So funktioniert’s
- 1.Gib ein Präfix wie
193.0.0.0/21oder2001:67c:2e8::/48ein, oder eine einzelne IP-Adresse, um das angekündigte Präfix zu finden, zu dem sie gehört. - 2.Bereitest du eine neue Ankündigung vor, gib zusätzlich das AS an, von dem aus du ankündigen willst, zum Beispiel
AS3333. - 3.Klicke auf „Abfragen“. Oben im Ergebnis steht, ob BGP, RPKI und die IRRs übereinstimmen, und falls nicht, was du korrigieren musst.
- 4.Wechsle zwischen den Tabs für die Details: die Ankündigung mit Sichtbarkeit und AS-Pfaden, die ROAs und jedes Route-Objekt mit seinem IRR. Um viele Präfixe zu prüfen, wähle „Mehrere Präfixe“ und füge eines pro Zeile ein.
Bevor du ein Präfix ankündigst
Ob ein anderes Netz eine neue Route annimmt, entscheidet seine Routing-Policy. Zwei Prüfungen zählen am meisten. RPKI: Eine ROA, signiert im Portal deiner Registry, muss dein Origin-AS nennen und eine Max-Length, die mindestens so lang ist wie das angekündigte Präfix; sonst ist die Route RPKI invalid, und Netze, die invalid Routen ablehnen, verwerfen sie. Und das IRR: Viele Transit-Provider und IXP-Route-Server bauen ihre Filter aus Route-Objekten (route für IPv4, route6 für IPv6), hinter einem solchen Upstream muss also eines mit deinem Präfix und deinem Origin-AS existieren. Frag deinen Upstream, aus welchen IRR-Quellen er seine Filter baut.
Willst du More-Specifics ankündigen, zum Beispiel /24s aus einem /22, muss die Max-Length der ROA sie erlauben. Sonst sind sie RPKI invalid, während das /22 selbst valid ist. Halte die Max-Length so kurz wie nötig: Eine großzügige Max-Length erlaubt einem Angreifer, eine spezifischere Route mit deinem AS als Origin anzukündigen.
Leg das Route-Objekt in der Datenbank der Registry an, die den Adressraum verwaltet (RIPE, ARIN, APNIC, LACNIC oder AFRINIC). Objekte in RADB oder anderen IRRs von Drittanbietern akzeptieren viele Netze, aber nicht alle.
Was das Ergebnis zeigt
Die Sichtbarkeit zählt die Route-Collector-Peers von RIPE RIS, die genau dieses Präfix sehen. Ein sauber angekündigtes Präfix sehen fast alle; ein deutlich geringerer Anteil bedeutet, dass manche Netze es filtern, oft wegen RPKI oder eines fehlenden Route-Objekts.
„Gesehen über“ listet das AS neben dem Origin in den gesammelten Pfaden. Meist sind das deine Upstreams, es können aber auch Netze sein, mit denen du peerst, oder ein IXP-Route-Server, denn Collectors stehen auch an Internetknoten. AS Path Prepending (der wiederholte Origin) wird angezeigt, damit du prüfen kannst, ob dein Traffic Engineering wie geplant wirkt.
Die RPKI-Zustände folgen RFC 6811: valid, wenn eine abdeckende ROA den Origin nennt und die Länge erlaubt; invalid, wenn ROAs existieren, aber keine passt (falsches AS oder zu lang); not found, wenn überhaupt keine ROA das Präfix abdeckt. Die Validierung markiert die Route nur. Was dann passiert, legt jedes Netz in seiner Policy fest (RFC 6811 überlässt das dem Betreiber): Viele lehnen invalid Routen ab, andere bevorzugen nur valid Routen oder prüfen RPKI gar nicht.
Häufige Fragen
Wie prüfe ich, ob mein Präfix angekündigt wird?
Gib das Präfix ein und sieh dir Status und Sichtbarkeit an. Wird es angekündigt, siehst du das Origin-AS und wie viele Collector-Peers von RIPE RIS es sehen. Eine neue Ankündigung taucht meist innerhalb weniger Minuten auf.
Was bedeutet RPKI invalid?
Eine ROA deckt das Präfix ab, erlaubt aber dieses Origin-AS oder diese Präfixlänge nicht. RPKI markiert die Route nur, doch viele große Netze, darunter die meisten großen Transit-Provider, lehnen RPKI-invalid-Routen per Policy ab. Korrigiere die ROA also vor der Ankündigung: Leg eine ROA für das richtige AS an oder erhöhe ihre Max-Length auf die Länge des angekündigten Präfixes.
Brauche ich sowohl eine ROA als auch ein Route-Objekt?
In der Praxis ja. RPKI schützt überall dort vor Hijacks, wo Netze invalid Routen ablehnen, während viele Transit-Provider und IXP-Route-Server ihre Präfixfilter weiterhin aus Route-Objekten im IRR bauen. Ohne Route-Objekt kann ein solcher Upstream deine Ankündigung filtern, selbst wenn RPKI valid ist.
Kann ich viele Präfixe auf einmal prüfen?
Ja. Wähle „Mehrere Präfixe“ und füge bis zu 50 Präfixe ein, eines pro Zeile, optional jeweils gefolgt vom geplanten AS. Du bekommst für jede Zeile den Ankündigungsstatus, den RPKI-Zustand und die Route-Objekte und kannst das Ergebnis als CSV kopieren oder jedes Präfix im Detail öffnen.
Warum zeigt mein Präfix ein anderes Origin-AS?
Entweder kündigt es noch ein früherer Inhaber oder dein Provider an, oder es wird versehentlich angekündigt oder ist gehijackt. Vergleiche den Origin mit deiner ROA und deinen Route-Objekten; gehört es nicht dir, kontaktiere das Origin-Netz und deine Registry.
Wie aktuell sind die Daten?
Sichtbarkeit und AS-Pfade in BGP stammen von RIPE RIS und sind wenige Minuten alt. Route-Objekte und ROAs laufen erst durch mehrere Mirrors und Validatoren, eine gerade gemachte Änderung kann daher einige Stunden brauchen, bis sie erscheint.