ROA i obiekty route: kiedy prefiks jest chroniony

ROA i obiekt route

Weryfikacja i ochrona dotyczą prefiksów IPv4 o długości do /24 włącznie, ogłoszonych w sesji BGP. AS-SET grupuje Twój numer systemu autonomicznego (AS) i numery AS sieci downstream, a filtr ogłoszeń przyjmuje prefiksy z obiektów route pod każdym z nich. Ani ROA, ani obiekt route nie potwierdza, że to Ty posługujesz się numerem AS, dlatego prawo do numeru oświadczasz w umowie.

Stany RPKI

Walidacja ogłoszenia według RPKI (RFC 6811) daje jeden z trzech stanów. Kolumna „U nas” opisuje pierwszą weryfikację prefiksu objętego obiektem route.

Przykłady

W przykładach Twoja sieć ma numer AS64496 i AS-SET AS64496:AS-PRZYKLAD, do którego należy też AS64497 sieci downstream. AS64510 jest AS-em innej sieci. Obiekty route są w bazie RIPE, chyba że w wierszu podano inaczej.

Sieci downstream

ROA sieci downstream wskazuje jej numer AS, a nie Twój. Uznajemy taki ROA, gdy ten AS należy do Twojego AS-SET-u w bazie RIR-u. Przy prefiksie panel podaje „sieć własna”, gdy obiekt route jest pod Twoim numerem AS, albo „sieć downstream”, gdy jest pod numerem AS należącym do Twojego AS-SET-u.

Wyniki w panelu

Kolumna Weryfikacja na liście prefiksów podaje wynik, a pod nim jego podstawę albo powód odmowy.

Zastrzeżenie

Gdy prefiks, który przeszedł weryfikację, nie przejdzie kolejnego sprawdzenia, pod wynikiem pojawia się „Zastrzeżenie od” z datą. Ochrona działa dalej. Sprawdź ROA i obiekt route, a jeżeli są poprawne, skontaktuj się z NOC.

Bazy RIR zamiast RADB

Filtr ogłoszeń budujemy i AS-SET rozwijamy wyłącznie na podstawie baz pięciu RIR-ów, bo tylko w nich utworzenie obiektu route wymaga zgody posiadacza adresów.

Jeżeli AS-SET jest wyłącznie w RADB, nie znajdziemy go w bazach RIR i filtr nie przyjmie żadnego Twojego ogłoszenia. Polecenie bgpq4, którym sprawdzisz zawartość naszego filtra, podajemy w artykule o przygotowaniu sesji BGP.

Jak ustawić maxLength

ROA bez pola maxLength dopuszcza wyłącznie ogłoszenie o długości prefiksu z ROA. Pole maxLength rozszerza to na prefiksy bardziej szczegółowe, do podanej długości.

Ustaw maxLength na długość, którą faktycznie ogłaszasz. Przy większym maxLength bardziej szczegółowy prefiks ogłoszony przez kogokolwiek z Twoim AS jako AS-em źródłowym przejdzie walidację i przejmie ruch kierowany do tej części Twojej przestrzeni. Dlatego RFC 9319 zaleca osobny ROA dla każdego ogłaszanego prefiksu zamiast jednego ROA z dużym maxLength.

Jak utworzyć obiekt route i ROA

W regionie RIPE NCC obiekt route i AS-SET tworzysz w bazie RIPE, a ROA w RPKI Dashboard. U pozostałych RIR-ów obiekty tworzy się tak samo, w ich bazach i systemach RPKI.

route:          198.18.0.0/22
origin:         AS64496
mnt-by:         PRZYKLAD-MNT
source:         RIPE

as-set:         AS64496:AS-PRZYKLAD
members:        AS64496
members:        AS64497
admin-c:        <nic-hdl>
tech-c:         <nic-hdl>
mnt-by:         PRZYKLAD-MNT
source:         RIPE

Nowy AS-SET w bazie RIPE musi mieć nazwę hierarchiczną zaczynającą się od numeru Twojego AS, na przykład AS64496:AS-PRZYKLAD. AS-SET-y o krótkich nazwach założone wcześniej działają dalej.

AS-SET wymienia w polu members Twój AS i AS-y sieci downstream. Dla prefiksów każdej z tych sieci potrzebne są obiekty route z jej numerem AS w polu origin. Tworząc ROA, podajesz prefiks, AS uprawniony do jego rozgłaszania i maxLength.

Pytania