Porque precisam os operadores de rede de uma autorização de origem de rota (ROA)
Uma ROA indica que rede pode originar uma rota. Saiba como prepará-la, verificar o seu efeito e mudar de rede sem confundir um registo assinado com uma garantia de entrega.
Uma autorização de origem associa um bloco de endereços a uma rede autorizada a anunciá-lo. Não garante todo o percurso.
Os seus endereços não mudaram, mas quer que outra rede os anuncie. A nova ligação está pronta. Será que o resto da Internet vai aceitar a rota? Uma autorização de origem de rota, ou ROA, é um dos registos que é necessário acertar antes da mudança.
Permite ao titular dos endereços indicar que sistema autónomo pode originar rotas para um prefixo — um bloco de endereços IP. Essa declaração fornece às outras redes elementos que podem verificar. Não anuncia a rota, não transporta pacotes nem garante que todos os fornecedores a aceitem.
Começar pelo anúncio que pretende fazer
Um sistema autónomo é uma rede com uma política de encaminhamento própria, identificada por um ASN. O ASN de origem é o que aparece como ponto de partida da rota anunciada. O sistema autónomo de origem não é necessariamente operado pela organização registada como titular dos endereços.
Antes de publicar uma autorização, identifique o prefixo, o ASN de origem pretendido e quaisquer prefixos mais específicos que realmente planeie anunciar. O formato ROA definido na RFC 9582 associa um ASN a prefixos e aos respetivos comprimentos máximos permitidos. Um prefixo mais longo descreve um bloco de endereços mais pequeno.
Por exemplo, autorizar um determinado /24 é diferente de autorizar todos os blocos mais pequenos nele contidos. Um maxLength desnecessariamente abrangente concede mais liberdade do que o anúncio atual exige. A RFC 9319 explica por que razão os operadores devem manter essa autorização precisa.
Publicar e verificar são tarefas distintas
Um titular publica material de autorização assinado através da sua infraestrutura RPKI. O software de validação de uma rede recetora verifica esse material e produz um conjunto de registos validados. Os seus encaminhadores podem usar esses registos para comparar as origens das rotas recebidas. O operador configura a forma como o resultado afeta o encaminhamento.
Uma origem correspondente e um comprimento de prefixo permitido produzem Valid. Uma autorização que abranja o prefixo, mas sem correspondência, produz Invalid. A ausência de uma autorização que abranja o prefixo produz NotFound. Estes três estados distinguem a falta de um registo de um registo em conflito. Uma ROA num repositório não bloqueia, por si só, um anúncio falso em toda a parte.
Fazer a alteração pela ordem certa
Se um bloco de endereços passar para outra origem, prepare a autorização necessária antes de depender do novo anúncio. Quando se utilizam intencionalmente ambas as origens durante uma transição, as autorizações têm de refletir esse plano. Observe os dados que chegam aos validadores e às redes recetoras e confirme depois as rotas efetivas e a alcançabilidade. Retire as permissões obsoletas quando deixarem de ser necessárias.
Não existe um instante universal em que todos os encaminhadores veem um novo registo. A publicação RPKI, a validação e as atualizações dos encaminhadores têm os seus próprios tempos; reduzir um TTL de DNS não os controla. A RFC 7115 aborda as diferenças operacionais entre caches e atualizações.
Teste origens e comprimentos de prefixo incorretos num laboratório isolado. Em produção, monitorize as rotas pretendidas, os dados de validação, o estado das sessões e as políticas usadas pelos seus fornecedores. Validadores redundantes ajudam a lidar com falhas individuais, mas as suas fontes de dados, o software e a configuração podem continuar a partilhar dependências.
Manter as restantes verificações
A validação da origem não autentica todo o percurso de sistemas autónomos, não impede todas as fugas de rotas nem cifra o tráfego dos utilizadores. Os filtros de prefixos, as relações de encaminhamento e outros controlos operacionais continuam a ser importantes. Se uma rota falhar, investigue a divergência exata e a política da rede recetora; nem eliminar toda a validação nem presumir que cada rota Invalid é um ataque constitui um diagnóstico sólido.
A segurança deve servir quem opera a rede
Lu Heng defende, na Nota 28, que a manutenção de registos essenciais não deve transformar-se em punição discricionária. Uma autorização assinada útil é uma declaração técnica; não é um mandato ilimitado para a instituição que mantém os registos que a enquadram.
Na Nota 64, defende regras comuns verificáveis localmente, registos de coordenação portáveis e a possibilidade de os participantes escolherem quanto a alterações futuras. Para os operadores de rede, a razão para se interessarem é a continuidade: saber de que registos depende o serviço, quem os pode alterar e como os elementos de verificação corretos poderiam continuar utilizáveis se uma entidade coordenadora falhasse.
Prossiga com por que razão um prefixo IPv4 muda de ASN de origem para distinguir uma alteração de encaminhamento de uma mudança de titular.