Perché gli operatori di rete hanno bisogno dell’autorizzazione dell’origine della rotta (ROA)

Un’autorizzazione dell’origine collega un blocco di indirizzi alla rete autorizzata ad annunciarlo. Non garantisce l’intero percorso.

I tuoi indirizzi non sono cambiati, ma vuoi che un’altra rete li annunci. La nuova connessione è pronta. Il resto di Internet accetterà la rotta? Una route origin authorization, o ROA, è uno dei record da configurare correttamente prima del cambiamento.

Consente al titolare degli indirizzi di dichiarare quale sistema autonomo può originare le rotte per un prefisso, cioè un blocco di indirizzi IP. Questa dichiarazione fornisce alle altre reti un’evidenza da verificare. Non annuncia la rotta, non trasporta pacchetti e non garantisce che ogni provider la accetti.

Inizia dall’annuncio che intendi effettuare

Un sistema autonomo è una rete con una propria politica di routing, identificata da un ASN. L’ASN di origine è quello mostrato come punto di partenza della rotta annunciata. Il sistema autonomo che origina la rotta non è necessariamente gestito dall’organizzazione indicata come titolare degli indirizzi.

Prima di pubblicare un’autorizzazione, identifica il prefisso, l’ASN di origine previsto e gli eventuali prefissi più specifici che intendi realmente annunciare. Il formato ROA descritto in RFC 9582 collega un ASN ai prefissi e alle loro lunghezze massime consentite. Un prefisso più lungo descrive un blocco di indirizzi più piccolo.

Per esempio, consentire uno specifico /24 è diverso dal consentire ogni blocco più piccolo al suo interno. Un maxLength inutilmente ampio concede più margine di quanto richieda l’annuncio attuale. RFC 9319 spiega perché gli operatori dovrebbero mantenere precisa questa autorizzazione.

Pubblicare e verificare sono attività diverse

Un titolare pubblica il materiale di autorizzazione firmato attraverso la propria configurazione RPKI. Il software di validazione della rete ricevente verifica quel materiale e produce un insieme di record validati. I router possono usare quei record per confrontare le origini delle rotte in ingresso. L’operatore configura il modo in cui il risultato incide sul routing.

Un’origine corrispondente e una lunghezza di prefisso consentita producono lo stato Valid. Un’autorizzazione che copre il prefisso ma non corrisponde produce Invalid. L’assenza di un’autorizzazione di copertura produce NotFound. Questi tre stati distinguono un record mancante da uno in conflitto. Una ROA presente in un repository, da sola, non blocca un annuncio falso ovunque.

Esegui il cambiamento nell’ordine giusto

Se un blocco di indirizzi deve passare a un’altra origine, prepara l’autorizzazione necessaria prima di fare affidamento sul nuovo annuncio. Se entrambe le origini devono essere usate intenzionalmente durante una transizione, le autorizzazioni devono riflettere quel piano. Osserva i dati che raggiungono i validatori e le reti riceventi, poi conferma le rotte effettive e la raggiungibilità. Ritira i permessi obsoleti quando non sono più necessari.

Non esiste un istante universale in cui tutti i router vedono un nuovo record. Pubblicazione RPKI, validazione e aggiornamenti dei router hanno tempi propri; ridurre il TTL del DNS non li controlla. RFC 7115 illustra le differenze operative tra cache e aggiornamenti.

Prova origini e lunghezze di prefisso errate in un laboratorio isolato. In produzione, monitora le rotte previste, i dati di validazione, lo stato delle sessioni e le policy usate dai provider. I validatori ridondanti aiutano contro i singoli guasti, ma le loro fonti dati, il software e la configurazione possono condividere dipendenze.

Mantieni i controlli rimanenti

La validazione dell’origine non autentica l’intero percorso AS, non blocca ogni route leak e non cifra il traffico degli utenti. I filtri sui prefissi, le relazioni di routing e gli altri controlli operativi restano importanti. Se una rotta fallisce, analizza l’esatta mancata corrispondenza e la policy ricevente; né rimuovere ogni validazione né presumere che ogni rotta Invalid sia un attacco costituisce una diagnosi solida.

La sicurezza deve servire le persone che gestiscono la rete

Lu Heng sostiene nella Nota 28 che la tenuta dei record essenziali non debba diventare una punizione discrezionale. Un’autorizzazione firmata utile è un’asserzione tecnica; non è un mandato illimitato per l’istituzione che mantiene i record circostanti.

Nella Nota 64, chiede regole comuni verificabili localmente, record di coordinamento portabili e libertà dei partecipanti nelle modifiche future. Per gli operatori di rete, il motivo per cui conta è la continuità: sapere da quali record dipende il servizio, chi può modificarli e come le evidenze accurate potrebbero restare utilizzabili se un coordinatore viene meno.

Leggi perché un prefisso IPv4 cambia ASN di origine per distinguere un cambiamento di routing da un cambiamento del titolare.