RPKI

RPKI (โครงสร้างพื้นฐานคีย์สาธารณะของทรัพยากร) เป็นวิธีหนึ่งที่จะช่วยป้องกันการจี้ BGP มันใช้ลายเซ็นเข้ารหัสเพื่อตรวจสอบว่า ASN ได้รับอนุญาตให้ประกาศซับเน็ตเฉพาะ

ROAs (การกำหนดเส้นทางการอนุมัติ) เป็นองค์ประกอบสำคัญของ RPKI ROAs มีเพียงไม่กี่รายการเท่านั้น: ASN, ซับเน็ตและความยาวสูงสุด ROA จะถูกเซ็นชื่อแบบเข้ารหัสและเผยแพร่ต่อสาธารณะ เราเตอร์ใด ๆ สามารถใช้ ROA เพื่อตรวจสอบว่าการประกาศใด ๆ ได้รับอนุญาตจากเจ้าของพื้นที่ IP

{
    "asn" : "AS64496",
    "prefix" : "192.0.2.0/24",
    "maxLength" : 29,
    "ta" : "ARIN"
}

สถานะนี้ที่ASAS64496ได้รับอนุญาตให้ประกาศ192.0.2.0/24และเครือข่ายย่อยขนาดเล็กลงไปถึง/29s

ตรงกันข้ามกับสิ่งต่อไปนี้จะอนุญาตให้AS64496ประกาศได้192.0.2.0/24 อย่างแน่นอนเท่านั้น เครือข่ายย่อยที่เล็กกว่าจากช่วงนี้จะไม่ได้รับอนุญาต

{
    "asn" : "AS64496",
    "prefix" : "192.0.2.0/24",
    "maxLength" : 24,
    "ta" : "ARIN"
}

RIPE เสนอบริการสาธารณะที่คุณสามารถค้นหาROAsแต่ละรายการ

Vultr ตรวจสอบสถานะ RPKI ของเครือข่ายย่อยลูกค้าทุกรายทุกคืน คุณสามารถดูสถานะที่นี่ มีสถานะแตกต่างกันเล็กน้อยที่คุณจะเห็นที่นี่:

• Valid: เราสามารถตรวจสอบว่า ROA มีอยู่สำหรับคู่ ASN / คำนำหน้า นี่คือสถานะที่คุณต้องการ
• Unknown: ไม่มี ROA สำหรับคำนำหน้าที่ระบุ นี่คือสิ่งที่คุณจะเห็นพื้นที่ส่วนใหญ่ โดยทั่วไปคุณจะไม่เห็นปัญหาใด ๆ กับสถานะนี้เนื่องจากไม่มี ISP รายใดที่ต้องการ RPKI จริงๆในปัจจุบัน

สถานะเหล่านี้สามารถทำให้พื้นที่ IP ของคุณไม่สามารถใช้ได้กับส่วนต่าง ๆ ของอินเทอร์เน็ตและควรได้รับการแก้ไข คุณอาจไม่สามารถเข้าถึง Cloudflare จากพื้นที่ IP ด้วยลายเซ็น RPKI ที่ไม่ถูกต้อง นอกจากนี้ผู้ให้บริการอินเทอร์เน็ตหลายรายในแอฟริกามุ่งมั่นที่จะเปิดใช้งาน RPKI ในปี 2019-04-01 ซึ่งหมายความว่าคำนำหน้าไม่ถูกต้องจะไม่สามารถเข้าถึงได้ที่นั่น AT&T หยุดยอมรับการประกาศที่ไม่ถูกต้องของ RPKI ตั้งแต่วันที่ 2019-02-11

ลายเซ็นที่ไม่ถูกต้องมีสองสามแบบ:

• Invalid ASN: มี ROA อย่างน้อยหนึ่งรายการสำหรับคำนำหน้านี้อย่างไรก็ตามไม่มี ASN ใดที่ตรงกับที่บัญชีของคุณกำหนดค่าไว้ หากคุณกำลังใช้ ASN ส่วนตัว ROAS คุณควรรายการ ASN เรา ( 20473)
• Invalid Prefix Length: เราพบ ROA ที่ตรงกับคำนำหน้า / ASN นี้อย่างไรก็ตามความยาวของคำนำหน้าสูงสุดที่อนุญาตไม่ถูกต้อง โดยทั่วไปหมายความว่าคุณจะต้องออก ROA ใหม่ด้วยความยาวส่วนนำหน้าสูงสุดที่กำหนดไว้24สำหรับ IPv4 หรือ48สำหรับ IPv6 นอกจากนี้คุณยังสามารถออก ROA ใหม่สำหรับคำนำหน้าขนาดเล็ก

RPKI สามารถตั้งค่าผ่าน RIR (RIPE, ARIN, APNIC และอื่น ๆ ) มีเพียงเจ้าของพื้นที่ IP เท่านั้นที่สามารถจัดการ RPKI ROAs หากคุณเช่าพื้นที่ IP คุณจะต้องติดต่อ บริษัท ที่คุณเช่าอยู่เพื่อขอความช่วยเหลือในการกำหนดค่า RPKI

ดูเอกสารประกอบต่อไปนี้สำหรับข้อมูลเพิ่มเติม:

• https://www.arin.net/resources/rpki/index.html
• https://www.apnic.net/get-ip/faqs/rpki/
• https://www.ripe.net/manage-ips-and-asns/resource-management/certification
• https://blog.cloudflare.com/rpki/
• https://nlnetlabs.nl/projects/rpki/faq/
• https://afnog.org/pipermail/afnog/2018-November/003532.html