RPKI u ROAs: x'għandhom bżonn jagħmlu fil-fatt ix-xerrejja u min jikri

Għaliex dan ma baqax fakultattiv

Għal snin l-RPKI kien xi ħaġa li l-operaturi qablu li hija idea tajba u qatt ma waslu biex jagħmluha. Dan inbidel meta n-netwerks il-kbar bdew fil-fatt japplikawh. Fornituri ewlenin tat-transit, il-pjattaformi kbar tal-cloud u diversi netwerks kbar tal-kontenut issa jagħmlu Route Origin Validation u iwaddbu r-rotot li joħorġu invalidi.

Il-konsegwenza prattika hija diretta. Prefix b'ROA miksur mhuwiex sempliċement mhux protett, ma jistax jintlaħaq minn sehem dejjem jikber tal-internet. U l-falliment huwa parzjali u konfuż: xi utenti jilħquk, oħrajn le, u t-traceroutes jidhru tajbin minn kull fejn tkun qed tittestja.

Jekk qed tixtri jew tikri spazju ta' indirizzi, dan huwa d-dettall tal-konfigurazzjoni li l-aktar x'aktarx jiswielek ġurnata.

X'inhu fil-fatt ROA

L-RPKI huwa sistema ta' attestazzjonijiet kriptografiċi marbuta mar-reġistru tal-indirizzi. L-oġġett li jgħodd kuljum huwa l-Route Origin Authorization, jew ROA, u fih eżattament tliet affarijiet:

• Il-prefix. Pereżempju 192.0.2.0/24.
• L-AS oriġini. In-numru tal-autonomous system permess jagħmel announce tiegħu.
• Tul massimu. L-itwal prefix li jista' jkun announced f'dak il-blokk.

Dak huwa l-oġġett kollu. Huwa dikjarazzjoni ffirmata mid-detentur tal-indirizzi li tgħid “dan l-AS jista' joriġina dan l-ispazju, sa dan id-daqs speċifiku”. Ir-routers ma jaqrawhx direttament. Il-validators jiġbru u jivverifikaw id-data tal-RPKI, u jgħaddu r-riżultat lir-routers, li mbagħad jikklassifikaw kull rotta bħala valida, invalida jew not-found.

Kull rotta toħroġ f'wieħed minn tliet stati. Valid: ROA jkopri l-prefix u l-announcement jaqbel miegħu. NotFound, li ħafna għodod juru bħala Unknown: l-ebda ROA ma jkopri l-prefix. Invalid: ROA jkopri l-prefix, iżda l-announcement jikkontradixxih, jew mill-AS il-ħażin jew bi prefix itwal milli jippermetti t-tul massimu.

L-ordni ta' dawk l-istati jgħodd aktar milli jistennew in-nies. Rotta mingħajr ROA xorta tiġi aċċettata kważi kullimkien: mhix protetta, iżda tgħaddi. Rotta li toħroġ Invalid titwaddab minn kull netwerk li japplika l-validazzjoni. L-ebda ROA huwa aħjar minn ROA ħażin. L-għan huwa wieħed korrett, iżda jekk id-dettalji mhumiex deċiżi fil-jum li tagħmel announce, li tagħmel announce mingħajr ROA u żżidu ladarba jkunu deċiżi huwa ħafna aktar sigur milli tippubblika wieħed li jikkontradixxi dak li tibgħat.

Min joħolqu jiddependi minn kif ksibt l-ispazju

Dan iqarraq bin-nies kontinwament, għalhekk ta' min inkunu espliċiti.

Jekk xtrajt il-blokk, huwa rreġistrat f'ismek u toħloq ir-ROA int stess fil-portal tar-reġistru tiegħek, jew titlob lill-LIR sponsor tiegħek joħolqu jekk wieħed iżomm ir-relazzjoni mar-reġistru f'ismek. Agħmlu wara li jitlesta t-trasferiment, mhux qabel, għax l-oġġett irid jinħoloq taħt id-detentur il-ġdid. Spazju legacy mixtri fir-reġjun tar-RIPE NCC għandu bżonn kuntratt mar-RIPE NCC jew ma' LIR sponsor qabel ma jista' jkollu ROA (ir-RIPE NCC).

