RPKI

RPKI (Resource Public Key Infrastructure)는 BGP 하이재킹을 방지하는 방법입니다. ASN이 특정 서브넷을 발표 할 수 있는지 확인하기 위해 암호화 서명을 사용합니다.

ROA (Route Origination Authorizations)는 RPKI의 핵심 구성 요소입니다. ROA에는 ASN, 서브넷 및 최대 길이의 몇 가지 항목 만 포함됩니다. 그런 다음 ROA는 암호화로 서명되고 공개적으로 게시됩니다. 그런 다음 모든 라우터는 ROA를 사용하여 특정 알림이 IP 공간 소유자가 승인했는지 확인할 수 있습니다.

{
    "asn" : "AS64496",
    "prefix" : "192.0.2.0/24",
    "maxLength" : 29,
    "ta" : "ARIN"
}

이것은 ASAS64496발표 할 수있는 권한이 192.0.2.0/24있으며 더 작은 서브넷은 /29s (으) 로 알려 줍니다.

이와 반대로, 다음은 정확히AS64496 발표 만 허용 합니다 . 이 범위의 더 작은 서브넷은 허용되지 않습니다.192.0.2.0/24

{
    "asn" : "AS64496",
    "prefix" : "192.0.2.0/24",
    "maxLength" : 24,
    "ta" : "ARIN"
}

RIPE는 개별 ROA를 조회 할 수있는 공공 서비스를 제공합니다 .

Vultr는 매일 밤 모든 고객 서브넷의 RPKI 상태를 확인합니다. 여기 에서 상태를 볼 수 있습니다 . 여기에 몇 가지 다른 상태가 있습니다.

• Valid: ASN / 접두사 쌍에 대해 ROA가 존재하는지 확인할 수있었습니다. 이것이 원하는 상태입니다.
• Unknown: 지정된 접두사에 대한 ROA가 없습니다. 이것은 대부분의 공간에서 볼 수있는 것입니다. 요즘 ISP가 실제로 RPKI를 요구하는 것은 없기 때문에 일반적으로이 상태와 관련된 문제는 나타나지 않습니다.

이러한 상태로 인해 인터넷의 여러 부분에서 IP 공간을 사용할 수 없으므로 수정해야합니다. 특히 잘못된 RPKI 서명이있는 IP 공간에서 Cloudflare에 도달하지 못할 수 있습니다. 또한 아프리카의 많은 ISP는 2019-04-01에 RPKI를 사용하기로 약속했습니다. 즉, 유효하지 않은 접두사에 연결할 수 없습니다. AT & T는 2019-02-11부터 RPKI 유효하지 않은 공지 수신을 중단했습니다.

유효하지 않은 서명에는 몇 가지 유형이 있습니다.

• Invalid ASN:이 접두사에 대해 하나 이상의 ROA가 존재하지만 계정에 구성된 것과 일치하는 ASN이 없습니다. 개인 ASN을 사용하는 경우 ROA에 ASN ( 20473) 이 나열되어야합니다 .
• Invalid Prefix Length:이 접두사 / ASN과 일치하는 ROA를 찾았지만 허용되는 최대 접두사 길이가 올바르지 않습니다. 이는 일반적으로 최대 접두사 길이 24가 IPv4 또는 48IPv6으로 설정된 새 ROA를 발행해야 함을 의미합니다 . 더 작은 접두사에 대해 새로운 ROA를 발급 할 수도 있습니다.

RPKI는 RIR (RIPE, ARIN, APNIC 등)을 통해 설정할 수 있습니다. IP 공간 소유자 만 RPKI ROA를 관리 할 수 ​​있습니다. IP 공간을 임대하는 경우 RPKI 구성에 대한 도움을 받으려면 임대하려는 회사에 문의해야합니다.

자세한 내용은 다음 설명서를 참조하십시오.

• https://www.arin.net/resources/rpki/index.html
• https://www.apnic.net/get-ip/faqs/rpki/
• https://www.ripe.net/manage-ips-and-asns/resource-management/certification
• https://blog.cloudflare.com/rpki/
• https://nlnetlabs.nl/projects/rpki/faq/
• https://afnog.org/pipermail/afnog/2018-November/003532.html