Potpisivanje prefiksa lakša je polovica posla
O prihvaćanju RPKI-ja izvještava se jednom brojkom, i ta brojka izgleda ohrabrujuće. Broj autorizacija podrijetla rute (ROA) tijekom 2025. porastao je 23 %, s 280.692 na 344.209, a broj jedinstvenih izvornih ASN-ova koji se pojavljuju u ROA-ovima popeo se 11 %, na 52.661. 1
Važna je brojka ispod nje. Na strani puta zapis ASPA objavljen je za otprilike 0,5 % autonomnih sustava u globalnoj tablici rutiranja. 1
Te dvije brojke opisuju stvarno stanje sigurnosti rutiranja 2026. Potpisivanje podrijetla postalo je uobičajeno. Sve iznad podrijetla jedva je počelo.
Potpisivanje i provjera različiti su poslovi
Potpisati znači objaviti ROA koji kaže da je AS64500 ovlašten objavljivati 203.0.113.0/24. To štiti vas, i to samo ako drugi provjeravaju. U biti je riječ o obrascu koji ispunite kod svojeg registra.
Provjeravati znači držati RPKI validator i odbacivati nevaljane rute ili im snižavati prednost. To štiti vaš promet od otmice i pravi je operativni posao: držati validatore, hraniti ih podacima, odlučiti o politici prema nevaljanima i pomiriti se s tim da ćete povremeno odbaciti rutu jer je netko drugi krivo upisao svoj ROA.
Potpisivanje je kvačica usklađenosti. Provjera je inženjerstvo. Rast prve brojke gotovo ništa ne govori o drugoj.
Razmak je širi nego što naslov kaže
Najjasnije je to zazvučalo na posljednjem sastanku članova ARIN-a. Unutar zajednice Internet2, koja okuplja oko 1100 američkih istraživačkih i obrazovnih mreža, ASPA su uvele točno dvije. GÉANT, paneuropska istraživačka mreža i jedan od najsavjesnijih operatora uopće, imao je pokriveno oko 33 % svojeg adresnog prostora. 2
Ako je kod dobro opremljenih i sigurnosno osviještenih istraživačkih mreža omjer dva od 1100, komercijalni internet nije tiho ispred njih.
Na istoj je sjednici objašnjeno zašto je to teško, a ne samo zapušteno: jednom ondje spomenutom komercijalnom bloku adresa za potpuno bi pokrivanje trebalo više od tisuću pojedinačnih ROA-ova. 2 RPKI je lako opisati, a mučno voditi u velikim razmjerima, i upravo u toj muci žive pogreške.
Većina nevaljanih ruta vaše je djelo
Ta posljednja misao treba promijeniti način na koji gledate na nevaljane rute. Svakodnevni uzroci nisu napadači.
Zastarjeli ROA-ovi zaostali nakon promjene numeracije. Nemarne vrijednosti maxLength koje ovlašćuju više specifičnih prefiksa nego što je namjeravano. ROA napravljen za jedan AS, dok prefiks objavljuje drugi. Zaboravljena ovlaštenja za prostor koji je u međuvremenu prenesen.
To je važno iz dva razloga. Ako oklijevate odbacivati nevaljane rute jer se bojite da ćete slomiti legitiman promet, oprez je opravdan, ali lijek je pospremiti vlastite ROA-ove, a ne i dalje primati sve redom. Uz to je svakodnevna korist RPKI-ja barem jednako toliko sprječavanje pogrešaka koliko i sprječavanje napada. On hvata propuštanje koje umoran inženjer upravo sprema u dva ujutro, a to je daleko vjerojatniji način da izgubite prefiks od namjerne otmice.
Što RPKI ne radi
O tome vrijedi govoriti otvoreno, jer se RPKI često preprodaje. Ne provjerava AS put, nego samo tko objavljuje prefiks. Ne uklanja propuštanja ruta, jer propuštanje može biti ispravno prema RPKI-ju kad je podrijetlo legitimno, a pogrešno je samo širenje. I ne popravlja zastarjele ROA-ove ni loše vrijednosti maxLength — to je vaš posao.
Zaštiti na razini puta trebaju ASPA i BGP Roles, a gornjih 0,5 % pokazuje kako taj posao danas izgleda. RPKI je pod, a ne strop.
AS210464 i ono što provjeravamo
Držimo AS210464 i na provjeravajućoj smo strani tog razmaka.
Rute koje primamo provjeravamo RPKI-jem. Ako nam objavite prefiks preko BGP sesije, a vaš ga ROA ne ovlašćuje, to je razgovor prije nego što postane prekid.
Objavljujemo pun skup BGP zajednica kako biste vlastitim objavama upravljali sami, umjesto da otvarate tikete. To pokriva selektivnu objavu — ne objavljuj određenom AS-u, klijentima, izravnim peerovima, peerovima na IXP-u, route poslužiteljima ili uzvodnim vezama — uz regionalne postavke, prepending od jednom do tri puta, upravljanje vrijednošću local-preference za pričuvne rute i blackholing pokrenut s vaše strane, za slučaj kad ste pod napadom i prefiks treba odbaciti na rubu mreže, a ne na vašem poslužitelju.
BGP sesije počinju od 5 €/mj. Uz svaki virtualni stroj već ide usmjereni /48 IPv6 prostora, što nije isto što i prostor koji možete objavljivati: za to ili donosite svoj ili IPv6 prostor iznajmljujete od nas. Sesije se uspostavljaju prema lokalnim adresama pristupnika, 10.0.0.1 za IPv4 i fd10::1 za IPv6, i upravo zato vaše adresiranje može seliti među našim čvorovima sve do pojedinačnog /32 ili /128. Takva postava traži uključen multihop na vašoj strani uz TTL 255, vozili vi BIRD ili nešto drugo.
Naše rutiranje možete provjeriti prije nego išta kupite. Looking glass izvodi BGP upite, ping i traceroute uživo iz Tirane, Skoplja, Amsterdama i Dublina, bez računa. Ako vam pružatelj ne da pogledati svoju tablicu rutiranja, zapitajte se zašto.
Ako ovaj tjedan napravite jednu stvar
Pregledajte vlastite ROA-ove. Najvjerojatniji incident rutiranja u vašoj budućnosti onaj je koji ćete sami izazvati. Provjerite ima li svaki prefiks koji objavljujete svoj ROA, je li izvorni AS točan, odgovara li maxLength onome što stvarno objavljujete umjesto da je darežljivo postavljen „za svaki slučaj” te nije li ostalo nešto za prostor koji više nemate.
Zatim, ako uopće ne provjeravate, počnite. Mjesec dana bilježite nevaljane rute bez odbacivanja, pogledajte što biste slomili, pospremite svoje i tek onda uključite odbacivanje.