RPKI

RPKI (البنية التحتية للمفتاح العام للموارد) هي طريقة للمساعدة في منع اختراق BGP. يستخدم توقيعات التشفير للتحقق من أنه يُسمح لـ ASN بالإعلان عن شبكة فرعية معينة.

ROAs (تفويضات إنشاء المسار) هي المكونات الرئيسية لـ RPKI. تحتوي عائد النفقات الإعلانية فقط على بعض العناصر: ASN والشبكة الفرعية والحد الأقصى للطول. يتم بعد ذلك توقيع العائد على حقوق الملكية بالتشفير ونشره للجمهور. يمكن لأي جهاز توجيه استخدام ROA للتحقق من أن مالك مساحة IP مصرح بإعلان معين.

{
    "asn" : "AS64496",
    "prefix" : "192.0.2.0/24",
    "maxLength" : 29,
    "ta" : "ARIN"
}

هذا ينص على أنه ASAS64496مخول بالإعلان 192.0.2.0/24وأي شبكات فرعية أصغر وصولاً إلى /29s.

على النقيض من ذلك ، فإن ما يلي سيسمح فقط AS64496بالإعلان 192.0.2.0/24 بالضبط . لن يُسمح بالشبكات الفرعية الأصغر من هذا النطاق.

{
    "asn" : "AS64496",
    "prefix" : "192.0.2.0/24",
    "maxLength" : 24,
    "ta" : "ARIN"
}

تقدم RIPE خدمة عامة حيث يمكنك البحث عن العائد على الاستثمار الفردي .

يتحقق Vultr من حالة RPKI لكل شبكة فرعية للعملاء كل ليلة. يمكنك عرض الحالة هنا . هناك بعض الحالات المختلفة التي ستراها هنا:

• Valid: تمكنا من التحقق من وجود ROA لزوج ASN / البادئة. هذه هي الدولة التي تريدها.
• Unknown: لا يوجد ROA موجود للبادئة المحددة. هذا ما ستراه للغالبية العظمى من المساحة. لن ترى بشكل عام أي مشاكل في هذه الحالة ، حيث لا يوجد مزودي خدمة إنترنت يقومون بالفعل بإعادة تأهيل RPKI هذه الأيام.

يمكن أن تتسبب هذه الحالات في عدم توفر مساحة IP الخاصة بك لأجزاء مختلفة من الإنترنت ، ويجب تصحيحها. على وجه الخصوص ، قد لا تتمكن من الوصول إلى Cloudflare من مساحة IP بتوقيعات RPKI غير صالحة. أيضًا ، التزم العديد من موفري خدمة الإنترنت في أفريقيا بتمكين RPKI في 2019-04-01 ، مما يعني أن البادئات غير الصالحة لن تكون متاحة هناك. توقفت AT&T عن قبول إعلانات RPKI غير الصالحة اعتبارًا من 2019-02-11.

هناك عدة أنواع مختلفة من التوقيعات غير الصالحة:

• Invalid ASN: يوجد عائد استثمار واحد على الأقل لهذه البادئة ، ولكن لا يتطابق أي من ASNs مع ما تم تكوين حسابك له. إذا كنت تستخدم ASN خاصًا ، فيجب أن تُدرج عائد النفقات الإعلانية على ASN ( 20473) الخاص بنا .
• Invalid Prefix Length: وجدنا عائد ROA يتطابق مع هذه البادئة / ASN ، ولكن الحد الأقصى المسموح به لطول البادئة غير صحيح. هذا يعني بشكل عام أنك ستحتاج إلى إصدار ROA جديد مع الحد الأقصى لطول البادئة 24المعينة لـ IPv4 أو 48IPv6. يمكنك أيضًا إصدار ROA جديد للبادئة الأصغر.

يمكن إعداد RPKI عبر RIR (RIPE ، ARIN ، APNIC وما إلى ذلك). يمكن لمالك مساحة IP فقط إدارة عائد النفقات الإعلانية الخاص بـ RPKI. إذا كنت تستأجر مساحة IP ، فستحتاج إلى الاتصال بالشركة التي تقوم بالتأجير منها للمساعدة في تكوين RPKI.

راجع الوثائق التالية لمزيد من المعلومات:

• https://www.arin.net/resources/rpki/index.html
• https://www.apnic.net/get-ip/faqs/rpki/
• https://www.ripe.net/manage-ips-and-asns/resource-management/certification
• https://blog.cloudflare.com/rpki/
• https://nlnetlabs.nl/projects/rpki/faq/
• https://afnog.org/pipermail/afnog/2018-November/003532.html