RPKI

RPKI (ressursi avaliku võtme infrastruktuur) aitab vältida BGP kaaperdamist. See kasutab krüptograafilisi allkirju, et kinnitada, kas ASN-il on lubatud teatavat alamvõrku teada anda.

ROA-d (marsruudi alguse autoriseeringud) on RPKI põhikomponendid. ROA-d sisaldavad vaid mõnda üksust: ASN, alamvõrk ja maksimaalne pikkus. Seejärel allkirjastatakse ROA krüptograafiliselt ja avaldatakse avalikult. Iga ruuter saab seejärel kasutada ROA-d, et kontrollida, kas teatud teadaanne on IP-ruumi omaniku poolt volitatud.

{
    "asn" : "AS64496",
    "prefix" : "192.0.2.0/24",
    "maxLength" : 29,
    "ta" : "ARIN"
}

See ütleb, et ASAS64496on volitatud teatama 192.0.2.0/24ja kõik väiksemad alamvõrgud kuni /29s.

Vastupidiselt sellele võimaldaks järgnev ainult täpseltAS64496 teada anda . Selle vahemiku väiksemad alamvõrgud pole lubatud.192.0.2.0/24

{
    "asn" : "AS64496",
    "prefix" : "192.0.2.0/24",
    "maxLength" : 24,
    "ta" : "ARIN"
}

RIPE pakub avalikku teenust, kus saate vaadata individuaalseid ROA-sid .

Vultr kontrollib igal õhtul iga kliendi alamvõrgu RPKI olekut. Staatust saad vaadata siit . Siin näete mõnda erinevat olekut.

• Valid: saime kontrollida, kas ASN/eesliide paari jaoks on ROA olemas. See on olek, mida soovite saada.
• Unknown: antud eesliite jaoks pole ROA-d. Seda näete enamiku ruumi kohta. Üldiselt ei näe te selle olekuga probleeme, kuna tänapäeval ei nõua ükski Interneti-teenuse pakkuja RPKI-d.

Nende olekute tõttu võib teie IP-ruum olla Interneti erinevates osades kättesaamatud ja need tuleks parandada. Märkimisväärne on see, et kehtetute RPKI-allkirjadega ei pruugi te IP-ruumist Cloudflare'i jõuda. Samuti on paljud Interneti-teenuse pakkujad Aafrikas võtnud kohustuse lubada RPKI 2019-04-01, mis tähendab, et kehtetute eesliidetega pole seal juurdepääsetav. AT&T on lõpetanud RPKI kehtetute teadete vastuvõtmise alates 2019-02-11.

Kehtetuid allkirju on mitut tüüpi.

• Invalid ASN: selle eesliite jaoks on olemas vähemalt üks ROA, kuid ükski ASN ei vasta sellele, mille jaoks teie konto on seadistatud. Kui kasutate privaatset ASN-i, peaksid teie ROA-d sisaldama meie ASN-i ( 20473).
• Invalid Prefix Length: leidsime ROA, mis vastab sellele eesliitele/ASN-ile, kuid maksimaalne lubatud eesliite pikkus ei ole õige. See tähendab üldiselt, et peate väljastama uue ROA, mille maksimaalne eesliide pikkus on määratud 24IPv4 või 48IPv6 jaoks. Väiksema eesliite jaoks võite väljastada ka uue ROA.

RPKI saab seadistada teie RIR-i kaudu (RIPE, ARIN, APNIC ja nii edasi). RPKI ROA-sid saab hallata ainult IP-ruumi omanik. Kui liisite IP-ruumi, peate RPKI seadistamisel abi saamiseks võtma ühendust ettevõttega, kellelt liisite.

Lisateabe saamiseks vaadake järgmist dokumentatsiooni:

• https://www.arin.net/resources/rpki/index.html
• https://www.apnic.net/get-ip/faqs/rpki/
• https://www.ripe.net/manage-ips-and-asns/resource-management/certification
• https://blog.cloudflare.com/rpki/
• https://nlnetlabs.nl/projects/rpki/faq/
• https://afnog.org/pipermail/afnog/2018-November/003532.html