Jak nástroj použít
- 1.Zadejte prefix, například
193.0.0.0/21nebo2001:67c:2e8::/48, nebo jednu IP adresu, ke které chcete najít oznamovaný prefix. - 2.Pokud chystáte nové oznámení, doplňte AS, ze kterého budete prefix oznamovat, například
AS3333. - 3.Klikněte na Vyhledat. V horní části výsledku uvidíte, zda BGP, RPKI a IRR souhlasí, a pokud ne, co je potřeba opravit.
- 4.Podrobnosti najdete v záložkách: oznámení s viditelností a AS path, ROA a všechny route objekty i s IRR, ve kterém jsou. Chcete-li zkontrolovat více prefixů, zvolte „Více prefixů“ a vložte je po jednom na řádek.
Než začnete prefix oznamovat
Zda jiná síť nový prefix přijme, určuje její routing policy. Nejvíc záleží na dvou kontrolách. RPKI: ROA podepsaná v portálu vašeho RIR musí uvádět váš origin AS a max length alespoň tak dlouhou, jako je oznamovaný prefix; jinak je routa RPKI invalid a sítě, které invalid routy odmítají, ji zahodí. A IRR: řada tranzitních operátorů a route serverů na IXP generuje filtry z route objektů (route pro IPv4, route6 pro IPv6), takže za takovým upstreamem musí existovat objekt s vaším prefixem a origin AS. Zeptejte se svého upstreamu, z jakých zdrojů IRR filtry staví.
Pokud chcete oznamovat specifičtější prefixy (more specifics), například /24 z /22, musí je povolovat max length v ROA, jinak budou RPKI invalid, přestože samotná /22 je valid. Max length ale nastavte jen tak dlouhou, jak opravdu potřebujete: příliš velkorysá max length umožní útočníkovi oznámit specifičtější prefix s vaším AS jako originem.
Route objekt vytvořte v databázi registru, který adresní prostor spravuje (RIPE, ARIN, APNIC, LACNIC nebo AFRINIC). Objekty v RADB a dalších IRR třetích stran řada sítí akceptuje, ale ne všechny.
Co výsledek ukazuje
Viditelnost udává, kolik peerů route kolektorů RIPE RIS vidí přesně tento prefix. Dobře oznámený prefix vidí téměř všichni; výrazně nižší podíl znamená, že ho některé sítě filtrují, často kvůli RPKI nebo chybějícímu route objektu.
„Viditelný přes“ uvádí AS, který v nasbíraných AS path stojí hned vedle originu. Obvykle jsou to vaše upstreamy, ale může jít i o sítě, se kterými peerujete, nebo o route server na IXP, protože kolektory jsou i na peeringových uzlech. AS path prepending (opakovaný origin) se zobrazuje, abyste si mohli ověřit, že traffic engineering funguje, jak má.
Stavy RPKI odpovídají RFC 6811: valid, když pokrývající ROA uvádí origin AS a povoluje danou délku; invalid, když ROA existují, ale žádná nesedí (špatný AS nebo příliš dlouhý prefix); not found, když prefix nepokrývá žádná ROA. Validace routu jen označí. Co s ní síť udělá, určuje její policy (RFC 6811 to nechává na operátorovi): řada sítí invalid routy odmítá, jiné jen upřednostní valid routy nebo RPKI vůbec nekontrolují.
Otázky a odpovědi
Jak zjistím, jestli se můj prefix oznamuje?
Zadejte prefix a podívejte se na Stav a Viditelnost. Pokud se oznamuje, uvidíte origin AS a kolik peerů route kolektorů RIPE RIS ho vidí. Nové oznámení se obvykle objeví do několika minut.
Co znamená RPKI invalid?
Prefix pokrývá ROA, která ale nepovoluje tento origin AS nebo tuto délku prefixu. Samotné RPKI routu jen označí, ale řada velkých sítí, včetně většiny velkých tranzitních operátorů, RPKI-invalid routy podle své policy odmítá. Proto ROA opravte ještě před oznámením: vytvořte ROA pro správný AS, nebo zvyšte její max length tak, aby pokryla délku oznamovaného prefixu.
Potřebuji ROA i route objekt?
V praxi ano. RPKI chrání před hijackem tam, kde sítě invalid routy odmítají, zatímco řada tranzitních operátorů a route serverů na IXP stále generuje prefix filtry z route objektů v IRR. Bez route objektu může vaše oznámení takový upstream odfiltrovat, i když je RPKI valid.
Mohu zkontrolovat více prefixů najednou?
Ano. Zvolte „Více prefixů“ a vložte až 50 prefixů, jeden na řádek, případně s AS, ze kterého je chcete oznamovat. U každého řádku uvidíte, zda se oznamuje, stav RPKI a route objekty. Výsledek můžete zkopírovat jako CSV nebo kterýkoli prefix otevřít v detailu.
Proč má můj prefix jiný origin AS?
Prefix buď stále oznamuje předchozí držitel nebo váš poskytovatel, nebo ho někdo oznamuje omylem či jde o hijack. Porovnejte origin se svou ROA a route objekty; pokud origin není váš, kontaktujte síť, která prefix originuje, a svůj registr.
Jak aktuální jsou data?
Viditelnost v BGP a AS path pocházejí z RIPE RIS a jsou staré jen několik minut. Route objekty a ROA procházejí nejdřív několika mirrory a validátory, takže čerstvá změna se může projevit až za několik hodin.