Por que os operadores de rede precisam de autorização de origem de rota (ROA)
Uma ROA declara qual rede pode originar uma rota. Saiba como prepará-la, verificar seu efeito e mudar de rede sem confundir um registro assinado com a garantia de entrega.
Uma autorização de origem vincula um bloco de endereços a uma rede autorizada a anunciá-lo. Ela não garante todo o percurso.
Seus endereços não mudaram, mas você quer que outra rede os anuncie. A nova conexão está pronta. O restante da Internet aceitará a rota? Uma autorização de origem de rota, ou ROA, é um dos registros que precisam estar corretos antes da mudança.
Ela permite que o titular dos endereços declare qual sistema autônomo pode originar rotas para um prefixo — um bloco de endereços IP. Essa declaração fornece às outras redes evidências que elas podem verificar. Ela não anuncia a rota, não transporta pacotes nem garante que todos os provedores a aceitarão.
Comece pelo anúncio que você pretende fazer
Um sistema autônomo é uma rede com política própria de roteamento, identificada por um ASN. O ASN de origem é aquele que aparece como ponto de partida da rota anunciada. O sistema autônomo de origem não é necessariamente operado pela organização registrada como titular dos endereços.
Antes de publicar uma autorização, identifique o prefixo, seu ASN de origem pretendido e quaisquer prefixos mais específicos que você de fato planeja anunciar. O formato de ROA definido na RFC 9582 vincula um ASN a prefixos e a seus comprimentos máximos permitidos. Um prefixo mais longo descreve um bloco de endereços menor.
Por exemplo, autorizar um /24 específico é diferente de autorizar todos os blocos menores contidos nele. Um maxLength desnecessariamente amplo concede mais liberdade do que o anúncio atual precisa. A RFC 9319 explica por que os operadores devem manter essa autorização precisa.
Publicar e verificar são tarefas separadas
Um titular publica material de autorização assinado por meio de sua estrutura de RPKI. O software de validação da rede que recebe os anúncios verifica esse material e produz um conjunto de registros validados. Seus roteadores podem usar esses registros para comparar as origens das rotas recebidas. O operador configura como o resultado afeta o roteamento.
Uma origem correspondente e um comprimento de prefixo permitido produzem Valid. Uma autorização que abrange o prefixo, mas sem correspondência, produz Invalid. A ausência de autorização que abranja o prefixo produz NotFound. Esses três estados distinguem um registro ausente de um registro conflitante. Uma ROA armazenada em um repositório não bloqueia, por si só, um anúncio falso em toda parte.
Faça a mudança na ordem correta
Se um bloco de endereços passar a ter outra origem, prepare a autorização necessária antes de depender do novo anúncio. Quando as duas origens estiverem intencionalmente em uso durante uma transição, as autorizações deverão refletir esse plano. Observe os dados que chegam aos validadores e às redes receptoras; em seguida, confirme as rotas efetivas e a alcançabilidade. Retire as permissões obsoletas quando elas deixarem de ser necessárias.
Não existe um instante universal em que todos os roteadores passam a enxergar um novo registro. A publicação e a validação da RPKI, assim como as atualizações dos roteadores, têm seus próprios tempos; reduzir um TTL do DNS não controla esses processos. A RFC 7115 discute as diferenças operacionais entre caches e atualizações.
Teste origens e comprimentos de prefixo incorretos em um laboratório isolado. Em produção, monitore as rotas pretendidas, os dados de validação, o estado das sessões e as políticas usadas por seus provedores. Validadores redundantes ajudam diante de falhas individuais, mas suas fontes de dados, seu software e sua configuração ainda podem compartilhar dependências.
Mantenha as demais verificações
A validação de origem não autentica todo o caminho de sistemas autônomos, não impede todo vazamento de rotas nem criptografa o tráfego dos usuários. Filtros de prefixos, relações de roteamento e outros controles operacionais continuam importantes. Se uma rota falhar, investigue a divergência exata e a política da rede receptora; nem remover toda a validação nem presumir que toda rota Invalid é um ataque constitui um diagnóstico adequado.
A segurança deve servir a quem opera a rede
Lu Heng argumenta na Nota 28 que a manutenção de registros essenciais não deve se transformar em punição discricionária. Uma autorização assinada útil é uma declaração técnica; não é um mandato ilimitado para a instituição que mantém os registros relacionados.
Na Nota 64, ele defende regras comuns verificáveis localmente, registros de coordenação portáveis e a liberdade dos participantes para decidir sobre mudanças futuras. Para os operadores de rede, a razão para se importar é a continuidade: saiba de quais registros seu serviço depende, quem pode alterá-los e como evidências corretas poderiam continuar utilizáveis se um coordenador falhasse.
Prossiga com por que um prefixo IPv4 muda de ASN de origem para distinguir uma mudança de roteamento de uma mudança de titular.