İnternet, ağların, veri merkezlerinin, bulut platformlarının, internet servis sağlayıcılarının ve işletmelerin trafiği değiştirmesine olanak tanıyan küresel bir yönlendirme sistemine dayanır. Bu sistemin en önemli protokollerinden biri, yaygın olarak BGP (Border Gateway Protocol) olarak bilinen Sınır Ağ Geçidi Protokolü'dür. BGP, bağımsız ağların ulaşabileceği IP adresi aralıklarını duyurmalarını sağlar. BGP olmadan modern İnternet, farklı ülkelerdeki ve sağlayıcılardaki milyonlarca ağı birbirine bağlayamazdı. Ancak BGP başlangıçta büyük ölçüde güvenliğe dayalı olarak yönlendirme bilgilerini değiştirmek üzere tasarlanmıştır. Bir ağ bir IP ön ekini duyurduğunda, diğer ağlar bu duyuruyu, söz konusu ağın gerçekten o ön eki kullanmaya yetkili olup olmadığını doğrulamak için güçlü bir kriptografik yönteme sahip olmadan kabul edebilir. Bu durum bir güvenlik sorunu yaratır. Yanlış veya kötü amaçlı bir yönlendirme duyurusu, trafiği yeniden yönlendirebilir, hizmetleri kesintiye uğratabilir veya verileri istenmeyen yollara açığa çıkarabilir.
RPKI, İnternet yönlendirmesinin güvenliğini artırmak amacıyla geliştirilmiştir. Adı, Kaynak Kamu Anahtar Altyapısı anlamına gelir. IPv4 ve IPv6 ön ekleri gibi İnternet numara kaynaklarını, bunları köken olarak yetkilendirilmiş Otonom Sistem Numarasıyla ilişkilendiren bir yol sağlar. Ağ operatörleri daha sonra bu bilgiyi kullanarak bir BGP duyurusunun kayıtlı yetkilendirmeyle tutarlı olup olmadığını belirleyebilirler.
Kendi ASN'ini işleten, IP kaynaklarını yöneten, birden fazla üst sağlayıcı kullanan veya IPv4 veya IPv6 alanını duyurmayı planlayan işletmeler için RPKI'nin anlaşılması giderek daha önemli hale geliyor. RPKI, BGP'nin yerini almaz ve her yönlendirme sorununu çözmez. Bunun yerine, ağların daha güvenli yönlendirme kararları almasına yardımcı olan ek bir doğrulama katmanı sağlar.
RPKI nedir?
RPKI, IP adresi ön eki ile köken ASN arasındaki ilişkiyi doğrulamak için dijital sertifikalar ve kriptografik kayıtlar kullanan bir güvenlik çerçevesidir. Bir IP ön eki, IPv4 gibi adres bloklarıdır. /24 or an IPv6 /48. Bir ASN, BGP yönlendirmesine katılan bağımsız bir ağı tanımlar.
Temel fikir basittir. Bir IP ön ekini kullanmaya yetkili olan bir kuruluş, BGP'de bu ön eki köken almasına izin verilen ASN'yi belirten imzalı bir bildirim yayımlar. BGP duyurularını alan ağlar, bu duyuruyu yayımlanan bilgilerle karşılaştırabilir. Eğer duyuru eşleşiyorsa, yetkili olarak kabul edilebilir. Çelişki varsa, duyuru şüpheli veya geçersiz sayılabilir.
Bu yetkiyi ifade etmek için kullanılan kayıtlar genellikle Yol Kökeni Yetkilendirmeleri (ROA) olarak adlandırılır. Bir ROA, bir IP ön ekini, yetkili köken ASN'sini ve uygun olduğunda, ASN'nin duyurmasına izin verilen maksimum ön ek uzunluğunu belirtir. ROA'lar RPKI'nin önemli bir parçası olsa da, bu makale RPKI'nin daha geniş amacına ve yönlendirme güvenliğini nasıl iyileştirdiğine odaklanmaktadır.
