Οδηγός βήμα προς βήμα για την υλοποίηση του RPKI στο δίκτυό σας

Οδηγός υλοποίησης του RPKI

Το διαδίκτυο λειτουργεί επειδή τα δίκτυα ανταλλάσσουν πληροφορίες για τις διαδρομές που μπορούν να ακολουθήσουν τα δεδομένα. Κάθε δίκτυο ενημερώνει τα υπόλοιπα για τα εύρη διευθύνσεων στα οποία έχει πρόσβαση, επιτρέποντας στα πακέτα να μετακινούνται από το ένα σημείο στο άλλο. Για πολλά χρόνια, αυτή η ανταλλαγή βασιζόταν αποκλειστικά στην εμπιστοσύνη: ένα δίκτυο δήλωνε ότι ελέγχει ένα σύνολο διευθύνσεων και τα υπόλοιπα το πίστευαν. Αυτό αρκούσε στην αρχή, όταν το διαδίκτυο ήταν μικρότερο και τα λάθη σπάνια.

Καθώς το διαδίκτυο μεγάλωνε, η τυφλή εμπιστοσύνη έγινε αδυναμία. Ένα μόνο τυπογραφικό λάθος μπορούσε να επηρεάσει πλήθος χρηστών, ενώ ένας ψευδής ισχυρισμός μπορούσε να εκτρέψει την κίνηση σε ολόκληρο τον κόσμο. Οι επιτιθέμενοι άρχισαν να το εκμεταλλεύονται, καταλαμβάνοντας διαδρομές για να υποκλέψουν δεδομένα, να αποκλείσουν την πρόσβαση ή να προκαλέσουν διαταραχές. Η απουσία μηχανισμού επικύρωσης άφηνε ευάλωτο ολόκληρο το σύστημα.

Η Υποδομή Δημόσιου Κλειδιού Πόρων (Resource Public Key Infrastructure, RPKI) αναπτύχθηκε για να αντιμετωπίσει αυτό το πρόβλημα. Με ψηφιακά πιστοποιητικά και εξουσιοδοτήσεις προέλευσης διαδρομών, επιτρέπει στα δίκτυα να επαληθεύουν ότι η προέλευση μιας αναγγελίας διαδρομής είναι εξουσιοδοτημένη πριν την αποδεχτούν. Η υλοποίηση του RPKI βελτιώνει την ασφάλεια της δρομολόγησης και δείχνει ότι ο διαχειριστής αντιμετωπίζει σοβαρά τη σταθερότητα του δικτύου.

Γιατί η δρομολόγηση χωρίς RPKI είναι ευάλωτη

Η διατομεακή δρομολόγηση στο διαδίκτυο βασίζεται στο Border Gateway Protocol (BGP). Τα δίκτυα αναγγέλλουν τις διευθύνσεις στις οποίες έχουν πρόσβαση, οι αναγγελίες διαδίδονται γρήγορα και τα άλλα δίκτυα τις χρησιμοποιούν για να διαμορφώσουν τους πίνακες δρομολόγησής τους. Το πρόβλημα είναι ότι το ίδιο το BGP δεν απαιτεί απόδειξη ότι η προέλευση ενός προθέματος είναι εξουσιοδοτημένη, άρα το πρωτόκολλο από μόνο του δεν μπορεί να αποτρέψει ψευδείς ισχυρισμούς. Ένα δίκτυο μπορεί να επιχειρήσει να αναγγείλει ένα πρόθεμα που δεν του ανήκει· αν τα άλλα δίκτυα δεν διαθέτουν κατάλληλα μέτρα επικύρωσης και φιλτραρίσματος, μπορεί να αποδεχτούν την αναγγελία.

Αυτό το ανοιχτό μοντέλο προκαλεί συχνά προβλήματα. Μερικές φορές το λάθος είναι μικρό, όπως όταν ένας μηχανικός πληκτρολογεί λάθος αριθμό, αλλά η εσφαλμένη διαδρομή εξαπλώνεται και πάλι. Σε άλλες περιπτώσεις πρόκειται για επίθεση: κάποιος μπορεί να αναγγείλει το πρόθεμα ενός τρίτου και να στείλει την κίνηση σε λάθος προορισμό. Στο παρελθόν, τόσο λάθη όσο και επιθέσεις αυτού του είδους προκάλεσαν μεγάλες διακοπές δικτύου, στερώντας από τους χρήστες την πρόσβαση σε υπηρεσίες και από τις επιχειρήσεις έσοδα. Χωρίς επικύρωση, η δρομολόγηση συνεχίζει να βασίζεται στην τυφλή εμπιστοσύνη.

