Nënshkrimi i prefikseve tuaja është gjysma e lehtë
Përqafimi i RPKI-së raportohet si një shifër e vetme, dhe ajo shifër duket inkurajuese. Autorizimet e Origjinës së Rrugës (ROA) u rritën 23% gjatë vitit 2025, nga 280 692 në 344 209, dhe numri i ASN-ve unike të origjinës që shfaqen në ROA u ngjit 11% në 52 661. 1
Shifra poshtë saj është ajo që ka rëndësi. Nga ana e rrugës, një regjistrim ASPA është publikuar për rreth 0,5% të sistemeve autonome në tabelën globale të Routing-ut. 1
Ato dy shifra përshkruajnë gjendjen e vërtetë të sigurisë së Routing-ut në vitin 2026. Nënshkrimi i origjinës është bërë i zakonshëm. Gjithçka mbi origjinën sapo ka nisur.
Nënshkrimi dhe validimi janë punë të ndryshme
Nënshkrimi do të thotë të publikosh një ROA që thotë se AS64500 është i autorizuar ta originojë 203.0.113.0/24. Ju mbron, dhe vetëm nëse të tjerët e kontrollojnë. Është një formular që e plotësoni te RIR-i juaj.
Validimi do të thotë të mbani një validator RPKI dhe t'i hidhni poshtë ose t'u ulni preferencën rrugëve të pavlefshme. Mbron trafikun tuaj nga rrëmbimi, dhe është punë e vërtetë operacionale: të mbash validatorë, t'i ushqesh, të vendosësh politikën tënde për të pavlefshmet dhe të pranosh se herë pas here do të hedhësh poshtë një rrugë sepse dikush tjetër e ka shkruar gabim një ROA.
Nënshkrimi është një kuti përputhshmërie për t'u shënuar. Validimi është inxhinieri. Rritja e shifrës së parë ju thotë shumë pak për të dytën.
Hendeku është më i gjerë nga ç'thotë titulli
Ilustrimi më i qartë erdhi nga mbledhja më e fundit e anëtarëve të ARIN-it. Brenda komunitetit Internet2, që përfshin rreth 1 100 rrjete kërkimore dhe arsimore amerikane, saktësisht dy kishin vendosur ASPA. GÉANT-i, rrjeti paneuropian i kërkimit dhe një nga operatorët më të kujdesshëm kudo qofshin, kishte rreth 33% të hapësirës së vet të adresave të mbuluar. 2
Nëse rrjetet kërkimore me burime të mira dhe të vetëdijshme për sigurinë janë në dy nga 1 100, interneti tregtar nuk është në heshtje përpara tyre.
I njëjti sesion theksoi pse kjo është e vështirë e jo thjesht e lënë pas dore: një bllok tregtar adresash i diskutuar atje do të kishte nevojë për mbi një mijë ROA individuale për t'u mbuluar plotësisht. 2 RPKI-ja është e lehtë për t'u përshkruar dhe e ndërlikuar për t'u operuar në shkallë të gjerë, dhe pikërisht te ndërlikimi jetojnë gabimet.
Shumica e të pavlefshmeve janë vepër e juaja
Ajo pikë e fundit duhet ta rikornizojë mënyrën se si mendoni për rrugët e pavlefshme. Shkaqet e përditshme nuk janë sulmuesit.
ROA të vjetruara të mbetura pas një rinumërimi. Vlera maxLength të pakujdesshme që autorizojnë më shumë specifika nga ç'ishte menduar. Një ROA e krijuar për një AS ndërsa prefiksi shpallet nga një tjetër. Autorizime të harruara për hapësirë që është transferuar ndërkohë.
Kjo ka rëndësi për dy arsye. Nëse po hezitoni t'i hidhni poshtë të pavlefshmet nga frika se do të prishni trafik legjitim, keni të drejtë të jeni të kujdesshëm, dhe zgjidhja është t'i pastroni ROA-të tuaja, e jo të vazhdoni të pranoni gjithçka. Dhe vlera e përditshme e RPKI-së është të paktën po aq parandalim gabimesh sa parandalim sulmesh. Ajo e kap rrjedhjen që një inxhinier i lodhur sapo do të shkaktojë në orën 2 të natës, çka është mënyrë shumë më e mundshme për ta humbur prefiksin tuaj se një rrëmbim i qëllimshëm.