RPKI genellikle RIPE NCC, ARIN, APNIC, LACNIC ve AFRINIC dâhil olmak üzere Bölgesel İnternet Kayıt Kuruluşları aracılığıyla işletilir. Bölgeye ve kaynak türüne bağlı olarak, kaynak sahibi veya sponsor kuruluş, ilgili yetkilendirme kayıtlarını kayıt kuruluşunun sistemleri üzerinden oluşturabilir ve yönetebilir.
Neden BGP'ye RPKI Gerekli?
BGP, İnternet'in daha küçük olduğu ve katılan ağ sayısının sınırlı olduğu bir dönemde oluşturulmuştur. Temel amacı, otonom sistemler arasında erişilebilirlik bilgilerini değiştirmektir. BGP, politikalara, yol uzunluğuna, yerel tercihlere ve diğer özniteliklere göre yollar seçebilir; ancak protokol kendisi, bir ASN'nin belirli bir IP ön ekini başlatma yetkisine sahip olup olmadığını otomatik olarak doğrulamaz.
Bu, bir yapılandırma hatasının bazen kötü niyetli bir duyuruyla benzer görünmesine neden olabileceği anlamına gelir. Bir ağ yanlışlıkla başka bir organizasyona ait bir ön eki duyurursa, diğer ağlar başlangıçta rotayı kabul edebilir. Sonuç olarak, trafiğin yanlış hedefe gitmesi, bağlantı kaybı veya kararsız yönlendirme oluşabilir.
Bilinen bir örnek, rota sızıntısı veya ön ek hırsızlığıdır. Bir hırsızlık durumunda, bir ASN, kontrolü altında olmayan veya kökeni olması gerekmeyen bir ön eki duyurur. Bu duyuru, yasal rotadan daha spesifik olabilir veya trafiği etkileyecek kadar ağlara ulaşabilir. Olay kazalı olsa bile, operasyonel etkileri önemli olabilir.
RPKI, ağ operatörlerine yetkilendirme bilgileri için harici bir kaynak sağlayarak yardımcı olur. Bir yönlendirici veya yönlendirme güvenlik sistemi, yalnızca bir BGP duyurusunun içeriğine güvenmek yerine, adres alanının sahibinin köken ASN'sini yetkilendirdiğini kontrol edebilir. Bu, tüm yönlendirme olaylarını önlemez, ancak önemli bir yönlendirme hatası sınıfını daha kolay tanımlamayı ve filtrelemeyi sağlar.
RPKI Nasıl Çalışır?
RPKI, güven zinciri üzerinden çalışır. İnternet numara kaynakları Bölgesel İnternet Kayıt Kuruluşları tarafından yönetilir ve bu kuruluşlar ilgili dijital sertifikalar için temel oluşturur. Bir IP kaynağının sahibi, ön ekli köken alabilecek ASN'yi belirten bir yetkilendirme kaydı oluşturabilir.
İmzalı kayıtlar, yönlendirme güvenliği yazılımı tarafından erişilebilen depolarda toplanır. Bir ağ operatörü bir RPKI doğrulayıcısı çalıştırır veya onun yerine doğrulama yapan bir hizmet kullanır. Doğrulayıcı mevcut kayıtları indirir, imzalarını doğrular, güncel olup olmadıklarını kontrol eder ve doğrulanmış bir veri kümesi oluşturur.
Doğrulanmış veri seti daha sonra ağın yönlendirme altyapısına bağlanır. Bir BGP rotası alındığında, yönlendirici veya yönlendirme politikası sistemi duyurulan ön eki ve köken ASN'sini doğrulanmış RPKI bilgileriyle karşılaştırır. Sonuç genellikle Geçerli, Geçersiz veya Bulunamadı olarak sınıflandırılır.
