RPKI

RPKI (Resource Public Key Infrastructure) ist eine Möglichkeit, die Entführung von BGP zu verhindern. Es verwendet kryptografische Signaturen, um zu überprüfen, ob ein Lieferavis ein bestimmtes Subnetz ankündigen darf.

ROAs (Route Origination Authorizations) sind die Schlüsselkomponenten von RPKI. ROAs enthalten nur wenige Elemente: Lieferavis, Subnetz und maximale Länge. Der ROA wird dann kryptografisch signiert und öffentlich veröffentlicht. Jeder Router kann dann mithilfe der ROA überprüfen, ob eine bestimmte Ansage vom Eigentümer des IP-Bereichs autorisiert wurde.

{
    "asn" : "AS64496",
    "prefix" : "192.0.2.0/24",
    "maxLength" : 29,
    "ta" : "ARIN"
}

Dies besagt, dass ASAS64496berechtigt ist, 192.0.2.0/24kleinere Subnetze bis auf /29s anzukündigen .

Im Gegensatz dazu würde das Folgende nur erlauben AS64496, 192.0.2.0/24 genau anzukündigen . Kleinere Subnetze aus diesem Bereich wären nicht zulässig.

{
    "asn" : "AS64496",
    "prefix" : "192.0.2.0/24",
    "maxLength" : 24,
    "ta" : "ARIN"
}

RIPE bietet einen öffentlichen Dienst, bei dem Sie einzelne ROAs nachschlagen können .

Vultr überprüft jeden Abend den RPKI-Status jedes Kunden-Subnetzes. Den Status können Sie hier anzeigen . Es gibt einige verschiedene Zustände, die Sie hier sehen werden:

• Valid: Wir konnten überprüfen, ob für das ASN / Präfix-Paar ein ROA vorhanden ist. Dies ist der Zustand, den Sie haben möchten.
• Unknown: Für das angegebene Präfix ist kein ROA vorhanden. Dies ist, was Sie für den größten Teil des Raums sehen werden. Sie werden im Allgemeinen keine Probleme mit diesem Status sehen, da heutzutage keine ISPs wirklich RPKI benötigen.

Diese Zustände können dazu führen, dass Ihr IP-Speicherplatz für verschiedene Teile des Internets nicht verfügbar ist und korrigiert werden sollte. Insbesondere können Sie Cloudflare möglicherweise nicht aus dem IP-Bereich mit ungültigen RPKI-Signaturen erreichen. Außerdem haben sich viele ISPs in Afrika verpflichtet, RPKI am 01.04.2019 zu aktivieren, was bedeutet, dass ungültige Präfixe dort nicht erreichbar sind. AT & T akzeptiert seit dem 11.02.2019 keine ungültigen RPKI-Ankündigungen mehr.

Es gibt verschiedene Arten ungültiger Signaturen:

• Invalid ASN: Für dieses Präfix ist mindestens eine ROA vorhanden, jedoch entspricht keiner der Lieferavise der Konfiguration Ihres Kontos. Wenn Sie einen privaten Lieferavis verwenden, sollten Ihre ROAs unseren Lieferavis ( 20473) auflisten .
• Invalid Prefix Length: Wir haben eine ROA gefunden, die diesem Präfix / Lieferavis entspricht. Die maximal zulässige Präfixlänge ist jedoch nicht korrekt. Dies bedeutet im Allgemeinen, dass Sie einen neuen ROA mit der maximalen Präfixlänge 24für IPv4 oder 48IPv6 ausstellen müssen . Sie können auch einen neuen ROA für das kleinere Präfix ausgeben.

RPKI kann über Ihr RIR eingerichtet werden (RIPE, ARIN, APNIC usw.). Nur der Eigentümer des IP-Speicherplatzes kann RPKI-ROAs verwalten. Wenn Sie IP-Speicherplatz leasen, müssen Sie sich an das Unternehmen wenden, von dem Sie leasen, um Unterstützung bei der Konfiguration von RPKI zu erhalten.

Weitere Informationen finden Sie in der folgenden Dokumentation:

• https://www.arin.net/resources/rpki/index.html
• https://www.apnic.net/get-ip/faqs/rpki/
• https://www.ripe.net/manage-ips-and-asns/resource-management/certification
• https://blog.cloudflare.com/rpki/
• https://nlnetlabs.nl/projects/rpki/faq/
• https://afnog.org/pipermail/afnog/2018-November/003532.html