RPKI

RPKI (Resource Public Key Infrastructure) è un modo per prevenire il dirottamento di BGP. Utilizza le firme crittografiche per convalidare che un ASN è autorizzato ad annunciare una particolare sottorete.

I ROA (Route Origination Authorization) sono i componenti chiave di RPKI. I ROA contengono solo alcuni elementi: ASN, sottorete e lunghezza massima. Il ROA è quindi crittografato e pubblicato pubblicamente. Qualsiasi router può quindi utilizzare il ROA per verificare che un determinato annuncio sia autorizzato dal proprietario dello spazio IP.

{
    "asn" : "AS64496",
    "prefix" : "192.0.2.0/24",
    "maxLength" : 29,
    "ta" : "ARIN"
}

Questo indica che ASAS64496è autorizzato ad annunciare 192.0.2.0/24e qualsiasi subnet più piccola fino a /29s.

Al contrario, ciò che segue consentirebbe solo AS64496di annunciare 192.0.2.0/24 esattamente . Sottoreti più piccole di questo intervallo non sarebbero consentite.

{
    "asn" : "AS64496",
    "prefix" : "192.0.2.0/24",
    "maxLength" : 24,
    "ta" : "ARIN"
}

RIPE offre un servizio pubblico in cui è possibile cercare singoli ROA .

Vultr controlla lo stato RPKI di ogni sottorete del cliente ogni notte. È possibile visualizzare lo stato qui . Ci sono alcuni stati diversi che vedrai qui:

• Valid: Siamo riusciti a verificare l'esistenza di un ROA per la coppia ASN / prefisso. Questo è lo stato che vuoi avere.
• Unknown: Non esiste alcun ROA per il prefisso indicato. Questo è ciò che vedrai per la stragrande maggioranza dello spazio. Generalmente non vedrai alcun problema con questo stato, dato che al giorno d'oggi nessun ISP richiede davvero RPKI.

Questi stati possono rendere il tuo spazio IP non disponibile per varie parti di Internet e dovrebbero essere corretti. In particolare, potresti non essere in grado di raggiungere Cloudflare dallo spazio IP con firme RPKI non valide. Inoltre, molti ISP in Africa si sono impegnati ad abilitare l'RPKI il 01-04-2019, il che significa che i prefissi non validi non saranno raggiungibili lì. AT&T ha smesso di accettare annunci non validi RPKI a partire dall'11 / 2019/2019.

Esistono diversi tipi di firme non valide:

• Invalid ASN: Esiste almeno un ROA per questo prefisso, tuttavia nessuno degli ASN corrisponde a quello per cui è configurato il tuo account. Se stai utilizzando un ASN privato, i tuoi ROA dovrebbero elencare il nostro ASN ( 20473).
• Invalid Prefix Length: Abbiamo trovato un ROA che corrisponde a questo prefisso / ASN, tuttavia la lunghezza massima consentita del prefisso non è corretta. Ciò significa in genere che è necessario emettere un nuovo ROA con la lunghezza massima del prefisso impostata su 24per IPv4 o 48per IPv6. Puoi anche emettere un nuovo ROA per il prefisso più piccolo.

RPKI può essere impostato tramite il tuo RIR (RIPE, ARIN, APNIC e così via). Solo il proprietario dello spazio IP può gestire i ROA RPKI. Se si affitta lo spazio IP, è necessario contattare la società da cui si prende in affitto per assistenza nella configurazione di RPKI.

Vedere la seguente documentazione per ulteriori informazioni:

• https://www.arin.net/resources/rpki/index.html
• https://www.apnic.net/get-ip/faqs/rpki/
• https://www.ripe.net/manage-ips-and-asns/resource-management/certification
• https://blog.cloudflare.com/rpki/
• https://nlnetlabs.nl/projects/rpki/faq/
• https://afnog.org/pipermail/afnog/2018-November/003532.html