Bu işlem, BGP oturumundan bağımsız olarak gerçekleşir. BGP, yönlendirme bilgilerini değiştirmeye devam ederken RPKI, yönlendirme politikalarında kullanılabilecek ek yetkilendirme verileri sağlar. Bir ağ, her doğrulama sonucunu nasıl ele alacağını belirleyebilir. Örneğin, geçersiz rotaları reddedebilir, onlara daha düşük öncelik atayabilir veya daha fazla inceleme için uyarılar oluşturabilir.
Süreç dağıtık ve ölçeklenebilir olacak şekilde tasarlanmıştır. Büyük ağlar, her kuruluşun diğer tüm ağlarla doğrudan bir ilişki kurmasını gerektirmeden binlerce ön ek doğrulayabilir. Bu önemlidir çünkü İnternet, farklı politikalar ve teknik ortamlara sahip çok sayıda bağımsız operatör içerir.
Bir Rota Kayıt Yetkilendirmesi (ROA) Nedir?
Bir Rota Köken Yetkilendirmesi, belirli bir IP ön ekini başlatmak için hangi ASN'nin yetkili olduğunu belirten imzalı bir kayıttır. RPKI dağıtımının en görünür ve pratik kısımlarından biridir.
Örneğin, bir kuruluş IPv4 ön ekini kontrol edebilir 192.0.2.0/24 ve ASN kullan AS64500 bunu duyurmak için. Organizasyon, izin veren bir yetkilendirme oluşturabilir AS64500 kaynak olmak 192.0.2.0/24. Başka bir ASN daha sonra aynı ön eki duyurursa, RPKI doğrulaması yapan ağlar kökenin yetkilendirmeyle eşleşmediğini tespit edebilir.
Yetki, maksimum ön ek uzunluğunu da belirtebilir. Bu önemlidir çünkü bir ağ, kaynak ASN'nin tam özet ön eki duyurmasına izin vermek isteyebilir ancak daha küçük ve daha spesifik ön ekleri duyurmamasını isteyebilir. Dikkatlice seçilmiş bir maksimum uzunluk, beklenmedik bir duyurunun yetkili olarak kabul edilme riskini azaltabilir.
ROA yapılandırması dikkat gerektirir çünkü hatalı bir kayıt, geçerli bir rotayı geçersiz gösterebilir. Bir kuruluş transit sağlayıcısını değiştirirse, bir prefix'i farklı bir ASN'e taşır, bir duyuruyu daha spesifik prefix'lere böler veya kaynakları başka bir sahibine transfer ederse, yetkilendirme kayıtlarının güncellenmesi gerekebilir. Eski bir kayıt, BGP yapılandırması doğru olsa bile bir kesintiye neden olabilir.
Gelecekteki bir makale, bir ROA'nın nasıl oluşturulacağı, maksimum uzunluğun nasıl seçileceği ve bir ASN veya IP kaynağı taşıması sırasında yetkilendirmelerin nasıl güncelleneceği konusunda açıklama yapabilir.
Geçerli, Geçersiz ve Bulunamadı Ne Anlama Gelir?
Geçerli bir sonuç, bir BGP duyurusunun geçerli bir RPKI yetkilendirmesi tarafından kapsandığını ve köken ASN'sinin ön eki duyurmasına izin verildiğini gösterir. Genellikle, duyurulan ön ek, ön ek uzunluğu ve köken ASN'nin yayımlanan yetkilendirme ile tutarlı olduğunu belirtir.
Geçersiz bir sonuç, bir yetkilendirmenin mevcut olduğunu ancak BGP duyurusunun buna uymadığını gösterir. Bu durum, kaynak ASN'nin yetkili olmaması, duyurunun izin verilen maksimum uzunluktan daha spesifik olması veya ön planın farklı bir kaynak için yapılan bir yetkilendirmeyle örtüşmesi nedeniyle gerçekleşebilir. Geçersiz rotalar acil dikkat gerektirir çünkü bunlar bir çalma, kazara yapılandırma hatası veya eksik bir geçiş sürecini temsil ediyor olabilir.