Jekk qed tikri, il-blokk mhuwiex irreġistrat f'ismek u ma tistax toħloq ir-ROA. Id-detentur jagħmlu, għall-ASN tiegħek. Dan ifisser li trid tgħidlu żewġ affarijiet minn qabel: l-ASN li minnu se tagħmel announce, u jekk għandekx l-intenzjoni li tagħmel announce ta' xi ħaġa aktar speċifika mill-blokk kollu. Kiri fejn ir-ROA ma nħoloqx għall-ASN tiegħek joħroġ invalidu fil-mument li tagħmel announce tiegħu.

Jekk qed tagħmel announce permezz ta' fornitur tal-cloud taħt BYOIP, ir-ROA normalment irid isemmi l-ASN tal-fornitur aktar milli tiegħek, għax in-netwerk tiegħu joriġina r-rotta: AS16509 u AS14618 f'AWS, AS8075 f'Azure, AS396982 f'Google Cloud fuq il-Premium tier tiegħu. Xi fornituri jħalluk toriġina mill-ASN tiegħek minflok, jew fuq sessjoni BGP tiegħek (Vultr, Cherry Servers) jew bħala għażla “bring your own ASN” fuq il-BYOIP (AWS, Oracle Cloud, OVHcloud, IONOS Cloud, Gcore). Imbagħad ROA isemmi l-ASN tiegħek, u AWS u Oracle Cloud iridu wieħed li jsemmi tagħhom ukoll. Il-biċċa l-kbira tal-fornituri jiddokumentaw l-ASN li jrid isemmi r-ROA, u ftit, fosthom Gcore, jagħtuh biss meta titlob, għalhekk iċċekkja qabel toħloq xi ħaġa; il-gwidi tal-fornituri tagħna jelenkawhom.

Iż-żewġ żbalji li jikkawżaw outages

Kważi kull ksur reali tal-RPKI jiġi għat-tul massimu.

Li tissettjah wisq permissiv. ROA għal 192.0.2.0/24 b'tul massimu ta' /32 ifisser li kull announcement ta' kwalunkwe daqs ġewwa dak il-blokk joħroġ validu. Dan ixejjen ħafna mill-iskop: hijacker li jagħmel announce ta' rotta aktar speċifika min-numru AS tiegħek xorta joħroġ validu, u r-rotot aktar speċifiċi jirbħu fil-BGP. Is-default sigur huwa li tissettja t-tul massimu ugwali għat-tul tal-prefix sakemm m'għandekx raġuni konkreta biex ma tagħmilx hekk.

Li tissettjah wisq strett. Jekk tagħmel announce ta' /24 kopert minn ROA, u wara jkollok bżonn taqsmu f'żewġ /25 għat-traffic engineering, dawk il-/25 isiru invalidi istantanjament u jisparixxu minn parti kbira tal-internet. Jekk qed tippjana li tagħmel announce ta' rotot aktar speċifiċi, ir-ROA irid jippermettihom qabel tibda.

Ir-regola li tevita t-tnejn: agħmel li r-ROA jiddeskrivi eżattament dak li fil-fatt tagħmel announce tiegħu, u aġġornah fl-istess change window ta' kull bidla fir-routing, mhux wara.

ASPA: is-saff li jmiss

ROA jipproteġi l-ewwel link ta' rotta: min jista' joriġinaha. Ma jgħid xejn dwar it-triq wara dan, li huwa fejn jiġru r-route leaks, meta netwerk jgħaddi 'l quddiem rotot li suppost żamm għalih. L-ASPA, Autonomous System Provider Authorization, tkopri parti minn dik il-lakuna.