Δημιουργία εξουσιοδοτήσεων προέλευσης διαδρομών (ROA)

Το πιο άμεσο στοιχείο του RPKI είναι η Εξουσιοδότηση Προέλευσης Διαδρομής (Route Origin Authorization, ROA). Μια ROA συνδέει ένα πρόθεμα με ένα αυτόνομο σύστημα (AS) που έχει εξουσιοδότηση να αποτελεί την προέλευση διαδρομών για αυτό. Η δημιουργία μιας ROA είναι απλή, αλλά κρίσιμη. Σε μια φιλοξενούμενη υπηρεσία RPKI, ο διαχειριστής συνδέεται στην πύλη του μητρώου, εισάγει το πρόθεμα, ορίζει τον εξουσιοδοτημένο αριθμό αυτόνομου συστήματος (ASN) και, εφόσον χρειάζεται, το μέγιστο μήκος προθέματος. Η υπηρεσία δημιουργεί και υπογράφει τη ROA, ενώ το αντίστοιχο πιστοποιητικό πόρων χρησιμοποιείται για την επικύρωση της εξουσιοδότησης.

Μόλις δημοσιευτεί, μια ROA είναι διαθέσιμη προς χρήση σε όλο το διαδίκτυο. Άλλοι διαχειριστές μπορούν να τη μεταφορτώσουν, να την επικυρώσουν και να τη χρησιμοποιήσουν για τον έλεγχο διαδρομών. Ένα πρόθεμα που δεν καλύπτεται από καμία ROA μπορεί ακόμη να αναγγέλλεται και η κατάσταση επικύρωσης της προέλευσής του θα είναι NotFound. Αν μια ROA έχει ρυθμιστεί λανθασμένα, μια κατά τα άλλα νόμιμη αναγγελία μπορεί να χαρακτηριστεί Invalid και να απορριφθεί από δίκτυα που εφαρμόζουν την αντίστοιχη πολιτική φιλτραρίσματος. Οι εγγραφές πρέπει να παραμένουν ακριβείς και κάθε ROA να συμφωνεί με το πραγματικό σχέδιο δρομολόγησης· διαφορετικά, η κίνηση μπορεί να απορριφθεί κατά λάθος.

Εγκατάσταση επικυρωτή RPKI

Η δημιουργία ROA είναι μόνο το ένα μέρος του συστήματος· το άλλο είναι η επικύρωση. Για να επικυρώνει την προέλευση των διαδρομών, ένα δίκτυο χρειάζεται δεδομένα εξουσιοδότησης από έναν επικυρωτή. Ο επικυρωτής ανακτά αντικείμενα, όπως ROA και σχετικά πιστοποιητικά, από αποθετήρια RPKI, ελέγχει την εγκυρότητά τους, αποθηκεύει τα επικυρωμένα δεδομένα εξουσιοδότησης και τα διαθέτει στους δρομολογητές.

Η λειτουργία ενός επικυρωτή δεν απαιτεί εξοπλισμό υψηλών προδιαγραφών· αρκεί ένας μικρός εξυπηρετητής ή μια εικονική μηχανή. Υπάρχει λογισμικό ανοιχτού κώδικα και οι περισσότεροι διαχειριστές μπορούν να το εγκαταστήσουν με βασικά εργαλεία. Το σημαντικό είναι ο επικυρωτής να παραμένει σε λειτουργία και ενημερωμένος. Όταν τεθεί εκτός λειτουργίας, οι δρομολογητές μπορούν συνήθως να συνεχίσουν να χρησιμοποιούν τα δεδομένα εξουσιοδότησης μέχρι να λήξει ο χρόνος διατήρησής τους στην κρυφή μνήμη. Μετά τη λήξη ή την εκκαθάριση της κρυφής μνήμης, τα αποτελέσματα επικύρωσης και η αποδοχή διαδρομών εξαρτώνται από την υλοποίηση και την τοπική πολιτική. Το RPKI χρειάζεται έναν σταθερό, αξιόπιστο επικυρωτή για να λειτουργεί σωστά.