Bir "Not Found" sonucu, duyuru için geçerli bir yetkilendirme bulunamadığını gösterir. Bu durum, rotanın kötü niyetli veya yanlış olduğu anlamına gelmez. Sadece RPKI'nin, şu anda yayınlanan kayıtlar kullanılarak kökeni doğrulayamadığını ifade eder. Kaynak sahibinin henüz bir yetkilendirme oluşturmadığı birçok meşru rota da "Not Found" olarak kalır.
Geçersiz ve Bulunamadı arasındaki ayrım önemlidir. Geçersiz, mevcut yetkilendirme verileriyle bir çakışmayı belirtirken, Bulunamadı yetkilendirme verilerinin eksik olduğunu gösterir. Ağ operatörleri genellikle Geçersiz rotaları daha ciddiye alır, ancak kesin yönlendirme politikaları risk toleranslarına, hizmet gereksinimlerine ve operasyonel prosedürlerine bağlıdır.
Why RPKI Matters for IPv4 Networks
IPv4 adres alanı sınırlıdır ve birçok IPv4 ön eki, sağlayıcılar, veri merkezleri, bulut platformları, kiralama şirketleri ve transfer işlemlerini içeren karmaşık düzenlemeler boyunca kullanılmaktadır. Bu düzenlemeler, yönlendirme doğruluğunu özellikle önemli hale getirmektedir.
Bir IPv4 ön eki kuruluşlar arasında transfer edildiğinde veya taşındığında, BGP kökeni de değişebilir. Önceki sahibin yetkilendirmesi aktif kalırken yeni sahibi farklı bir ASN'den ön eki duyurursa, rota RPKI geçersiz (Invalid) haline gelebilir. Bu nedenle, RPKI planlamasının IPv4 transferi ve geçiş çalışmaları dahilinde ele alınması gerekir.
Bir IPv4 ön ekini kabul etmeden veya duyurmadan önce, bir kuruluş hangi varlığın kaynağı kontrol ettiğini, hangi ASN'nin onu köken olarak yayınlamasının beklendiğini ve ilgili yetkilendirme kayıtlarının planlanan yönlendirme tasarımını yansıtıp yansıtmadığını doğrulamalıdır. Genel kayıt defteri kaydı, BGP açıklamaları ve RPKI bilgileri birlikte gözden geçirilmelidir. RPKI, özellikle bir şirket birden fazla transit sağlayıcı kullanırken faydalıdır. Tutarlı bir köken yetkilendirmesi, rotayı taşıyan üst sağlayıcıdan bağımsız olarak ön eki koruyabilir. Ancak, kuruluşun tüm sağlayıcıların doğru ASN'yi ve ön ek uzunluğunu kullandığından emin olması hâlâ gerekir.
IPv4 bloğunu değerlendiren işletmeler, mevcut kayıt verilerini, köken ASN bilgilerini, RPKI durumunu ve BGP görünürlüğünü gözden geçirmek için halka açık araçları da kullanabilir. Bu kontroller sözleşmesel titizlik veya itibar taramasını yerine getirmez, ancak bir işlem veya dağıtım öncesi bariz yönlendirme tutarsızlıklarını ortaya çıkarabilir.
Why RPKI Matters for IPv6 Networks
IPv6 ağları, IPv4 ağlarından aynı kaynak doğrulama ilkelerinden yararlanır. IPv6 ön ekleri BGP üzerinden duyurulur ve yanlış bir kaynak, trafik kesintisi, rota sızıntıları ve yetkisiz duyurmalar da dahil olmak üzere benzer risklere yol açabilir.
IPv6 dağıtımları genellikle daha büyük adres blokları ve daha yapılandırılmış adresleme planları içerir. Bir kuruluş geniş bir tahsilat alabilir ve siteler, veri merkezleri veya hizmetler için daha küçük iç alt ağlar kullanırken bir agregasyon duyurabilir. RPKI yetkilendirmesi, aslında genel yönlendirme için amaçlanan ön eklerle eşleşmelidir.
