RPKI

RPKI (Инфраструктура на ресурсен публичен ключ) е начин за предотвратяване на отвличането на BGP. Той използва криптографски подписи, за да потвърди, че на ASN е разрешено да обяви определена подмрежа.

ROA (Разрешения за произход на маршрута) са ключовите компоненти на RPKI. ROA съдържат само няколко елемента: ASN, подмрежа и максимална дължина. След това ROA се подписва криптографски и се публикува публично. След това всеки рутер може да използва ROA, за да провери дали дадено съобщение е разрешено от собственика на IP пространството.

{
    "asn" : "AS64496",
    "prefix" : "192.0.2.0/24",
    "maxLength" : 29,
    "ta" : "ARIN"
}

Това гласи, че ASAS64496е упълномощено да обявява 192.0.2.0/24и всички по-малки подмрежи до /29s.

За разлика от това, следното би позволило само AS64496да се обяви 192.0.2.0/24 точно . По-малки подмрежи от този диапазон няма да бъдат разрешени.

{
    "asn" : "AS64496",
    "prefix" : "192.0.2.0/24",
    "maxLength" : 24,
    "ta" : "ARIN"
}

RIPE предлага обществена услуга, където можете да търсите отделни ROA .

Vultr проверява RPKI състоянието на всяка клиентска подмрежа всяка вечер. Можете да видите състоянието тук . Има няколко различни състояния, които ще видите тук:

• Valid: Успяхме да проверим дали съществува ROA за двойката ASN/префикс. Това е състоянието, което искате да имате.
• Unknown: Не съществува ROA за дадения префикс. Това е, което ще видите в по-голямата част от пространството. Обикновено няма да видите проблеми с това състояние, тъй като в наши дни никой интернет доставчик не изисква RPKI.

Тези състояния могат да доведат до недостъпност на вашето IP пространство за различни части на интернет и трябва да бъдат коригирани. По-специално, може да не успеете да достигнете до Cloudflare от IP пространство с невалидни RPKI подписи. Освен това много доставчици на интернет услуги в Африка са се ангажирали да разрешат RPKI на 2019-04-01, което означава, че невалидни префикси няма да бъдат достъпни там. AT&T спря да приема невалидни съобщения за RPKI от 2019-02-11.

Има няколко различни типа невалидни подписи:

• Invalid ASN: Съществува поне една ROA за този префикс, но нито един от ASN не съответства на това, за което е конфигуриран акаунтът ви. Ако използвате частен ASN, вашите ROA трябва да съдържат нашия ASN ( 20473).
• Invalid Prefix Length: Открихме ROA, който съответства на този префикс/ASN, но максималната разрешена дължина на префикса не е правилна. Това обикновено означава, че ще трябва да издадете нова ROA с максимална дължина на префикса, зададена на 24IPv4 или 48за IPv6. Можете също да издадете нова ROA за по-малкия префикс.

RPKI може да се настрои чрез вашия RIR (RIPE, ARIN, APNIC и т.н.). Само собственикът на IP пространството може да управлява RPKI ROA. Ако наемате IP пространство, ще трябва да се свържете с компанията, от която наемате, за съдействие при конфигурирането на RPKI.

Вижте следната документация за повече информация:

• https://www.arin.net/resources/rpki/index.html
• https://www.apnic.net/get-ip/faqs/rpki/
• https://www.ripe.net/manage-ips-and-asns/resource-management/certification
• https://blog.cloudflare.com/rpki/
• https://nlnetlabs.nl/projects/rpki/faq/
• https://afnog.org/pipermail/afnog/2018-November/003532.html