RPKI

RPKI (Infrastructure Public Key Infrastructure) je spôsob, ako zabrániť zneužitiu BGP. Používa kryptografické podpisy na overenie toho, že ASN môže oznamovať konkrétnu podsieť.

ROA (Route Origination Authorizations) sú kľúčovými komponentmi RPKI. ROA obsahujú iba niekoľko položiek: ASN, podsieť a maximálna dĺžka. ROA je potom kryptograficky podpísaná a zverejnená. Každý smerovač potom môže použiť ROA na overenie, či je konkrétne oznámenie autorizované vlastníkom priestoru IP.

{
    "asn" : "AS64496",
    "prefix" : "192.0.2.0/24",
    "maxLength" : 29,
    "ta" : "ARIN"
}

Toto uvádza, že ASAS64496je oprávnený oznamovať 192.0.2.0/24a akékoľvek menšie podsiete až po /29s.

Na rozdiel od toho, nasledujúce by umožnilo len presneAS64496 oznámiť . Menšie podsiete z tohto rozsahu by neboli povolené.192.0.2.0/24

{
    "asn" : "AS64496",
    "prefix" : "192.0.2.0/24",
    "maxLength" : 24,
    "ta" : "ARIN"
}

RIPE ponúka verejnú službu, kde si môžete vyhľadať jednotlivé ROA .

Vultr každú noc kontroluje stav RPKI každej zákazníckej podsiete. Stav si môžete pozrieť tu . Tu uvidíte niekoľko rôznych stavov:

• Valid: Podarilo sa nám overiť, či existuje ROA pre pár ASN/predpona. Toto je stav, ktorý chcete mať.
• Unknown: Pre danú predponu neexistuje žiadna ROA. To je to, čo uvidíte pre veľkú väčšinu priestoru. Vo všeobecnosti neuvidíte žiadne problémy s týmto stavom, pretože v súčasnosti žiadny ISP skutočne nevyžaduje RPKI.

Tieto stavy môžu spôsobiť, že váš priestor IP nebude dostupný pre rôzne časti internetu a mali by byť opravené. Predovšetkým možno nebudete môcť dosiahnuť Cloudflare z priestoru IP s neplatnými podpismi RPKI. Mnoho poskytovateľov internetových služieb v Afrike sa tiež zaviazalo povoliť RPKI dňa 2019-04-01, čo znamená, že tam nebudú dostupné neplatné predpony. AT&T prestala prijímať neplatné oznámenia RPKI od 2019-02-11.

Existuje niekoľko rôznych typov neplatných podpisov:

• Invalid ASN: Pre túto predponu existuje aspoň jedna ROA, avšak žiadne z ASN nezodpovedá tomu, na čo je váš účet nakonfigurovaný. Ak používate súkromné ​​ASN, vaše ROA by mali uvádzať naše ASN ( 20473).
• Invalid Prefix Length: Našli sme ROA, ktorá sa zhoduje s touto predponou/ASN, avšak maximálna povolená dĺžka predpony nie je správna. To vo všeobecnosti znamená, že budete musieť vydať novú ROA s maximálnou dĺžkou predpony nastavenou na 24IPv4 alebo 48IPv6. Môžete tiež vydať novú ROA pre menšiu predponu.

RPKI je možné nastaviť prostredníctvom vášho RIR (RIPE, ARIN, APNIC atď.). RPKI ROA môže spravovať iba vlastník priestoru IP. Ak si prenajímate priestor IP, budete musieť kontaktovať spoločnosť, od ktorej si prenajímate, a požiadať o pomoc s konfiguráciou RPKI.

Ďalšie informácie nájdete v nasledujúcej dokumentácii:

• https://www.arin.net/resources/rpki/index.html
• https://www.apnic.net/get-ip/faqs/rpki/
• https://www.ripe.net/manage-ips-and-asns/resource-management/certification
• https://blog.cloudflare.com/rpki/
• https://nlnetlabs.nl/projects/rpki/faq/
• https://afnog.org/pipermail/afnog/2018-November/003532.html