Yaygın bir hata, IPv6'nın çok daha büyük bir adres alanına sahip olması nedeniyle IPv6 yönlendirmesinin otomatik olarak daha güvenli olduğunu varsaymaktır. Adres alanının boyutu, rota kökenini doğrulama ihtiyacını ortadan kaldırmaz. Yanlış bir ASN tarafından duyurulan bir IPv6 ön eki için yetkilendirme mevcut değilse, diğer ağlar bu duyuruyu meşru bir rotadan ayırt etmede sınırlı bir yetkiye sahip olabilir. IPv6 kullanan kuruluşlar, RPKI'yi ağ tamamen devreye girmeden önce ilk yönlendirme tasarımlarına dahil etmelidir. Bu sayede üretim trafiğinin duyuruya bağlı hale gelmeden önce adres planı, ASN kullanımı, üst düzey sağlayıcılar ve yetkilendirme kayıtlarının koordinasyonu daha kolay hale gelir.
RPKI'nin Ana Faydaları Nelerdir?
RPKI'nin temel avantajı, BGP rotasının kökenini doğrulamak için geniş çapta tanınan bir yöntem sağlamasıdır. Bu, ağ operatörlerine yalnızca BGP bilgilerine kıyasla daha güçlü bir filtreleme ve izleme temeli sunar.
RPKI, kaynak sahibinin açık yetkilendirmesi ile açıkça tutarsız olan rotaların kabul edilme riskini azaltabilir. Ayrıca ağ geçişleri, sağlayıcı değişiklikleri, ASN sponsorluğu değişiklikleri ve IPv4 veya IPv6 kaynak transferleri sırasında operasyonel hataların tespit edilmesine de yardımcı olabilir.
IP kaynak sahipleri için RPKI, kuruluşun adres uzayının yönlendirme güvenliğini aktif olarak yönettiğini gösterir. Bu durum, transit sağlayıcılarla koordinasyonu iyileştirebilir ve aynı ön eki duyuran birden fazla tarafın bulunduğu durumlarda kafa karışıklığını azaltabilir.
Transit sağlayıcıları ve barındırma şirketleri için RPKI doğrulaması, daha kapsamlı bir yönlendirme güvenliği programının bir parçası haline gelebilir. Sağlayıcılar, doğrulama sonuçlarını ön filtreleme, IRR verileri, BGP izleme ve dahili yönlendirme politikalarıyla birlikte kullanabilir. Tek bir veri kaynağı mükemmel değildir, ancak birden fazla sinyalin birleştirilmesi daha iyi operasyonel görünürlük sağlar.
RPKI ayrıca olay müdahalesini iyileştirir. Beklenmedik bir BGP duyurusu ortaya çıktığında, ağ ekibi kökenin yetkilendirilmiş olup olmadığını hızla kontrol edebilir. Bu, potansiyel bir hırsızlığı meşru ancak belgelenmemiş bir yönlendirme değişikliğinden ayırmaya yardımcı olabilir.
RPKI'nin Yapamayacakları
RPKI değerlidir, ancak yönlendirme güvenliğinin tam bir yerine geçmez. Bir ön ek ile köken ASN arasındaki ilişkiyi doğrular. BGP yolundaki her bir atışın güvenilir olduğunu kanıtlamaz ve trafiğin en iyi veya en güvenli fiziksel rotayı izleyeceğini garanti etmez.
RPKI, uygulama trafiğini şifrelemez. Web oturumlarını, DNS sorgularını, e-postaları veya özel verileri dinlemeye karşı korumaz. Bu amaçlar için TLS, VPN'ler ve güvenli uygulama protokolleri gibi şifreleme teknolojileri hala gereklidir.
