RPKI

RPKI (Kaynak Ortak Anahtar Altyapısı), BGP saldırılarının önlenmesine yardımcı olmanın bir yoludur. Bir ASN'nin belirli bir alt ağı duyurmasına izin verildiğini doğrulamak için kriptografik imzalar kullanır.

ROA'lar (Rota Başlangıç ​​Yetkileri) RPKI'nın temel bileşenleridir. ROA'lar yalnızca birkaç öğe içerir: ASN, alt ağ ve maksimum uzunluk. ROA daha sonra kriptografik olarak imzalanır ve herkese açık olarak yayınlanır. Herhangi bir yönlendirici daha sonra belirli bir duyurunun IP alanının sahibi tarafından yetkilendirildiğini doğrulamak için ROA'yı kullanabilir.

{
    "asn" : "AS64496",
    "prefix" : "192.0.2.0/24",
    "maxLength" : 29,
    "ta" : "ARIN"
}

Bu ASAS64496, duyurmaya yetkili olduğunu 192.0.2.0/24ve daha küçük alt ağları /29s'ye kadar gösterir.

Bunun aksine, aşağıdakiler yalnızca tam olarakAS64496 duyurulmasına izin verir . Bu aralıktan daha küçük alt ağlara izin verilmez.192.0.2.0/24

{
    "asn" : "AS64496",
    "prefix" : "192.0.2.0/24",
    "maxLength" : 24,
    "ta" : "ARIN"
}

RIPE, bireysel ROA'ları arayabileceğiniz bir kamu hizmeti sunar .

Vultr her müşteri alt ağının RPKI durumunu her gece kontrol eder. Durumu burada görebilirsiniz . Burada göreceğiniz birkaç farklı eyalet var:

• Valid: ASN / önek çifti için bir ROA'nın bulunduğunu doğrulayabildik. Sahip olmak istediğiniz durum budur.
• Unknown: Verilen önek için ROA mevcut değil. Alanın büyük çoğunluğu için göreceğiniz şey budur. Bugünlerde hiçbir İSS gerçekten RPKI talep etmediğinden, bu durumla ilgili herhangi bir sorun görmeyeceksiniz.

Bu durumlar IP alanınızın internetin çeşitli bölümleri tarafından kullanılamamasına neden olabilir ve düzeltilmesi gerekir. Özellikle, geçersiz RPKI imzaları olan IP alanından Cloudflare'ye erişemeyebilirsiniz. Ayrıca, Afrika'daki birçok İSS, 2019-04-01 tarihinde RPKI'yi etkinleştirmeyi taahhüt etti, bu da geçersiz öneklere orada ulaşılamayacağı anlamına geliyor. AT&T, 2019-02-11 tarihi itibariyle RPKI geçersiz duyurularını kabul etmeyi durdurdu.

Birkaç farklı geçersiz imza türü vardır:

• Invalid ASN: Bu önek için en az bir ROA var, ancak ASN'lerin hiçbiri hesabınızın yapılandırıldığı ile eşleşmiyor. Özel bir ASN kullanıyorsanız, ROA'larınız ASN ( 20473) ' mizi listelemelidir .
• Invalid Prefix Length: Bu önek / ASN ile eşleşen bir ROA bulduk, ancak izin verilen maksimum önek uzunluğu doğru değil. Bu genellikle 24IPv4 veya 48IPv6 için ayarlanmış maksimum önek uzunluğuna sahip yeni bir ROA yayınlamanız gerektiği anlamına gelir . Daha küçük önek için yeni bir ROA da yayınlayabilirsiniz.

RPKI, RIR (RIPE, ARIN, APNIC ve benzeri) üzerinden kurulabilir. RPKI ROA'ları yalnızca IP alanının sahibi yönetebilir. IP alanı kiralıyorsanız, RPKI'yi yapılandırma konusunda yardım için leasing yaptığınız şirketle iletişime geçmeniz gerekir.

Daha fazla bilgi için aşağıdaki belgelere bakın:

• https://www.arin.net/resources/rpki/index.html
• https://www.apnic.net/get-ip/faqs/rpki/
• https://www.ripe.net/manage-ips-and-asns/resource-management/certification
• https://blog.cloudflare.com/rpki/
• https://nlnetlabs.nl/projects/rpki/faq/
• https://afnog.org/pipermail/afnog/2018-November/003532.html