Γιατί οι διαχειριστές δικτύων χρειάζονται εξουσιοδότηση προέλευσης διαδρομής (ROA)

Μια εξουσιοδότηση προέλευσης συνδέει ένα μπλοκ διευθύνσεων με ένα δίκτυο που επιτρέπεται να το αναγγέλλει. Δεν εγγυάται ολόκληρη τη διαδρομή.

Οι διευθύνσεις σας δεν έχουν αλλάξει, αλλά θέλετε να τις αναγγείλει ένα άλλο δίκτυο. Η νέα σύνδεση είναι έτοιμη. Θα αποδεχθεί τη διαδρομή το υπόλοιπο Διαδίκτυο; Μια εξουσιοδότηση προέλευσης διαδρομής, ή ROA, είναι μία από τις εγγραφές που πρέπει να ρυθμιστούν σωστά πριν από την αλλαγή.

Επιτρέπει στον κάτοχο διευθύνσεων να δηλώσει ποιο αυτόνομο σύστημα επιτρέπεται να αποτελεί την προέλευση διαδρομών για ένα πρόθεμα, δηλαδή ένα μπλοκ διευθύνσεων IP. Η δήλωση αυτή δίνει στα άλλα δίκτυα στοιχεία για έλεγχο. Δεν αναγγέλλει τη διαδρομή, δεν μεταφέρει πακέτα και δεν εγγυάται ότι κάθε πάροχος θα την αποδεχθεί.

Ξεκινήστε από την αναγγελία που σκοπεύετε να κάνετε

Ένα αυτόνομο σύστημα είναι ένα δίκτυο με τη δική του πολιτική δρομολόγησης, που αναγνωρίζεται από έναν αριθμό ASN. Το ASN προέλευσης είναι εκείνο που εμφανίζεται ως σημείο εκκίνησης της αναγγελλόμενης διαδρομής. Το αυτόνομο σύστημα από το οποίο προέρχεται η διαδρομή δεν τελεί απαραίτητα υπό τη διαχείριση του οργανισμού που αναφέρεται ως κάτοχος των διευθύνσεων.

Πριν δημοσιεύσετε μια εξουσιοδότηση, προσδιορίστε το πρόθεμα, το προβλεπόμενο ASN προέλευσης και τυχόν πιο συγκεκριμένα προθέματα που πράγματι σχεδιάζετε να αναγγείλετε. Η μορφή ROA στο RFC 9582 συνδέει ένα ASN με προθέματα και τα επιτρεπόμενα μέγιστα μήκη τους. Ένα μεγαλύτερο μήκος προθέματος περιγράφει μικρότερο μπλοκ διευθύνσεων.

Για παράδειγμα, η άδεια για ένα συγκεκριμένο /24 διαφέρει από την άδεια για κάθε μικρότερο μπλοκ μέσα σε αυτό. Ένα υπερβολικά ευρύ maxLength δίνει μεγαλύτερο περιθώριο από όσο χρειάζεται η τρέχουσα αναγγελία. Το RFC 9319 εξηγεί γιατί οι διαχειριστές πρέπει να διατηρούν αυτή την εξουσιοδότηση ακριβή.

Η δημοσίευση και ο έλεγχος είναι διαφορετικές εργασίες

Ο κάτοχος δημοσιεύει υπογεγραμμένο υλικό εξουσιοδότησης μέσω της υποδομής RPKI που χρησιμοποιεί. Το λογισμικό επικύρωσης του δικτύου που λαμβάνει το υλικό το ελέγχει και παράγει ένα σύνολο επικυρωμένων εγγραφών. Οι δρομολογητές του μπορούν να χρησιμοποιούν αυτές τις εγγραφές για να συγκρίνουν τις προελεύσεις των εισερχόμενων διαδρομών. Ο διαχειριστής ρυθμίζει τον τρόπο με τον οποίο το αποτέλεσμα επηρεάζει τη δρομολόγηση.

Όταν η προέλευση αντιστοιχεί στην εξουσιοδότηση και το μήκος του προθέματος επιτρέπεται, η κατάσταση είναι Valid. Αν υπάρχει εξουσιοδότηση που καλύπτει το πρόθεμα αλλά καμία αντιστοίχιση, η κατάσταση είναι Invalid. Αν καμία εξουσιοδότηση δεν καλύπτει το πρόθεμα, η κατάσταση είναι NotFound. Αυτές οι τρεις καταστάσεις διακρίνουν την απουσία εγγραφής από την ύπαρξη αντικρουόμενης εγγραφής. Μια ROA σε ένα αποθετήριο δεν εμποδίζει από μόνη της μια ψευδή αναγγελία παντού.

