RPKI og ROA: hvað kaupendur og leigutakar þurfa í raun að gera

Af hverju þetta hætti að vera valkvætt

Árum saman var RPKI eitthvað sem rekstraraðilar voru sammála um að væri góð hugmynd og komu sér ekki að. Það breyttist þegar stóru netin byrjuðu raunverulega að framfylgja því. Helstu transit-aðilar, stóru skýjavettvangarnir og nokkur stór efnisnet framkvæma nú Route Origin Validation og henda leiðum sem reynast ógildar.

Hagnýta afleiðingin er einföld. Forskeyti með bilaða ROA er ekki bara óvarið, það er óaðgengilegt frá vaxandi hluta internetsins. Og bilunin er að hluta og ruglandi: sumir notendur ná til þín, aðrir ekki, og traceroute lítur vel út frá hvaða stað sem þú prófar.

Ef þú ert að kaupa eða leigja vistfangarými er þetta sú eina stilling sem er líklegust til að kosta þig dag.

Hvað ROA er í raun

RPKI er kerfi dulritunarvottana sem tengt er skrá vistfanganna. Hluturinn sem skiptir máli dags daglega er Route Origin Authorization, eða ROA, og hún inniheldur nákvæmlega þrennt:

• Forskeytið. Til dæmis 192.0.2.0/24.
• Uppruna-AS. Númer sjálfstæða kerfisins sem má tilkynna það.
• Hámarkslengd. Lengsta forskeyti sem má tilkynna innan þeirrar blokkar.

Það er allur hluturinn. Hann er undirrituð yfirlýsing frá handhafa vistfanganna sem segir „þetta AS má vera uppruni þessa rýmis, upp að þessari tilteknu stærð“. Beinar lesa hana ekki beint. Staðfestar (validators) sækja og sannreyna RPKI-gögnin, og senda niðurstöðuna til beinanna, sem flokka svo hverja leið sem gilda, ógilda eða ekki fundna.

Hver leið lendir í einu af þremur ástöndum. Valid (gild): ROA nær yfir forskeytið og tilkynningin passar við hana. NotFound, sem mörg tól sýna sem Unknown: engin ROA nær yfir forskeytið. Invalid (ógild): ROA nær yfir forskeytið, en tilkynningin stangast á við hana, annaðhvort frá röngu AS eða með forskeyti sem er lengra en hámarkslengdin leyfir.

Röð þessara ástanda skiptir meira máli en fólk býst við. Leið án ROA er enn samþykkt nánast alls staðar: hún er óvarin, en kemst í gegn. Leið sem reynist Invalid er hent af hverju neti sem framfylgir staðfestingu. Engin ROA er betri en röng ROA. Markmiðið er rétt ROA, en ef smáatriðin eru ekki frágengin daginn sem þú tilkynnir er mun öruggara að tilkynna án ROA og bæta henni við þegar þau eru það en að birta eina sem stangast á við það sem þú sendir.

Hver býr hana til fer eftir því hvernig þú fékkst rýmið

Þetta fellir fólk stöðugt, svo vert er að segja það skýrt.

Ef þú keyptir blokkina er hún skráð á þig og þú býrð til ROA sjálf(ur) í gátt skráningaraðilans, eða biður kostunar-LIR þitt um að búa hana til ef það heldur tengslunum við skráningaraðilann fyrir þína hönd. Gerðu það eftir að flutningnum lýkur, ekki áður, því hluturinn þarf að verða til undir nýja handhafanum. Keypt legacy-rými á svæði RIPE NCC þarf samning við RIPE NCC eða kostunar-LIR áður en það getur yfirhöfuð haft ROA (RIPE NCC).

Ef þú leigir er blokkin ekki skráð á þig og þú getur ekki búið til ROA. Handhafinn gerir það, fyrir þitt ASN. Það þýðir að þú þarft að segja honum tvennt í upphafi: AS-númerið sem þú munt tilkynna frá, og hvort þú ætlir að tilkynna eitthvað nákvæmara en alla blokkina. Leiga þar sem ROA hefur ekki verið búin til fyrir þitt ASN reynist ógild um leið og þú tilkynnir.

Ef þú tilkynnir í gegnum skýjaþjónustuaðila með BYOIP þarf ROA yfirleitt að nefna ASN þjónustuaðilans frekar en þitt, því net hans er uppruni leiðarinnar: AS16509 og AS14618 hjá AWS, AS8075 hjá Azure, AS396982 hjá Google Cloud á Premium-stigi þess. Sumir þjónustuaðilar leyfa þér í staðinn að vera uppruni frá eigin ASN, annaðhvort yfir eigin BGP-lotu (Vultr, Cherry Servers) eða sem „bring your own ASN“ valkost ofan á BYOIP (AWS, Oracle Cloud, OVHcloud, IONOS Cloud, Gcore). Þá nefnir ROA þitt ASN, og AWS og Oracle Cloud vilja líka eina sem nefnir þeirra. Flestir þjónustuaðilar skjalfesta AS-númerið sem ROA verður að nefna, og nokkrir, Gcore þar á meðal, gefa það aðeins upp þegar þú spyrð, svo kannaðu áður en þú býrð nokkuð til; leiðbeiningarnar fyrir þjónustuaðila okkar telja þau upp.