Ρύθμιση δρομολογητών για επικύρωση

Οι δρομολογητές πρέπει να ρυθμιστούν ώστε να λαμβάνουν δεδομένα εξουσιοδότησης από τον επικυρωτή. Συνήθως ανακτούν και αποθηκεύουν προσωρινά αυτά τα δεδομένα μέσω του πρωτοκόλλου RPKI-RTR. Όταν φτάνει μια αναγγελία διαδρομής, ο δρομολογητής συγκρίνει το πρόθεμα, το μήκος του και το ASN προέλευσης με τα αποθηκευμένα δεδομένα εξουσιοδότησης. Αν η διαδρομή δεν είναι έγκυρη, μπορεί να απορριφθεί σύμφωνα με την πολιτική. Ορισμένοι διαχειριστές αρχικά επισημαίνουν τις μη έγκυρες διαδρομές, αλλά τις διατηρούν για εξέταση· άλλοι τις απορρίπτουν αμέσως.

Τα ακριβή βήματα ρύθμισης διαφέρουν ανά κατασκευαστή. Οι Cisco, Juniper, Nokia και άλλοι διαθέτουν δικές τους εντολές επικύρωσης, αλλά η αρχή παραμένει κοινή: οι δρομολογητές πρέπει να λαμβάνουν δεδομένα εξουσιοδότησης από έναν επικυρωτή, να επικυρώνουν την προέλευση των διαδρομών και να εφαρμόζουν την κατάλληλη πολιτική. Με σωστή ρύθμιση και πολιτικές φιλτραρίσματος, ένα δίκτυο μπορεί να μειώσει τους κινδύνους από μη έγκυρες προελεύσεις διαδρομών.

Δοκιμές και παρακολούθηση του RPKI

Μετά την ολοκλήρωση της εγκατάστασης, το σύστημα πρέπει να δοκιμαστεί. Οι διαχειριστές μπορούν να ελέγξουν αν οι αναγγελίες των δικών τους προθεμάτων επισημαίνονται ως έγκυρες. Μπορούν επίσης να χρησιμοποιήσουν ένα απομονωμένο περιβάλλον δοκιμών για να προσομοιώσουν αναγγελίες των οποίων το πρόθεμα, το μήκος προθέματος ή το ASN προέλευσης δεν συμφωνεί με μια ROA και να ελέγξουν αν απορρίπτονται σύμφωνα με την πολιτική. Αυτές οι δοκιμές επιβεβαιώνουν αν ο επικυρωτής και οι δρομολογητές λειτουργούν όπως προβλέπεται.

Η παρακολούθηση είναι εξίσου σημαντική. Το RPKI δεν είναι στατικό: νέες εγγραφές δημιουργούνται καθημερινά. Αν ένας επικυρωτής σταματήσει να ενημερώνεται, οι δρομολογητές ενδέχεται να μην μπορούν να λάβουν τις πιο πρόσφατες πληροφορίες.

Σφάλματα και συνηθισμένα προβλήματα

Λάθη μπορούν να συμβούν και με το RPKI. Ένα συνηθισμένο πρόβλημα είναι η εισαγωγή λάθος αριθμού κατά τη δημιουργία μιας ROA, με αποτέλεσμα μια κατά τα άλλα νόμιμη διαδρομή να επισημαίνεται ως μη έγκυρη. Τότε οι χρήστες ενδέχεται να μην μπορούν να φτάσουν στο δίκτυο. Η λύση είναι η γρήγορη διόρθωση της εγγραφής και η δημοσίευση της ενημέρωσης. Μόλις διαδοθεί η ενημέρωση, η διαδρομή θα γίνει ξανά έγκυρη.

