RPKI

RPKI (resursu publiskās atslēgas infrastruktūra) ir veids, kā palīdzēt novērst BGP nolaupīšanu. Tas izmanto kriptogrāfiskus parakstus, lai pārbaudītu, vai ASN ir atļauts paziņot par noteiktu apakštīklu.

ROA (maršruta sākuma autorizācijas) ir galvenās RPKI sastāvdaļas. RTA ietver tikai dažus vienumus: ASN, apakštīklu un maksimālo garumu. Pēc tam ROA tiek kriptogrāfiski parakstīts un publicēts publiski. Jebkurš maršrutētājs pēc tam var izmantot ROA, lai pārbaudītu, vai IP vietas īpašnieks ir apstiprinājis konkrētu paziņojumu.

{
    "asn" : "AS64496",
    "prefix" : "192.0.2.0/24",
    "maxLength" : 29,
    "ta" : "ARIN"
}

Tas norāda, ka ASAS64496ir atļauts paziņot 192.0.2.0/24un jebkuri mazāki apakštīkli līdz /29s.

Pretstatā tam sekojošais ļautu AS64496paziņot tikai 192.0.2.0/24 precīzi . Mazāki apakštīkli no šī diapazona nebūtu atļauti.

{
    "asn" : "AS64496",
    "prefix" : "192.0.2.0/24",
    "maxLength" : 24,
    "ta" : "ARIN"
}

RIPE piedāvā publisku pakalpojumu, kurā varat meklēt atsevišķus RTA .

Vultr katru nakti pārbauda katra klienta apakštīkla RPKI statusu. Statusu varat apskatīt šeit . Šeit būs redzami daži dažādi stāvokļi:

• Valid: mēs varējām pārbaudīt, vai ASN/prefiksa pārim pastāv ROA. Tas ir stāvoklis, kuru vēlaties iegūt.
• Unknown: norādītajam prefiksam nav ROA. Tas ir tas, ko jūs redzēsit lielākajā daļā vietas. Šajā stāvoklī jūs parasti neredzēsit nekādas problēmas, jo mūsdienās neviens interneta pakalpojumu sniedzējs patiešām neprasa RPKI.

Šo stāvokļu dēļ jūsu IP vieta var nebūt pieejama dažādām interneta daļām, un tie ir jālabo. Proti, jūs, iespējams, nevarēsit sasniegt Cloudflare no IP vietas ar nederīgiem RPKI parakstiem. Turklāt daudzi ISP Āfrikā ir apņēmušies iespējot RPKI 2019-04-01, kas nozīmē, ka nederīgi prefiksi tur nebūs pieejami. AT&T ir pārtraucis pieņemt RPKI nederīgus paziņojumus no 2019. gada 11. gada 2.

Ir daži dažādi nederīgu parakstu veidi:

• Invalid ASN: šim prefiksam ir vismaz viens ROA, taču neviens no ASN neatbilst tam, kam ir konfigurēts jūsu konts. Ja izmantojat privātu ASN, jūsu ROA ir jānorāda mūsu ASN ( 20473).
• Invalid Prefix Length: mēs atradām ROA, kas atbilst šim prefiksam/ASN, taču maksimālais atļautais prefiksa garums nav pareizs. Tas parasti nozīmē, ka jums būs jāizdod jauns ROA ar maksimālo prefiksa garumu, kas iestatīts uz 24IPv4 vai 48IPv6. Varat arī izdot jaunu ROA mazākam prefiksam.

RPKI var iestatīt, izmantojot jūsu RIR (RIPE, ARIN, APNIC un tā tālāk). Tikai IP vietas īpašnieks var pārvaldīt RPKI ROA. Ja nomājat IP vietu, jums būs jāsazinās ar uzņēmumu, no kura nomājat, lai saņemtu palīdzību RPKI konfigurēšanā.

Plašāku informāciju skatiet tālāk norādītajā dokumentācijā.

• https://www.arin.net/resources/rpki/index.html
• https://www.apnic.net/get-ip/faqs/rpki/
• https://www.ripe.net/manage-ips-and-asns/resource-management/certification
• https://blog.cloudflare.com/rpki/
• https://nlnetlabs.nl/projects/rpki/faq/
• https://afnog.org/pipermail/afnog/2018-November/003532.html