אימות נתיבים ב-RPKI
אימות מקור נתיב (RFC 6811) מול העותק שלנו של רשומות ה-ROA המאומתות מעוגני האמון של חמשת הרשמים.
תשתית המפתח הציבורי למשאבים (RPKI) מאפשרת לבעל בלוק IP לפרסם הרשאת מקור נתיב (ROA) חתומה: הצהרה ש-AS מסוים רשאי להכריז על הבלוק, עד אורך קידומת מקסימלי. רשתות שמבצעות אימות מקור נתיב משתמשות בהן כדי לדחות נתיבים שסותרים אותן.
לאימות מקור נתיב (RFC 6811) יש שלוש תוצאות. נתיב הוא תקף כש-ROA מכסה את הקידומת, מציין את ה-AS המכריז ומתיר את האורך שלה. הוא לא תקף כשרשומות ROA מכסות את הקידומת אבל אף אחת לא מתאימה: AS אחר מכריז עליה, או שהיא ספציפית יותר ממה שהאורך המקסימלי מתיר. הוא לא נמצא כשאין ROA שמכסה אותו, ואז RPKI לא אומר עליו דבר.
אנחנו מאמתים מול העותק שלנו של רשומות ה-ROA המאומתות, שנבנה מעוגני האמון של חמשת הרשמים על ידי פרויקט rpki-client ומתעדכן כל כמה שעות. השאירו את שדה ה-AS ריק כדי לאמת את המקור שטבלת ה-BGP שלנו רואה כרגע. בדף ישראל במספרים מופיע כמה מהנתיבים של רשתות ישראליות תקפים.
שאלות נפוצות
הנתיב שלי לא תקף. מה עכשיו?
בדרך כלל רשומת ה-ROA לא מעודכנת: הקידומת עברה ל-AS אחר, או שהוכרזה תת-קידומת בלי להגדיל את האורך המקסימלי. בעל בלוק הכתובות יכול לתקן זאת בפורטל ה-RPKI של הרשם שלו (לרשתות ישראליות – פורטל ה-LIR של RIPE NCC).
האם „לא נמצא” אומר שמשהו לא בסדר?
לא. זה אומר שהבעלים לא יצר רשומות ROA. הנתיב מתקבל כמו קודם; הוא פשוט לא מוגן.
מה זה ROA של AS0?
ROA שמציין AS 0 מצהיר שאף אחד לא אמור להכריז על הקידומת. נתיבים שהוא מכסה הופכים ללא תקפים, אלא אם ROA אחר מאמת אותם.