RPKI

RPKI (Resource Public Key Infrastructure) to sposób na zapobieganie przejęciu BGP. Wykorzystuje podpisy kryptograficzne, aby sprawdzić, czy ASN może ogłosić określoną podsieć.

ROA (Autoryzacja wyznaczania trasy) są kluczowymi elementami RPKI. ROA zawierają tylko kilka elementów: ASN, podsieć i maksymalną długość. ROA jest następnie podpisywany kryptograficznie i publikowany publicznie. Dowolny router może następnie użyć ROA do sprawdzenia, czy dane ogłoszenie jest autoryzowane przez właściciela przestrzeni IP.

{
    "asn" : "AS64496",
    "prefix" : "192.0.2.0/24",
    "maxLength" : 29,
    "ta" : "ARIN"
}

Stan ten ASAS64496jest upoważniony do ogłaszania 192.0.2.0/24i wszelkich mniejszych podsieci do /29s.

W przeciwieństwie do tego, poniższe pozwolą jedynie dokładnieAS64496 ogłosić . Mniejsze podsieci z tego zakresu nie byłyby dozwolone.192.0.2.0/24

{
    "asn" : "AS64496",
    "prefix" : "192.0.2.0/24",
    "maxLength" : 24,
    "ta" : "ARIN"
}

RIPE oferuje usługę publiczną, w której możesz sprawdzić poszczególne ROA .

Vultr co noc sprawdza status RPKI każdej podsieci klienta. Można wyświetlić stan tutaj . Tutaj zobaczysz kilka różnych stanów:

• Valid: Byliśmy w stanie zweryfikować, czy istnieje ROA dla pary ASN / prefiks. To jest stan, który chcesz mieć.
• Unknown: Dla podanego prefiksu nie istnieje ROA. To zobaczysz w zdecydowanej większości przestrzeni. Zazwyczaj nie występują problemy z tym stanem, ponieważ żaden dostawca usług internetowych tak naprawdę nie wymaga RPKI.

Te stany mogą powodować, że przestrzeń IP jest niedostępna dla różnych części Internetu i powinna zostać poprawiona. W szczególności możesz nie być w stanie uzyskać dostępu do Cloudflare z przestrzeni IP z nieprawidłowymi podpisami RPKI. Ponadto wielu dostawców usług internetowych w Afryce zobowiązało się włączyć RPKI w dniu 01.04.2019, co oznacza, że ​​nieprawidłowe prefiksy nie będą tam dostępne. AT&T przestał akceptować nieprawidłowe ogłoszenia RPKI z dniem 02.02.2019.

Istnieje kilka różnych typów nieprawidłowych podpisów:

• Invalid ASN: Dla tego prefiksu istnieje co najmniej jeden ROA, jednak żaden z ASN nie jest zgodny z tym, dla którego skonfigurowane jest twoje konto. Jeśli używasz prywatnego ASN, Twoje ROA powinny zawierać naszą listę ASN ( 20473).
• Invalid Prefix Length: Znaleźliśmy ROA, który pasuje do tego prefiksu / ASN, jednak maksymalna dozwolona długość prefiksu jest nieprawidłowa. Ogólnie oznacza to, że musisz wydać nowy ROA z maksymalną długością prefiksu ustawioną 24na IPv4 lub 48IPv6. Możesz także wydać nowy ROA dla mniejszego prefiksu.

RPKI można skonfigurować za pomocą RIR (RIPE, ARIN, APNIC i tak dalej). Tylko właściciel przestrzeni IP może zarządzać ROA ROKI. Jeśli dzierżawisz przestrzeń IP, musisz skontaktować się z firmą, z której korzystasz, w celu uzyskania pomocy przy konfiguracji RPKI.

Więcej informacji znajduje się w następującej dokumentacji:

• https://www.arin.net/resources/rpki/index.html
• https://www.apnic.net/get-ip/faqs/rpki/
• https://www.ripe.net/manage-ips-and-asns/resource-management/certification
• https://blog.cloudflare.com/rpki/
• https://nlnetlabs.nl/projects/rpki/faq/
• https://afnog.org/pipermail/afnog/2018-November/003532.html