Oġġett ASPA jiġi ffirmat mid-detentur ta' numru AS u jelenka l-ASes li huma l-fornituri upstream tiegħu. In-netwerks li jivvalidawh jistgħu jirrifjutaw triq li fiha l-AS tiegħek jidher li jasal għall-internet permezz ta' xi ħadd li mhuwiex il-fornitur tiegħek. Huwa standard tal-IETF li qed jitfaċċa. Ir-RIPE NCC jiddeskrivih bħala lest għall-użu fl-iffirmar, u l-ARIN u l-APNIC iħallu lid-detenturi jiffirmaw ASPAs ukoll (ir-reġistri mqabbla).

• Jekk għandek l-ASN tiegħek, ippubblika ASPA li telenka kull upstream li jġorr ir-rotot tiegħek lejn l-internet. Ħalli barra l-peers u l-klijenti tiegħek.
• Żommha aġġornata. Fornitur nieqes mill-oġġett jista' jġiegħel ir-rotot tiegħek jiġu rrifjutati permezz ta' dak il-fornitur min-netwerks li japplikaw l-ASPA, għalhekk żid transit ġdid qabel tattivah u neħħi wieħed qadim wara li tiddiżattivah.
• Qed iġġib l-ASN tiegħek għal cloud? AWS tirrakkomanda ASPA li telenka AS16509 u AS14618 bħala fornituri tal-ASN tiegħek; mingħajrhom, ir-rotot li terġa' tirreklama għalik ifallu l-validazzjoni ASPA.
• Qed tikri? L-ASPA tappartjeni lill-ASN tiegħek, mhux lill-prefix, għalhekk int tippubblikaha, mhux aħna.

Il-lista ta' kontroll

Qabel ma l-ispazju jġorr traffiku tal-produzzjoni:

• Jeżisti ROA għall-prefix korrett u l-AS oriġini korrett.
• It-tul massimu jaqbel mal-pjan reali tal-announcements tiegħek.
• Ir-route objects tal-IRR huma fis-seħħ ukoll. L-RPKI ma ħax posthom. Ħafna upstreams għadhom jibnu filtri tal-prefixes mid-data tal-IRR, għalhekk ROA validu mingħajr route object li jaqbel xorta jġiegħlek tiġi ffiltrat.
• L-ASPA telenka kull upstream, jekk tippubblika waħda, u l-ebda peer jew klijent.
• Ivvalida minn barra. Iċċekkja minn looking glass estern jew validator tal-RPKI, mhux min-netwerk tiegħek, li jaċċetta r-rotot tiegħek mingħajr problemi.
• Naddaf meta titlaq. Meta jintemm kiri jew tieqaf tagħmel announce ta' blokk, ir-ROA għandu jiġi rtirat jew aġġornat. ROA mhux aġġornat li jipponta lejn ASN li m'għadux jagħmel announce tal-ispazju huwa problema għal min jiksbu wara.

Fejn tidħol RTM Networks

Noħolqu u nżommu r-ROAs bħala parti kemm mill-kiri kif ukoll mis-sponsorship aktar milli bħala żieda (ikri IPv4, sponsorship ta' PI u ASN). Għal kiri, għidilna l-ASN li minnu se tagħmel announce, jew il-fornitur tal-cloud li qed iġġiblu l-ispazju, u jekk għandekx bżonn rotot aktar speċifiċi, u r-ROA jiġi kkonfigurat qabel il-konsenja. Għar-riżorsi sponsorjati, nimmaniġġjaw il-konfigurazzjoni tal-RPKI flimkien mal-oġġetti l-oħra tar-reġistru.

Jekk qed tieħu spazju minn x'imkien ieħor, min jissettja l-RPKI jiddependi mit-triq: xerrej jagħmlu għall-blokk innifsu, u għal kiri jagħmlu min jikrilek. Nistgħu niċċekkjaw jekk jeżistix ROA għall-blokk u, jekk jeżisti, jekk huwiex validu.