Ένα άλλο πρόβλημα είναι η διακοπή λειτουργίας του επικυρωτή. Αν ο εξυπηρετητής παρουσιάσει βλάβη, οι δρομολογητές μπορούν συνήθως να συνεχίσουν να ελέγχουν νέες διαδρομές με τα υπάρχοντα δεδομένα εξουσιοδότησης, όσο δεν έχει λήξει ο χρόνος διατήρησής τους στην κρυφή μνήμη. Όταν τα δεδομένα λήξουν ή διαγραφούν, η κατάσταση επικύρωσης μπορεί να γίνει NotFound, ανάλογα με την υλοποίηση. Η διακοπή του επικυρωτή δεν σημαίνει από μόνη της ότι μια διαδρομή είναι Invalid. Κάθε διαχειριστής χρειάζεται σαφή πολιτική για τη λήξη της κρυφής μνήμης. Η προσωρινή αποδοχή διαδρομών NotFound μπορεί να μειώσει τον κίνδυνο διαταραχών, αλλά χωρίς έγκυρα δεδομένα εξουσιοδότησης δεν υπάρχει εγγύηση ότι θα συνεχιστεί ο εντοπισμός και το φιλτράρισμα μη εξουσιοδοτημένων ισχυρισμών προέλευσης. Ο επικυρωτής πρέπει, επομένως, να αποκατασταθεί το συντομότερο δυνατό.

Διδάγματα από τους πρώτους χρήστες

Πολλά μεγάλα δίκτυα έχουν ήδη υλοποιήσει RPKI. Η εμπειρία τους δείχνει ότι, με σωστό σχεδιασμό, το σύστημα λειτουργεί αξιόπιστα. Οι διαχειριστές που ενεργοποιούν την επικύρωση προέλευσης και τις πολιτικές φιλτραρίσματος μπορούν να αποκλείουν αναγγελίες Invalid. Αυτές μπορεί να προκύπτουν από σφάλματα ρύθμισης ή να σχετίζονται με κατάληψη διαδρομών· η κατάσταση επικύρωσης από μόνη της δεν αποδεικνύει την αιτία. Και στις δύο περιπτώσεις, η επικύρωση προέλευσης βάσει RPKI και το φιλτράρισμα περιορίζουν την εξάπλωση της ζημιάς.

Οφέλη αναφέρουν και μικρά δίκτυα. Όπως λένε, μπορούν να εμπιστεύονται ευκολότερα τα ομότιμα δίκτυά τους όταν υπάρχει επικύρωση. Οι πελάτες αισθάνονται μεγαλύτερη ασφάλεια και οι συνεργάτες είναι πιο πρόθυμοι να συνεργαστούν με διαχειριστές που υλοποιούν RPKI. Οι πρώτοι χρήστες έδειξαν ότι το RPKI δεν αφορά μόνο μεγάλες εταιρείες: δίκτυα κάθε μεγέθους μπορούν να το υλοποιήσουν και να ωφεληθούν.

RPKI και σημεία ανταλλαγής κίνησης (IXP)

Τα σημεία ανταλλαγής διαδικτυακής κίνησης, ή IXP, αποτελούν κεντρικούς τόπους συνάντησης πολλών δικτύων. Επιτρέπουν στην κίνηση να περνά απευθείας μεταξύ παρόχων, χωρίς μεγάλες διαδρομές. Έτσι, διαχειρίζονται καθημερινά μεγάλο πλήθος διαδρομών. Αν ένας συμμετέχων αναγγείλει μια εσφαλμένη διαδρομή, το λάθος μπορεί να εξαπλωθεί γρήγορα μέσω του σημείου ανταλλαγής.

Η υλοποίηση RPKI σε ένα IXP μπορεί να μειώσει αυτόν τον κίνδυνο. Η επικύρωση προέλευσης και το φιλτράρισμα διαδρομών Invalid στους εξυπηρετητές διαδρομών ή στους δρομολογητές των μελών μπορούν να περιορίσουν τη διάδοση μη έγκυρων αναγγελιών μεταξύ τους. Για καταλήψεις διαδρομών που μπορεί να εντοπίσει η επικύρωση προέλευσης, αυτό βοηθά στο φιλτράρισμα των επηρεαζόμενων διαδρομών πριν φτάσουν σε πολλά ομότιμα δίκτυα, χωρίς όμως να εγγυάται ότι κάθε διαδρομή που προωθείται είναι σωστή. Έτσι ενισχύεται η εμπιστοσύνη όλων των συμμετεχόντων. Ορισμένα σημεία ανταλλαγής περιλαμβάνουν πλέον το RPKI στις προϋποθέσεις συμμετοχής και τα μέλη το θεωρούν επίσης ένδειξη αξιοπιστίας.