Κάντε την αλλαγή με τη σωστή σειρά

Αν ένα μπλοκ διευθύνσεων πρόκειται να μετακινηθεί σε άλλη προέλευση, προετοιμάστε την απαιτούμενη εξουσιοδότηση πριν βασιστείτε στη νέα αναγγελία. Όταν και οι δύο προελεύσεις χρησιμοποιούνται σκόπιμα κατά τη μετάβαση, οι εξουσιοδοτήσεις πρέπει να αντανακλούν αυτό το σχέδιο. Παρατηρήστε τα δεδομένα που φτάνουν στους επικυρωτές και στα δίκτυα λήψης και έπειτα επιβεβαιώστε τις πραγματικές διαδρομές και την προσβασιμότητα. Αποσύρετε τις παρωχημένες άδειες όταν δεν χρειάζονται πλέον.

Δεν υπάρχει μία καθολική στιγμή κατά την οποία όλοι οι δρομολογητές βλέπουν μια νέα εγγραφή. Η δημοσίευση RPKI, η επικύρωση και οι ενημερώσεις δρομολογητών έχουν τον δικό τους χρόνο· η μείωση του TTL του DNS δεν καθορίζει αυτούς τους χρόνους. Το RFC 7115 συζητά τις λειτουργικές διαφορές ανάμεσα στις κρυφές μνήμες και τις ενημερώσεις.

Δοκιμάστε εσφαλμένες προελεύσεις και μήκη προθεμάτων σε απομονωμένο εργαστήριο. Στην παραγωγή, παρακολουθείτε τις προβλεπόμενες διαδρομές, τα δεδομένα επικύρωσης, την κατάσταση των συνόδων και τις πολιτικές που χρησιμοποιούν οι πάροχοι. Η χρήση περισσότερων επικυρωτών προσφέρει εφεδρεία σε περίπτωση μεμονωμένης αστοχίας, αλλά οι πηγές δεδομένων, το λογισμικό και η διαμόρφωσή τους μπορεί να μοιράζονται εξαρτήσεις.

Διατηρήστε τους υπόλοιπους ελέγχους

Η επικύρωση προέλευσης δεν πιστοποιεί ολόκληρη τη διαδρομή AS, δεν σταματά κάθε διαρροή διαδρομής και δεν κρυπτογραφεί την κίνηση των χρηστών. Τα φίλτρα προθεμάτων, οι σχέσεις δρομολόγησης και οι άλλοι λειτουργικοί έλεγχοι εξακολουθούν να έχουν σημασία. Αν μια διαδρομή αποτύχει, εξετάστε την ακριβή ασυμφωνία και την πολιτική του δικτύου λήψης· ούτε η κατάργηση κάθε επικύρωσης ούτε η υπόθεση ότι κάθε διαδρομή Invalid είναι επίθεση αποτελεί ορθή διάγνωση.

Η ασφάλεια πρέπει να υπηρετεί τους ανθρώπους που διαχειρίζονται το δίκτυο

Ο Lu Heng υποστηρίζει στο Σημείωμα 28 ότι η απαραίτητη τήρηση εγγραφών δεν πρέπει να μετατραπεί σε μέσο τιμωρίας κατά τη διακριτική ευχέρεια του διαχειριστή. Μια χρήσιμη υπογεγραμμένη εξουσιοδότηση είναι τεχνικός ισχυρισμός· δεν αποτελεί απεριόριστη εντολή για τον θεσμό που διατηρεί τις συναφείς εγγραφές.

Στο Σημείωμα 64, ζητά κοινούς κανόνες που επαληθεύονται τοπικά, φορητές εγγραφές συντονισμού και ελευθερία των συμμετεχόντων να επιλέγουν τις μελλοντικές αλλαγές. Για τους διαχειριστές δικτύων, το ζητούμενο είναι η συνέχεια της λειτουργίας: να γνωρίζουν από ποιες εγγραφές εξαρτάται η υπηρεσία, ποιος μπορεί να τις αλλάξει και πώς ακριβή στοιχεία θα μπορούσαν να παραμείνουν χρήσιμα αν ένας συντονιστής πάψει να λειτουργεί.

Διαβάστε στη συνέχεια γιατί ένα πρόθεμα IPv4 αλλάζει ASN προέλευσης για να διαχωρίσετε μια αλλαγή δρομολόγησης από μια αλλαγή κατόχου.