RPKI ayrıca her rota sızıntısını otomatik olarak engellemez. Bir rota doğru ASN tarafından başlatılmış olsa bile, görünmemesi gereken yerlere yayılabilir. Köken doğrulaması, kökenin yetkilendirilmiş olması nedeniyle, daha geniş yolun operasyonel olarak yanlış olmasına rağmen böyle bir rotayı Geçerli olarak sınıflandırabilir.
RPKI, tek başına yasal mülkiyeti kanıtlamaz. Kayıt defteri kayıtları, sözleşmeler, devir belgeleri ve kurumsal yetkilendirme önemli olmaya devam eder. Geçerli sonucu, rotanın yayımlanmış bir yetkilendirmeye uygun olduğunu gösterir; ancak ticari veya yasal gereksinimlerin her birinin karşılandığını doğrulamaz.
Son olarak, RPKI yalnızca kayıtların sürdürüldüğünde etkili bir şekilde çalışır. Bir kuruluş yetkilendirmeler oluşturur ve ardından bir sağlayıcı veya ASN değişikliğinden sonra bunları güncellemeyi unutursa kendi yönlendirme kesintisini yaratabilir.
Bir İşletme RPKI Kullanmaya Nasıl Başlayabilir?
İlk adım, kuruluşun sahip olduğu, kiraladığı, sponsorluğunu yaptığı veya duyurmayı beklediği tüm IPv4 ve IPv6 ön eklerinin bir envanterini oluşturmaktır. Her bir ön ek için, amaçlanan köken ASN'si, duyuran sağlayıcılar, ön ek uzunluğu ve ön ekin şu anda BGP'de görünürlüğünün olup olmadığı kaydedilmelidir.
Bir sonraki adım, kayıt defteri ve kaynak kayıtlarını doğrulamaktır. Kuruluş, adres alanının doğru hesapla, organizasyonla, sponsor LIR ile veya kaynak sahibine ait olduğunu teyit etmelidir. Genel kayıt verileri güncel değilse, yeni yönlendirme yetkilendirmeleri oluşturulmadan önce düzeltilmelidir. Kaynak envanteri onaylandıktan sonra, kuruluş uygun yetkilendirme kayıtlarını Bölgesel İnternet Kayıt Kurumu (RIR) veya sponsor sağlayıcısı aracılığıyla oluşturabilir. Köken ASN'si ve maksimum ön ek uzunluğu, gerçek yönlendirme planını yansıtmalıdır. Birden fazla ASN'nin meşru olarak kullanıldığı durumlarda, tasarım dikkatlice belgelenmeli; açık bir neden olmaksızın geniş yetkilendirmeler eklenmemelidir.
Daha sonra kuruluş, kayıtları bir RPKI doğrulayıcısı veya yerleşik bir izleme hizmeti kullanarak doğrulamalıdır. Müşteri veya üretim trafiğine sıkı filtreleme politikaları uygulamadan önce, amaçlanan duyuruların Geçerli sonucu döndüğünden emin olmak önemlidir.
Dağıtım, tek seferlik bir yapılandırma görevi yerine operasyonel bir süreç olarak ele alınmalıdır. Üst düzey sağlayıcılardaki değişiklikler, ASN sponsorluğu, ön toplama, veri merkezi konumları ve IPv4 transfer düzenlemeleri RPKI kayıtlarını etkileyebilir. İzleme ve değişiklik yönetimi, normal ağ iş akışının bir parçası olmalıdır.
Yaygın RPKI Dağıtım Hataları
Yaygın bir hata, yanlış köken ASN'si için yetkilendirme oluşturmaktır. Bu durum genellikle eski ASN kayıtta kalırken ağ yeni bir ASN'den duyurmaya başladığında sağlayıcı geçişi sırasında gerçekleşir.
Başka bir hata, maksimum ön ek uzunluğunun yanlış ayarlanmasıdır. Bir kuruluş yalnızca bir agregatı yetkilendiriyorsa ancak daha spesifik bir rotayı duyuruyorsa, daha spesifik duyuru geçersiz hale gelebilir. Maksimum uzunluk çok geniş yapılırsa, yetkilendirme kuruluşun izin vermek istemediği duyuruları kabul edebilir.
