r normalt publicera korrekta ROA f\u00f6r prefix som de annonserar offentligt, s\u00e4rskilt n\u00e4r prefixen st\u00f6djer viktiga tj\u00e4nster. Dock b\u00f6r operat\u00f6rer undvika att skapa en br\u00e5dskande eller \u00f6verdrivet omfattande auktorisering bara f\u00f6r att \u00e4ndra \"Not Found\" till \"Valid\". En d\u00e5ligt konfigurerad ROA kan g\u00f6ra en laglig v\u00e4g till \"Invalid\", vilket kan ha ett mer direkt operativt p\u00e5verkan.<\/p>\n\n\n\n Den viktigaste skillnaden \u00e4r att Ogiltig \u00e4r en konflikt<\/strong>, medan Inte hittad \u00e4r en brist p\u00e5 auktoriseringsdata<\/strong>. Ogiltig betyder att valideraren hittade en relevant ROA men att v\u00e4gen inte f\u00f6ljer den. Not Found betyder att ingen till\u00e4mplig ROA hittades.<\/p>\n\n\n\n T\u00e4nk p\u00e5 tv\u00e5 exempel. I det f\u00f6rsta fallet publicerar en f\u00f6retag en ROA som beviljar Denna skillnad \u00e4r viktig vid skapandet av routningspolicy. M\u00e5nga n\u00e4tverk ger s\u00e4rbehandling till ogiltiga v\u00e4gar eftersom en befintlig auktorisering indikerar att resurs\u00e4garen har uttryckt ett specifikt f\u00f6rv\u00e4ntan. \"Not Found\"-v\u00e4gar kan \u00f6vervakas, ges l\u00e4gre f\u00f6retr\u00e4de eller accepteras enligt lokal policy. Varje n\u00e4tverk beslutar hur resultatet ska till\u00e4mpas.<\/p>\n\n\n\n N\u00e4tverksoperat\u00f6rer b\u00f6r ocks\u00e5 komma ih\u00e5g att valideringsresultat kan variera temporerat medan databaser och validerare uppdateras. Om en ROA skapats eller \u00e4ndrats f\u00f6r bara n\u00e5gra minuter sedan kan olika verktyg visa olika tillst\u00e5nd tills uppdateringen har spridit sig genom valideringssystemet.<\/p>\n\n\n\n Den vanligaste orsaken \u00e4r en ASN-\u00e4ndring. Ett f\u00f6retag kan ursprungligen annonsera en prefix fr\u00e5n en ASN som tillhandah\u00e5lls av en uppstr\u00f6ms eller st\u00f6dande organisation och senare flytta prefixet till sin egen ASN. Om ROA fortfarande godk\u00e4nner den gamla ursprunget blir den nya annonsen ogiltig.<\/p>\n\n\n\n En andra orsak \u00e4r en felaktig maximal prefixl\u00e4ngd. En organisation kan \u00e4ga en IPv4-overf\u00f6ringar kan skapa liknande problem. Under en \u00f6verf\u00f6ring kan den administrativa \u00e4garen och routningsorigin f\u00f6r\u00e4ndras vid olika tider. Om den tidigare \u00e4garens auktorisering fortfarande \u00e4r aktiv medan den nya \u00e4garen annonserar prefixet fr\u00e5n ett annat ASN, kan \u00f6verg\u00e5ngen resultera i ett ogiltigt tillst\u00e5nd.<\/p>\n\n\n\n Ogiltiga poster, felaktiga n\u00e4tverksgr\u00e4nser och missf\u00f6rst\u00e5nd ang\u00e5ende transitleverant\u00f6rens roll \u00e4r andra vanliga orsaker. En leverant\u00f6r kan b\u00e4ra en kunds v\u00e4g utan att vara den ursprungliga ASN. ROA beh\u00f6ver normalt godk\u00e4nna den ASN som visas som v\u00e4gs ursprung, inte bara den b\u00e4rare som transporterar trafiken.<\/p>\n\n\n\n B\u00f6rja med att skriva ner det exakta prefixet och origin ASN som visas i BGP-annonsen. Lita inte p\u00e5 en f\u00f6rkortad visning eller ett tidigare konfigurationsdokument. Bekr\u00e4fta adressfamiljen, prefixl\u00e4ngden och origin som observeras av minst en tillf\u00f6rlitlig rutterings\u00f6vervakare.<\/p>\n\n\n\n N\u00e4sta steg \u00e4r att unders\u00f6ka de aktiva ROA:na f\u00f6r den h\u00e4r prefixen. Kontrollera den auktoriserade ASN och maximalt prefixl\u00e4ngd. Om origin ASN inte matchar, best\u00e4m om det \u00e4r v\u00e4gen eller auktoriseringen som \u00e4r fel. Om ASN \u00e4r korrekt, kontrollera om det annonserade prefixet \u00e4r mer specifikt \u00e4n till\u00e5ten maximal l\u00e4ngd.