Gå til innholdet
ipaddress.no

RPKI-rutevalidator

Validering av ruteopprinnelse (RFC 6811) mot vår kopi av validerte ROA-data fra tillitsankrene til de fem RIR-ene.

Resource Public Key Infrastructure (RPKI) lar innehaveren av en IP-blokk publisere en signert Route Origin Authorisation (ROA): en erklæring om at et bestemt AS får være opphav til blokken, opp til en maksimal prefikslengde. Nettverk som validerer ruteopprinnelse, bruker disse til å avvise ruter som strider mot dem.

Validering av ruteopprinnelse (RFC 6811) har tre utfall. En rute er gyldig når en ROA dekker prefikset, nevner opprinnelses-AS-et og tillater lengden. Den er ugyldig når ROA-er dekker prefikset, men ingen passer: enten er et annet AS opphav, eller prefikset er mer spesifikt enn maksimal lengde tillater. Den er ikke funnet når ingen ROA dekker den, og da sier RPKI ingenting om den.

Vi validerer mot vår egen kopi av validerte ROA-data, bygget fra tillitsankrene til de fem RIR-ene av rpki-client-prosjektet og oppdatert med noen timers mellomrom. La AS-feltet stå tomt for å validere opphavet BGP-tabellen vår ser akkurat nå. Blant norske nettverk er de aller fleste annonserte rutene dekket av en gyldig ROA – se tallene på siden om Norges internett.

Ofte stilte spørsmål

Ruten min er ugyldig. Hva nå?

Som regel er ROA-en utdatert: prefikset er flyttet til et annet AS, eller en mer spesifikk rute ble annonsert uten at maksimal lengde ble økt. Innehaveren av adresseblokken kan rette det i RPKI-portalen til sitt RIR (for norske nettverk RIPE NCC).

Betyr «ikke funnet» at noe er galt?

Nei. Det betyr at innehaveren ikke har laget ROA-er. Ruten godtas som før; den er bare ikke beskyttet.

Hva er en AS0-ROA?

En ROA som nevner AS 0, erklærer at ingen skal være opphav til prefikset. Ruter den dekker, blir ugyldige med mindre en annen ROA validerer dem.

Relatert