Çfarë nuk bën RPKI-ja
Ia vlen të flitet troç, sepse shitet më shumë nga ç'është. RPKI-ja nuk e validon rrugën AS, vetëm se kush e originon prefiksin. Nuk i eliminon rrjedhjet e rrugëve, sepse një rrjedhje mund të jetë e vlefshme sipas RPKI-së kur origjina është legjitime dhe vetëm përhapja është e gabuar. Dhe nuk i rregullon ROA-të e vjetruara apo vlerat e këqija maxLength, të cilat janë puna juaj.
Mbrojtja në nivel rruge ka nevojë për ASPA dhe BGP Roles, dhe shifra 0,5% më sipër është pamja e asaj përpjekjeje sot. RPKI-ja është dysheme, jo tavan.
AS210464, dhe çfarë validojmë
Ne operojmë AS210464, dhe jemi në anën validuese të atij hendeku.
Kryejmë validim RPKI mbi rrugët që pranojmë. Nëse na shpallni një prefiks përmes një sesioni BGP dhe ROA-ja juaj nuk e autorizon, kjo është një bisedë përpara se të bëhet ndërprerje.
Publikojmë një grup të plotë komunitetesh BGP që ju të kontrolloni vetë shpalljet tuaja, në vend që të hapni tiketa. Kjo mbulon shpalljen selektive — domethënë mos e shpall te një AS i caktuar, te klientët, te peer-at e drejtpërdrejtë, te peer-at e IXP-së, te route server-at ose te upstream-ët — bashkë me kontrollet rajonale, prepending-un nga një deri në tri herë, kontrollin e local-preference për rrugët rezervë dhe blackholing-un e nisur në distancë, për kur jeni nën sulm dhe ju duhet një prefiks i hedhur poshtë në skaj e jo te serveri juaj.
Sesionet BGP nisin nga 5 €/muaj. Çdo makinë virtuale vjen tashmë me një /48 IPv6 të routuar, çka nuk është e njëjta gjë me hapësirë që mund ta shpallni: për atë, ose sillni tuajën, ose merrni me qira hapësirë IPv6 nga ne. Sesionet bëjnë peering kundrejt adresave lokale të portës, 10.0.0.1 për IPv4 dhe fd10::1 për IPv6, çka e lejon adresimin tuaj të lëvizë mes nyjeve tona deri në një /32 ose /128 të vetme. Ajo skemë kërkon multihop të aktivizuar nga ana juaj me TTL 255, qoftë nëse përdorni BIRD apo diçka tjetër.
Routing-un tonë mund ta verifikoni para se të blini çfarëdo gjëje. Looking glass kryen kërkime rruge BGP, ping dhe traceroute drejtpërdrejt nga Tirana, Shkupi, Amsterdami dhe Dublini, pa kërkuar llogari. Nëse një ofrues nuk ju lë ta shihni tabelën e tij të Routing-ut, pyetni veten pse.
Nëse bëni një gjë këtë javë
Auditoni ROA-të tuaja. Incidenti i Routing-ut me probabilitetin më të lartë në të ardhmen tuaj është ai që e shkaktoni ju. Kontrolloni që çdo prefiks që shpallni të ketë një ROA, që AS-ja e origjinës të jetë e saktë, që maxLength t'i përgjigjet asaj që shpallni e të mos jetë vendosur bujarisht për çdo rast, dhe që të mos ketë mbetur asgjë nga hapësira që nuk e mbani më.
Pastaj, nëse nuk validoni fare, nisni. Regjistrojini të pavlefshmet pa i hedhur poshtë për një muaj, shihni çfarë do të kishit prishur, pastroni atë që është e juaja, dhe pastaj ndizeni zbatimin.