Το RPKI στην παγκόσμια ασφάλεια

Η δρομολόγηση είναι ένα από τα αθέατα επίπεδα του διαδικτύου και σπάνια προσελκύει το ενδιαφέρον του κοινού. Όταν ένα κοινωνικό δίκτυο ή μια τράπεζα τίθεται εκτός λειτουργίας, οι χρήστες βλέπουν το επιφανειακό πρόβλημα, όχι την αιτία του. Σε πολλές περιπτώσεις, η βασική αιτία είναι ένα σφάλμα δρομολόγησης. Χωρίς επικύρωση, τέτοια σφάλματα μπορούν να εξαπλωθούν ανεξέλεγκτα.

Το RPKI προσφέρει ένα παγκόσμιο επίπεδο ασφάλειας. Οι περιφέρειες μπορούν να ορίζουν δικές τους επιχειρησιακές πολιτικές, αλλά το RPKI χρησιμοποιεί κοινά τεχνικά πρότυπα. Κάθε περιφερειακό μητρώο διαδικτύου διατηρεί άγκυρες εμπιστοσύνης και οι επικυρωτές που έχουν ρυθμιστεί με τις κατάλληλες άγκυρες μπορούν να επικυρώνουν εξουσιοδοτήσεις προέλευσης από διαφορετικές περιφέρειες. Έτσι γίνεται δυνατή η διασυνοριακή επικύρωση. Η εξουσιοδότηση προέλευσης για ένα πρόθεμα που έχει κατανεμηθεί σε μια χώρα μπορεί να επικυρωθεί από δίκτυο άλλης χώρας. Η παγκόσμια κάλυψη είναι ένα από τα μεγαλύτερα πλεονεκτήματα του RPKI, γιατί το ίδιο το διαδίκτυο δεν έχει σύνορα.

Το μέλλον της υλοποίησης του RPKI

Η υιοθέτηση του RPKI συνεχίζει να αυξάνεται. Πολλοί μεγάλοι πάροχοι το χρησιμοποιούν ήδη, ενώ μικρότεροι διαχειριστές ακολουθούν σταδιακά. Στο μέλλον, μπορεί να θεωρείται αυτονόητο. Όπως η κρυπτογράφηση έγινε συνήθης για τη διαδικτυακή κίνηση, έτσι και η επικύρωση της δρομολόγησης μπορεί να γίνει ο κανόνας.

Οι προοπτικές εξαρτώνται επίσης από καλύτερη εκπαίδευση και εργαλεία. Αν οι επικυρωτές εγκαθίστανται ευκολότερα και τα μητρώα παρέχουν σαφέστερες οδηγίες, περισσότερα δίκτυα θα υλοποιήσουν RPKI. Οι κυβερνήσεις μπορεί επίσης να παρέμβουν μέσω πολιτικών, καθιστώντας το υποχρεωτικό για κρίσιμες υποδομές. Η συνολική τάση είναι προς ευρύτερη χρήση, όχι προς περιορισμό της.

Υποστήριξη και εκπαίδευση από την κοινότητα

Το RPKI μπορεί αρχικά να φαίνεται περίπλοκο, αλλά πολλές ομάδες της κοινότητας προσφέρουν βοήθεια. Οι διαχειριστές μοιράζονται οδηγούς, διοργανώνουν εργαστήρια και δημοσιεύουν μελέτες περιπτώσεων. Αυτοί οι πόροι διευκολύνουν την είσοδο μικρών εταιρειών χωρίς εξειδικευμένο προσωπικό ασφάλειας. Μαθαίνοντας από την εμπειρία άλλων, μπορούν να υλοποιήσουν RPKI με μικρότερο κίνδυνο.

Η εκπαίδευση είναι επίσης απαραίτητη για τη μακροπρόθεσμη επιτυχία. Ομάδες που κατανοούν πώς λειτουργούν οι ROA και οι επικυρωτές είναι λιγότερο πιθανό να κάνουν λάθη. Όσο περισσότεροι εργαζόμενοι κατανοούν το σύστημα, τόσο ασφαλέστερος γίνεται ολόκληρος ο οργανισμός. Η υποστήριξη της κοινότητας και η εκπαίδευση μπορούν να στηρίξουν την υιοθέτηση του RPKI.