Eski kayıtlar da büyük bir sorundur. Birkaç yıl önce doğru olan bir yetkilendirme, artık kuruluşun mevcut ağ tasarımını yansıtmayabilir. IPv4 transferi, birleşme, sponsor LIR değişikliği veya ASN yeniden numaralandırma sonrası düzenli incelemeler özellikle önemlidir.
Bazı kuruluşlar, Bulunamadı sonucunun bir rotanın reddedilmesi gerektiği anlamına geldiğini de varsayar. Çoğu durumda, Bulunamadı yetkilendirme bulunmadığı anlamına gelir. Bu durum, otomatik olarak kötü niyetli olarak ele alınmak yerine, ağın politikası ve risk modeline göre ele alınmalıdır.
RPKI, IRR ve BGP İzleme
RPKI, daha geniş bir yönlendirme güvenliği yaklaşımının bir parçasıdır. IRR veritabanları, ağ operatörlerinin filtreler oluşturmak için kullanabileceği yönlendirme politikası nesneleri içerir. Bu nesneler, hangi ASN'nin bir prefix'i köken alması bekleniyorsa bunu açıklayabilir, ancak RPKI'den farklı bir güven ve doğrulama modeli kullanırlar.
BGP izleme, aslında hangi rotaların ilan edildiğini ve bu ilanların nerede görüldüğünü gösterir. Rota değişikliklerini, beklenmeyen kaynakları, yol değişikliklerini ve kararsızlık dönemlerini ortaya çıkarabilir. RPKI, kaynağın yetkili olup olmadığını gösterir ancak bir rotanın tam operasyonel geçmişini sağlamaz.
Bu nedenle, RPKI, IRR ve BGP izleme genellikle birlikte kullanılır. Güçlü bir yönlendirme denetimi, kayıt defteri kaydını, beklenen ASN'i, IRR nesnesini, RPKI yetkilendirmesini ve canlı BGP gözlemlerini karşılaştırabilir. Bu kaynaklar uyum sağladığında, yönlendirme durumu daha kolay anlaşılır hale gelir. Uyuşmazlık olduğunda ise bir geçiş veya transfer tamamlanmadan önce bu farklılıkların araştırılması gerekir.
RPKI Nasıl Bakılmalı?
RPKI bakımı, ağ değişiklik yönetimi ile bağlantılı olmalıdır. Bir kuruluş köken ASN'sini, üst sağlayıcısını, ön ek uzunluğunu veya duyuru konumunu değiştirmeyi planladığında, değişiklik yapılmadan önce yetkilendirme kayıtları üzerindeki beklenen etkiyi gözden geçirmelidir.
Beklenen bir ön ekin geçersiz hale geldiğinde, bir yetkilendirmenin kaldırıldığında veya daha önce görülmemiş bir köken ortaya çıktığında izleme sistemi ağ ekibini uyarmalıdır. Uyarılar, etkilenen ön eki, köken ASN'si, geçerli doğrulama durumu ve değişikliğin zamanını içerdiğinde en faydalı olur.
Organizasyonlar, RPKI'nin yönetimininden kimin sorumlu olduğunu da belgelemelidir. Bazı şirketlerde bu kayıtları ağ mühendisliği ekibi yönetir. Başkalarında ise sponsor LIR, hizmet sağlayıcı veya güvenlik ekibi bunları ele alır. Net bir sorumluluk alanı belirlemek, olaylar ve sağlayıcı geçişleri sırasında oluşabilecek gecikmeleri önlemeye yardımcı olur.
Periyodik bir inceleme aylık, çeyreklik veya büyük bir yönlendirme değişikliği gerçekleştiğinde planlanabilir. Uygun sıklık, ağın büyüklüğü ve karmaşıklığına bağlıdır. Önemli olan nokta, RPKI'nin yönlendirme sisteminin canlı bir parçası olarak ele alınması gerektiğidir.