<\/p>\n\n\n\n Granska de senaste \u00e4ndringarna. S\u00f6k efter en ASN-migrering, uppstr\u00f6msleverant\u00f6rs\u00e4ndring, IPv4-overf\u00f6ring, IPv6-deployment, datacenterflytt, v\u00e4gaggregerings\u00e4ndring eller BGP-policyuppdatering. De flesta legitima ogiltiga resultat kan kopplas till en nylig \u00e4ndring som inte reflekterades i RPKI-hantering.<\/p>\n\n\n\n Om ROA \u00e4r fel, uppdatera den genom den relevanta regionala internetregister, sponsoriserande LIR eller RPKI-hanteringsystem. Om BGP-annonsen \u00e4r fel, korrigera ist\u00e4llet v\u00e4gpolitiken. L\u00f6s inte en rutingssak genom att publicera en on\u00f6digt bred ROA, eftersom det kan godk\u00e4nna annonsningar som aldrig var avsiktade.<\/p>\n\n\n\n Efter att ha gjort korrektionen, l\u00e5t tid f\u00f6r att arkivet och valideraren ska uppdateras. Kontrollera resultatet igen med en extern valideringstj\u00e4nst och en BGP-overvakningssk\u00e4lla. Routen b\u00f6r \u00e5terg\u00e5 till giltig n\u00e4r ursprung och prefixl\u00e4ngd matchar den publicerade auktoriseringen.<\/p>\n\n\n\n RPKI-validering drar inte automatiskt tillbaka en v\u00e4g fr\u00e5n Internet. Det \u00e4r det mottagande n\u00e4tverket som best\u00e4mmer hur resultatet anv\u00e4nds i dess routningspolicy. Vissa operat\u00f6rer avvisar ogiltiga v\u00e4gar, medan andra m\u00e4rker dem med l\u00e4gre preferens, genererar varningar eller forts\u00e4tter att acceptera dem under vissa villkor.<\/p>\n\n\n\n En giltig v\u00e4g kan f\u00e5 normal behandling, men den fortfarande konkurrerar med andra v\u00e4gar enligt lokal preferens, v\u00e4gl\u00e4ngd, trafikingenj\u00f6rsregler och leverant\u00f6rspolitik. En v\u00e4g som inte hittas kan accepteras av ett n\u00e4tverk och behandlas mer f\u00f6rsiktigt av ett annat. En ogiltig v\u00e4g kan f\u00f6rbli synlig genom vissa leverant\u00f6rer, medan den blir of\u00e5ngbar genom n\u00e4tverk som till\u00e4mpar strikta filtreringar.<\/p>\n\n\n\n Denna skillnad f\u00f6rklarar varf\u00f6r en ogiltig annonsering kan orsaka delvis anslutning. En tj\u00e4nst kan fungera fr\u00e5n ett omr\u00e5de men misslyckas fr\u00e5n ett annat eftersom olika n\u00e4tverk till\u00e4mpar olika politiker. N\u00e4r man diagnostiserar en driftavbrott \u00e4r det d\u00e4rf\u00f6r anv\u00e4ndbart att j\u00e4mf\u00f6ra valideringsstatus med BGP synlighet fr\u00e5n flera platser.<\/p>\n\n\n\n RPKI b\u00f6r ses som en inmatning till ruttprincipen snarare \u00e4n en universell ers\u00e4ttning f\u00f6r prefixfilter eller v\u00e4g\u00f6vervakning. De starkaste operativa resultaten kommer ofta fr\u00e5n att kombinera exakta RPKI-data med noggrant underh\u00e5llna registries- och ruttuppgifter.<\/p>\n\n\n\n De tre samma tillst\u00e5nd g\u00e4ller f\u00f6r b\u00e5de IPv4 och IPv6. I varje adressfamilj j\u00e4mf\u00f6relser valideraren den annonserade prefixen, den ursprungliga AS-nummer och den till\u00e5tna prefixl\u00e4ngden med de tillg\u00e4ngliga ROAs.<\/p>\n\n\n\n IPv4-operationer handlar ofta om relativt sm\u00e5 prefix, \u00f6verf\u00f6ringar, leasingavtal och flera leverant\u00f6rer. En f\u00f6r\u00e4ndring i ursprungs-ASN eller anv\u00e4ndning av mer-specifika meddelanden kan snabbt p\u00e5verka valideringsresultatet. IPv4-resursh\u00e5llare b\u00f6r granska RPKI varje g\u00e5ng ett block \u00f6verf\u00f6rs, leasas, flyttas mellan leverant\u00f6rer eller annonseras fr\u00e5n en ny plats.