Ο ρόλος του RPKI στην εμπιστοσύνη

Το διαδίκτυο λειτουργεί μέσω συμφωνιών μεταξύ ανεξάρτητων δικτύων. Κάθε δίκτυο πρέπει να εμπιστεύεται ότι τα υπόλοιπα θα ενεργούν έντιμα. Στο παρελθόν, αυτή η εμπιστοσύνη βασιζόταν αποκλειστικά σε προφορικές διαβεβαιώσεις ή συμβατικούς όρους. Με το RPKI, αποκτά τεχνική βάση: η απόδειξη αντικαθιστά την τυφλή πίστη.

Αυτή η τεχνικά θεμελιωμένη εμπιστοσύνη έχει σημασία για τις επιχειρήσεις. Οι πελάτες θέλουν να γνωρίζουν ότι τα δεδομένα τους είναι ασφαλή· οι συνεργάτες θέλουν διαβεβαίωση ότι οι διαδρομές δεν θα εξαφανιστούν· οι επενδυτές θέλουν δίκτυα που ακολουθούν βέλτιστες πρακτικές. Η υλοποίηση του RPKI στέλνει σαφές μήνυμα ότι ο διαχειριστής παίρνει σοβαρά την ασφάλεια. Με τον καιρό, αυτή η εμπιστοσύνη γίνεται μέρος της φήμης του, και η φήμη μπορεί να αξίζει όσο και το ίδιο το δίκτυο.

RPKI και πάροχοι υπολογιστικού νέφους

Οι πλατφόρμες υπολογιστικού νέφους εξαρτώνται από σταθερή, αδιάλειπτη δρομολόγηση. Φιλοξενούν εκατομμύρια ιστοτόπους και εφαρμογές και οποιαδήποτε διακοπή μπορεί να προκαλέσει σημαντικές απώλειες. Πολλοί πάροχοι έχουν αρχίσει να υλοποιούν RPKI για να προστατεύσουν τον χώρο διευθύνσεών τους. Αυτό ενισχύει την εμπιστοσύνη των πελατών και βοηθά στη μείωση του κινδύνου διακοπής υπηρεσιών λόγω κατάληψης της προέλευσης διαδρομών.

Οι εταιρείες υπολογιστικού νέφους συχνά αντιμετωπίζουν περίπλοκα περιβάλλοντα δρομολόγησης, επειδή λειτουργούν ταυτόχρονα σε πολλές περιφέρειες. Το RPKI μπορεί να βοηθήσει στην επαλήθευση των αυτόνομων συστημάτων που έχουν εξουσιοδότηση να αποτελούν την προέλευση διαδρομών για τα σχετικά προθέματα. Το φιλτράρισμα μη έγκυρων διαδρομών βάσει των αποτελεσμάτων επικύρωσης μειώνει τον κίνδυνο εσφαλμένης κατεύθυνσης της κίνησης. Ωστόσο, η επικύρωση προέλευσης βάσει ROA δεν μπορεί να επικυρώσει ολόκληρη τη διαδρομή AS ούτε να εγγυηθεί ότι η κίνηση θα ακολουθήσει την προβλεπόμενη διαδρομή. Γι’ αυτό οι πάροχοι υπολογιστικού νέφους θεωρούν πλέον το RPKI μέρος των θεμελίων εμπιστοσύνης των επιχειρήσεών τους.

Περιφερειακή υιοθέτηση και πολιτικές

Δεν προχωρούν όλες οι περιφέρειες με τον ίδιο ρυθμό. Σε ορισμένες, η υιοθέτηση του RPKI ήταν γρήγορη χάρη στην ισχυρή υποστήριξη πολιτικής από τα μητρώα. Σε άλλες, είναι πιο αργή, επειδή οι διαχειριστές είναι επιφυλακτικοί ή διαθέτουν περιορισμένους πόρους.

