Zašto je mrežnim operaterima potrebna autorizacija porijekla rute (ROA)

Autorizacija porijekla povezuje adresni blok s mrežom kojoj je dozvoljeno da ga oglašava. Ona ne garantuje cijeli put paketa.

Vaše adrese se nisu promijenile, ali želite da ih druga mreža oglašava. Nova veza je spremna. Hoće li ostatak interneta prihvatiti rutu? Autorizacija porijekla rute, ili ROA, jedan je od zapisa koji treba ispravno urediti prije promjene.

Ona omogućava nosiocu adresa da navede koji autonomni sistem smije biti porijeklo ruta za prefiks, odnosno blok IP adresa. Ta izjava drugim mrežama daje dokaz koji mogu provjeriti. Ona ne oglašava rutu, ne prenosi pakete i ne garantuje da će je svaki provajder prihvatiti.

Počnite od rute koju namjeravate oglašavati

Autonomni sistem je mreža s vlastitom politikom rutiranja, identifikovana ASN-om. Izvorni ASN je onaj koji je prikazan kao početna tačka oglašene rute. Autonomnim sistemom koji je porijeklo rute ne mora upravljati organizacija navedena kao nosilac adresa.

Prije objavljivanja ovlaštenja odredite prefiks, planirani izvorni ASN i sve specifičnije prefikse koje zaista namjeravate oglašavati. ROA format u RFC 9582 povezuje ASN s prefiksima i njihovim dozvoljenim maksimalnim dužinama. Duži prefiks opisuje manji adresni blok.

Na primjer, dozvoliti određeni /24 nije isto što i dozvoliti svaki manji blok unutar njega. Nepotrebno širok maxLength daje više prostora nego što je potrebno za trenutno oglašavanje. RFC 9319 objašnjava zašto operateri to ovlaštenje treba da drže preciznim.

Objavljivanje i provjera su odvojeni poslovi

Nosilac adresa objavljuje potpisani materijal ovlaštenja kroz svoje RPKI podešavanje. Softver za validaciju mreže koja prima materijal provjerava ga i proizvodi skup validiranih zapisa. Ruteri mogu koristiti te zapise za poređenje porijekla dolaznih ruta. Operater podešava kako rezultat utiče na rutiranje.

Podudarno porijeklo i dozvoljena dužina prefiksa daju stanje Valid. Ovlaštenje koje pokriva prefiks bez podudaranja daje Invalid. Ako nema ovlaštenja koje ga pokriva, stanje je NotFound. Ova tri stanja razlikuju nepostojanje zapisa od postojanja proturječnog zapisa. ROA koja se nalazi u repozitoriju sama po sebi ne blokira lažno oglašavanje svuda.

Promjenu napravite pravim redoslijedom

Ako će adresni blok preći na drugo porijeklo, pripremite potrebno ovlaštenje prije nego što se oslonite na novo oglašavanje. Kada se oba porijekla namjerno koriste tokom prelaza, ovlaštenja moraju odražavati taj plan. Posmatrajte podatke koji stižu do validatora i mreža koje ih primaju, a zatim potvrdite stvarne rute i dostupnost. Povucite zastarjela prava kada više nisu potrebna.

Ne postoji univerzalni trenutak u kojem svi ruteri vide novi zapis. RPKI objavljivanje, validacija i ažuriranja rutera imaju vlastito vrijeme; smanjenje DNS TTL-a ih ne kontroliše. RFC 7115 govori o operativnim razlikama između keširanja i ažuriranja.

Testirajte pogrešna porijekla i dužine prefiksa u izolovanoj laboratoriji. U produkciji pratite predviđene rute, podatke validacije, stanje sesija i politike koje koriste vaši provajderi. Redundantni validatori pomažu kod pojedinačnih kvarova, ali njihovi izvori podataka, softver i konfiguracija i dalje mogu dijeliti zavisnosti.

Zadržite preostale provjere

Validacija porijekla ne autentifikuje cijelu AS putanju, ne zaustavlja svako curenje ruta i ne šifruje korisnički saobraćaj. Filteri prefiksa, odnosi rutiranja i druge operativne kontrole i dalje su važni. Ako ruta ne uspije, istražite tačnu nepodudarnost i politiku mreže koja je prima; ni uklanjanje svake validacije ni pretpostavka da je svaka Invalid ruta napad nisu dobra dijagnoza.

Sigurnost treba da služi ljudima koji upravljaju mrežom

Lu Heng u Bilješci 28 tvrdi da vođenje osnovnih zapisa ne smije postati sredstvo kažnjavanja po slobodnoj procjeni. Korisno potpisano ovlaštenje jeste tehnička tvrdnja; nije neograničeni mandat instituciji koja održava okolne zapise.

U Bilješci 64 poziva na lokalno provjerljiva zajednička pravila, prenosive koordinacijske zapise i izbor učesnika o budućim promjenama. Za mrežne operatere to je važno zbog kontinuiteta: treba da znaju od kojih zapisa usluga zavisi, ko ih može promijeniti i kako bi tačni dokazi mogli ostati upotrebljivi ako koordinator otkaže.

Nastavite s tekstom zašto IPv4 prefiks mijenja izvorni ASN da biste razdvojili promjenu rutiranja od promjene nosioca adresa.