Mistökin tvö sem valda rofi

Nánast allar raunverulegar RPKI-bilanir snúast um hámarkslengd.

Að stilla hana of rúmt. ROA fyrir 192.0.2.0/24 með hámarkslengd /32 þýðir að hvaða tilkynning sem er af hvaða stærð sem er innan þeirrar blokkar stenst. Það eyðileggur stóran hluta tilgangsins: ræningi sem tilkynnir nákvæmari leið frá AS-númerinu þínu reynist samt gildur, og nákvæmari leiðir vinna í BGP. Örugga sjálfgefna stillingin er að setja hámarkslengd jafna lengd forskeytisins nema þú hafir áþreifanlega ástæðu til annars.

Að stilla hana of strangt. Ef þú tilkynnir /24 sem ROA nær yfir, og þarft síðar að skipta henni í tvær /25 fyrir umferðarstýringu, verða þær /25 ógildar samstundis og hverfa af stórum hluta internetsins. Ef þú ætlar að tilkynna nákvæmari leiðir þarf ROA að leyfa það áður en þú byrjar.

Reglan sem forðast hvort tveggja: láttu ROA lýsa nákvæmlega því sem þú raunverulega tilkynnir, og uppfærðu hana í sama breytingaglugga og hverja leiðabreytingu, ekki á eftir.

ASPA: næsta lag

ROA verndar fyrsta hlekk leiðar: hver má vera uppruni hennar. Hún segir ekkert um leiðina eftir það, sem er þar sem leiðaleki (route leaks) gerist, þegar net sendir áfram leiðir sem það hefði átt að halda fyrir sig. ASPA, Autonomous System Provider Authorization, fyllir hluta þess bils.

ASPA-hlutur er undirritaður af handhafa AS-númers og telur upp þau AS sem eru upstream-aðilar þess. Net sem staðfesta hann geta hafnað leið þar sem AS-ið þitt virðist ná til internetsins í gegnum einhvern sem er ekki þjónustuaðili þinn. Þetta er IETF-staðall í mótun. RIPE NCC lýsir honum sem tilbúnum til undirritunar, og ARIN og APNIC leyfa handhöfum líka að undirrita ASPA (skráningaraðilarnir bornir saman).

• Ef þú hefur eigið ASN, birtu ASPA sem telur upp hvern upstream-aðila sem ber leiðir þínar út á internetið. Slepptu peering-aðilum og eigin viðskiptavinum.
• Haltu honum uppfærðum. Þjónustuaðili sem vantar í hlutinn getur valdið því að net sem framfylgja ASPA hafni leiðum þínum í gegnum þann þjónustuaðila, svo bættu nýjum transit-aðila við áður en þú tengir hann og fjarlægðu gamlan eftir að þú aftengir hann.
• Kemurðu með eigið ASN í ský? AWS mælir með ASPA sem telur upp AS16509 og AS14618 sem þjónustuaðila ASN þíns; án þeirra falla leiðirnar sem það endurauglýsir fyrir þig á ASPA-staðfestingu.
• Leigirðu? ASPA tilheyrir AS-númerinu þínu, ekki forskeytinu, svo það er þitt að birta, ekki okkar.

Gátlistinn

Áður en rýmið ber framleiðsluumferð:

• ROA er til fyrir rétt forskeyti og rétt uppruna-AS.
• Hámarkslengd passar við raunverulega tilkynningaáætlun þína.
• IRR route-hlutir eru líka til staðar. RPKI hefur ekki leyst þá af hólmi. Fjölmargir upstream-aðilar byggja enn forskeytasíur á IRR-gögnum, svo gild ROA án samsvarandi route-hlutar veldur samt síun.
• ASPA telur upp hvern upstream-aðila, ef þú birtir einn, og enga peering-aðila eða viðskiptavini.
• Staðfestu utan frá. Kannaðu frá ytra looking glass eða RPKI-staðfesti, ekki frá eigin neti, sem samþykkir glaðlega eigin leiðir.
• Taktu til á leiðinni út. Þegar leigu lýkur eða þú hættir að tilkynna blokk ætti að draga ROA til baka eða uppfæra hana. Úrelt ROA sem vísar á ASN sem tilkynnir rýmið ekki lengur er vandamál fyrir þann sem fær það næst.

Hvar RTM Networks kemur inn

Við búum til og viðhöldum ROA sem hluta af bæði leigu og kostun frekar en sem viðbót (leigja IPv4, kostun PI og ASN). Fyrir leigu, segðu okkur AS-númerið sem þú munt tilkynna frá, eða skýjaþjónustuaðilann sem þú kemur með rýmið til, og hvort þú þurfir nákvæmari leiðir, og ROA er stillt fyrir afhendingu. Fyrir kostaðar auðlindir höfum við umsjón með RPKI-stillingunum samhliða hinum hlutunum hjá skráningaraðilanum.

Ef þú tekur við rými annars staðar frá fer það eftir leiðinni hver setur upp RPKI: kaupandi gerir það fyrir blokkina sjálfa, og í leigu gerir leigusalinn það. Við getum kannað hvort ROA sé til fyrir blokkina og, ef svo er, hvort hún sé gild.