Ορισμένες περιοχές έχουν αρχίσει να συστήνουν το RPKI ως βασική απαίτηση για τους διαχειριστές· άλλες ενθαρρύνουν την υιοθέτηση με κίνητρα ή υποστήριξη εκπαίδευσης. Αυτές οι τάσεις δείχνουν ότι το RPKI θα γίνει βασική προσδοκία παγκοσμίως, ακόμη κι αν ο ρυθμός υιοθέτησης διαφέρει ανά περιφέρεια.

Κόστος και οφέλη του RPKI

Για μικρούς διαχειριστές, αυτές οι εργασίες μπορεί να φαίνονται απαιτητικές, αλλά τα οφέλη είναι σαφή. Το RPKI μπορεί να μειώσει τους κινδύνους κατάληψης διαδρομών, να συμβάλει στη σταθερότητα της δρομολόγησης και να δείξει στους συνεργάτες ότι ένα δίκτυο είναι ασφαλές και αξιόπιστο. Πολλές εταιρείες το θεωρούν πλέον βασικό στοιχείο ορθής λειτουργίας. Το κόστος υλοποίησης και συντήρησης μπορεί να είναι χαμηλό σε σχέση με τις απώλειες από μια μεγάλη κατάληψη διαδρομών ή διακοπή δικτύου. Γι’ αυτό περισσότερα δίκτυα το υιοθετούν κάθε χρόνο.

Συχνές ερωτήσεις

• Ποιος είναι ο κύριος σκοπός του RPKI;
  Επιτρέπει στους κατόχους πόρων διευθυνσιοδότησης να εξουσιοδοτούν, με επαληθεύσιμο τρόπο, συγκεκριμένα αυτόνομα συστήματα ως προέλευση διαδρομών για τα σχετικά προθέματα. Σε συνδυασμό με την επικύρωση προέλευσης και τις πολιτικές φιλτραρίσματος, αυτό βοηθά στον αποκλεισμό μη εξουσιοδοτημένων αναγγελιών προέλευσης και βελτιώνει την ασφάλεια της δρομολόγησης.

• Μπορεί το RPKI να λύσει κάθε πρόβλημα δρομολόγησης;
  Όχι. Η επικύρωση προέλευσης βάσει ROA μπορεί να εντοπίσει αναγγελίες που δεν συμφωνούν με έγκυρες εξουσιοδοτήσεις και, μαζί με πολιτικές φιλτραρίσματος, να μειώσει τον κίνδυνο ορισμένων καταλήψεων και εσφαλμένων αναγγελιών. Άλλα προβλήματα, όπως οι διαρροές διαδρομών, παραμένουν. Η ολοκληρωμένη προστασία απαιτεί πρόσθετα εργαλεία.

• Υποστηρίζουν όλοι οι δρομολογητές επικύρωση RPKI;
  Όχι. Ο παλαιότερος εξοπλισμός μπορεί να χρειάζεται αναβάθμιση. Οι περισσότεροι σύγχρονοι δρομολογητές υποστηρίζουν ήδη RPKI, ενώ μπορούν να βοηθήσουν και εργαλεία ανοιχτού κώδικα.

• Τι συμβαίνει αν ο επικυρωτής σταματήσει να λειτουργεί;
  Οι δρομολογητές μπορούν συνήθως να συνεχίσουν να χρησιμοποιούν τα υπάρχοντα δεδομένα εξουσιοδότησης μέχρι να λήξει ο χρόνος διατήρησής τους στην κρυφή μνήμη. Μετά τη λήξη ή την εκκαθάρισή της, οι επηρεαζόμενες διαδρομές μπορεί να γίνουν NotFound, ανάλογα με την υλοποίηση. Μια πολιτική που επιτρέπει τις διαδρομές NotFound μπορεί να μειώσει τον κίνδυνο διαταραχών, αλλά δεν εγγυάται κανονική ροή κίνησης ούτε συνεχή εντοπισμό όλων των αναγγελιών με μη έγκυρη προέλευση. Ο επικυρωτής πρέπει και πάλι να αποκατασταθεί το συντομότερο δυνατό.

• Είναι υποχρεωτική η υλοποίηση του RPKI;
  Στις περισσότερες περιφέρειες δεν είναι υποχρεωτική, αλλά συνιστάται έντονα. Ορισμένοι κλαδικοί φορείς και ρυθμιστικές αρχές έχουν αρχίσει να την καθιστούν απαίτηση.