RPKI Hakkında Sıkça Sorulan Sorular
RPKI, BGP kullanmak için gerekli değildir.
Hayır. Bir ağ, RPKI yetkilendirme kayıtlarını yayınlamadan BGP kullanabilir. Ancak RPKI, diğer ağlara kuruluşun duyurduğu rotaların kökenini doğrulama imkanı sunduğu için giderek daha fazla önerilmektedir.
RPKI, BGP hijack'ini önler mi?
RPKI, başka bir ağın yetkisiz bir BGP duyurusunu göndermesini fiziksel olarak engellemez. Alıcı ağların, yayınlanan yetkilendirme ile eşleşmeyen duyuruları tanımlamasına olanak tanır. Ağlar, bu rotaları politikalarına göre reddedebilir, önceliğini düşürebilir veya izleyebilir.
RPKı sadece IPv4 için mi?
No. RPKI supports both IPv4 and IPv6 prefixes. The same basic origin validation concept applies to both address families.
Bir RPKI "Bulunamadı" (Not Found) sonucu tehlikeli midir?
Zorunlu değil. "Not Found" (Bulunamadı), geçerli bir yetkilendirme bulunmadığını gösterir. Bu, rotanın yanlış olduğunu kanıtlamaz. Ancak kaynak sahipleri, diğer ağların duyurularını doğrulayabilmesi için doğru yetkilendirmeleri yayınlamayı göz önünde bulundurmalıdır.
RPKI, IRR route nesnesinin yerini alabilir mi?
Hayır. RPKI ve IRR farklı amaçlar için hizmet verir ve genellikle birlikte kullanılır. Bazı sağlayıcılar, yönlendirme filtreleri oluştururken ve duyuruları gözden geçirirken her iki sistemi de kullanmaktadır.
Bir RPKI kaydı yanlış olduğunda ne olur?
Yanlış bir kayıt, geçerli bir BGP duyurusunun Geçersiz olarak sınıflandırılmasına neden olabilir. Kuruluş, kaynak ASN'sini, ön uzunluğunu ve maksimum uzunluğu gözden geçirmeli, ardından sıkı rota filtrelemesi uygulamadan önce yetkilendirmeyi güncellemelidir.
RPKI is an important improvement to the security of Internet routing. It gives IP resource holders a way to publish cryptographic authorization for the ASNs that are allowed to originate their IPv4 and IPv6 prefixes. It also gives network operators a practical method for checking whether BGP announcements match that authorization.
Kavram basittir: bir IP ön ekine sahip olan, amaçlanan kaynağı yayımlar ve diğer ağlar bu duyuruyu söz konusu bilgiyle doğrular. Sonuç, yetkili rotaları, çakışan rotaları ve hiçbir yetkilendirme yayımlanmamış rotaları tespit etmeye yardımcı olabilir. RPKI, dikkatli ağ mühendisliği, kayıt yönetimi, IRR kayıtları, BGP izleme veya sözleşmesel titizlikleri yerine geçmez. Ayrıca her rotanın güvenli olduğunu veya her yönlendirme olayının önleneceğini garanti etmez. Değeri, yönlendirme sürecine güvenilir bir yetkilendirme sinyali eklemesinden gelir.
ASN, IPv4 adres uzayı, IPv6 adres uzayı veya birden fazla üst sağlayıcı yöneten kuruluşlar için RPKI, normal yönlendirme tasarımına dahil edilmelidir. Bir ön ek açıklaması yapmadan önce, sağlayıcıları değiştirmeden, bir IPv4 transferini tamamlamadan veya yeni bir IPv6 ağı dağıtmadan önce kayıt verilerini, köken ASN'sini, yetkilendirme kayıtlarını ve canlı BGP durumunu birlikte gözden geçirin. Bu basit işlem, önlenebilir hataları önleyebilir ve İnternet bağlantısının genel güvenilirliğini artırabilir.