<\/p>\n\n\n\n IPv6-n\u00e4tverk f\u00e5r ofta st\u00f6rre tilldelningar och kan annonsera en sammanfattning medan de anv\u00e4nder mindre interna undern\u00e4t. Den offentliga ROA ska matcha prefixen som faktiskt annonseras till Internet. Om en IPv6-operat\u00f6r endast godk\u00e4nner en sammanfattning men senare annonserar mer specifika v\u00e4gar, kan dessa v\u00e4gar bli ogiltiga om maximal l\u00e4ngd inte till\u00e5ter dem.<\/p>\n\n\n\n A larger IPv6 address space does not remove the need for origin validation. IPv6 route hijacks and configuration mistakes can still interrupt services. Publishing precise ROAs during the initial IPv6 deployment makes future troubleshooting easier and gives upstream networks a clear authorization signal.<\/p>\n\n\n\n Innan du \u00e4ndrar en ASN, uppstr\u00f6msleverant\u00f6r, routaggregationsplan eller adressresursh\u00e5llare, registrera den nuvarande RPKI-tillst\u00e5ndet. Bekr\u00e4fta vilken ASN som f\u00f6r n\u00e4rvarande ursprungligen skickar prefixet och om annonsen \u00e4r giltig, ogiltig eller inte hittad.<\/p>\n\n\n\n Efter att ha f\u00f6rberett den nya routningsdesignen, j\u00e4mf\u00f6r de f\u00f6rv\u00e4ntade ursprungs- och prefixl\u00e4ngder med de planerade ROA:na. Om ursprunget kommer att f\u00f6r\u00e4ndras, publicera eller uppdatera auktoriseringen innan du annonserar den nya v\u00e4gen n\u00e4r den operativa schemat till\u00e5ter. Under en kontrollerad migrering kan tempor\u00e4r auktorisering f\u00f6r b\u00e5da ursprung vara l\u00e4mplig, men arrangementen ska dokumenteras och den gamla auktoriseringen ska tas bort n\u00e4r \u00f6verg\u00e5ngen \u00e4r klar.<\/p>\n\n\n\nVad \u00c4r RPKI-validering?<\/h2>\n\n\n\n
Vad betyder RPKI giltig?<\/h2>\n\n\n\n
203.0.113.0\/24<\/code> och publicerar en ROA som godk\u00e4nner AS64500<\/code> att komma fr\u00e5n det \/24<\/code>. Om f\u00f6retaget annonserar 203.0.113.0\/24<\/code> fr\u00e5n AS64500<\/code>, b\u00f6r meddelandet returnera giltigt. Detta g\u00e4ller \u00e4ven f\u00f6r ett exempel p\u00e5 IPv6 s\u00e5som 2001:db8:1200::\/48<\/code> n\u00e4r den korrekta ASN och till\u00e5tna prefixl\u00e4ngd anv\u00e4nds.<\/p>\n\n\n\nVad betyder RPKI ogiltigt?<\/h2>\n\n\n\n
AS64500<\/code> att uppst\u00e5 198.51.100.0\/24<\/code>. Om AS64510<\/code> meddelar samma prefix, matchar inte origo ASN och v\u00e4gen blir Ogiltig. Resultatet kan ocks\u00e5 uppst\u00e5 n\u00e4r AS64500<\/code> \u00e4r beh\u00f6rig f\u00f6r the \/24<\/code> men annonserar 198.51.100.0\/25<\/code> medan ROA inte till\u00e5ter prefix som specifika.<\/p>\n\n\n\nVad betyder RPKI-Not Found?<\/h2>\n\n\n\n
Skillnaden mellan Ogiltig och Hittas inte<\/h2>\n\n\n\n
AS64500<\/code> f\u00f6r 192.0.2.0\/24<\/code>, men AS64510<\/code> meddelar prefixet. Routen \u00e4r ogiltig eftersom ursprunget konfliktar med auktoriseringen. I andra fallet har f\u00f6retaget inte publicerat n\u00e5gon ROA, och AS64500<\/code> meddelar prefixet. S\u00f6kv\u00e4gen hittas inte eftersom det inte finns n\u00e5gon auktorisering att utv\u00e4rdera.<\/p>\n\n\n\nVarf\u00f6r kan en laglig v\u00e4g bli ogiltig?<\/h2>\n\n\n\n
\/20<\/code>, publicera en ROA med maximal l\u00e4ngd av \/20<\/code>, och senare meddela tv\u00e5 \/21<\/code> v\u00e4gar f\u00f6r trafikingenj\u00f6rsarbete. De mer-specifika meddelandena kan inte t\u00e4ckas av den ursprungliga till\u00e5telsen. BGP-konfigurationen kan vara avsiktlig, men RPKI-policyen \u00e4r f\u00f6r restriktiv f\u00f6r det nya designen.<\/p>\n\n\n\nHur man fels\u00f6ker ett RPKI-ogiltigt resultat<\/h2>\n\n\n\n
Hur RPKI-resultat p\u00e5verkar BGP-routning<\/h2>\n\n\n\n
RPKI Validation for IPv4 and IPv6<\/h2>\n\n\n\n
Hur man kontrollerar RPKI-status innan en n\u00e4tverks\u00e4ndring<\/h2>\n\n\n\n