Cómo se usa
- 1.Escribe un prefijo como
193.0.0.0/21o2001:67c:2e8::/48, o una sola dirección IP para encontrar el prefijo anunciado al que pertenece. - 2.Si estás preparando un anuncio nuevo, añade el AS desde el que vas a anunciarlo, por ejemplo
AS3333. - 3.Haz clic en Consultar. La parte superior del resultado indica si BGP, RPKI y los IRR coinciden y, si no, qué hay que corregir.
- 4.Cambia de pestaña para ver los detalles: el anuncio con su visibilidad y sus AS paths, los ROA y cada objeto route con su IRR. Para comprobar muchos prefijos, elige «Varios prefijos» y pega uno por línea.
Antes de anunciar un prefijo
Que otra red acepte una ruta nueva depende de su política de enrutamiento. Dos comprobaciones pesan más. RPKI: un ROA, firmado en el portal de tu registro, debe indicar tu AS de origen y una max length al menos tan larga como el prefijo que anuncias; si no, la ruta es RPKI invalid y las redes que rechazan las rutas invalid la descartan. Y el IRR: muchos proveedores de tránsito y route servers de IXP generan sus filtros a partir de objetos route (route para IPv4, route6 para IPv6), así que detrás de un upstream así debe existir uno con tu prefijo y tu AS de origen. Pregunta a tu upstream de qué fuentes IRR genera sus filtros.
Si vas a anunciar more specifics, por ejemplo varios /24 de un /22, la max length del ROA tiene que permitirlos; si no, serán RPKI invalid aunque el propio /22 sea valid. Mantén la max length tan corta como necesites: una max length generosa permite a un atacante anunciar una ruta más específica con tu AS como origen.
Crea el objeto route en la base de datos del registro que gestiona ese espacio de direcciones (RIPE, ARIN, APNIC, LACNIC o AFRINIC). Muchas redes aceptan objetos en RADB u otros IRR de terceros, pero no todas.
Qué muestra el resultado
La visibilidad cuenta los peers de los colectores de rutas de RIPE RIS que ven exactamente ese prefijo. Un prefijo bien anunciado lo ven casi todos; una proporción mucho menor significa que algunas redes lo filtran, a menudo por RPKI o por falta de un objeto route.
«Visto a través de» muestra el AS situado junto al origen en los paths recogidos. Normalmente son tus upstreams, pero también pueden ser redes con las que haces peering o un route server de IXP, porque también hay colectores en los puntos de intercambio. El AS path prepending (el origen repetido) se muestra para que puedas confirmar que tu ingeniería de tráfico funciona como esperas.
Los estados de RPKI siguen el RFC 6811: valid cuando un ROA que cubre el prefijo indica el origen y permite la longitud, invalid cuando existen ROA pero ninguno coincide (AS incorrecto o prefijo demasiado largo), y not found cuando ningún ROA cubre el prefijo. La validación solo etiqueta la ruta. Qué pasa después lo decide la política de cada red (el RFC 6811 lo deja en manos del operador): muchas rechazan las rutas invalid, otras solo prefieren las valid o no miran RPKI en absoluto.
Preguntas frecuentes
¿Cómo compruebo si mi prefijo está anunciado?
Escribe el prefijo y mira Estado y Visibilidad. Si está anunciado, verás el AS de origen y cuántos peers de los colectores de RIPE RIS lo ven. Un anuncio nuevo suele aparecer en pocos minutos.
¿Qué significa RPKI invalid?
Un ROA cubre el prefijo, pero no permite este AS de origen o esta longitud de prefijo. RPKI únicamente etiqueta la ruta, pero muchas redes grandes, incluida la mayoría de los grandes proveedores de tránsito, rechazan por política las rutas RPKI invalid. Así que corrige el ROA antes de anunciar: añade un ROA para el AS correcto o aumenta su max length hasta la longitud del prefijo que anuncias.
¿Necesito un ROA y también un objeto route?
En la práctica, sí. RPKI protege frente a hijacks allí donde las redes rechazan las rutas invalid, mientras que muchos proveedores de tránsito y route servers de IXP siguen generando sus filtros de prefijos a partir de los objetos route del IRR. Sin un objeto route, un upstream así puede filtrar tu anuncio aunque RPKI sea valid.
¿Puedo comprobar muchos prefijos a la vez?
Sí. Elige «Varios prefijos» y pega hasta 50 prefijos, uno por línea, cada uno seguido opcionalmente del AS que vas a usar. Para cada línea obtienes el estado del anuncio, el estado RPKI y los objetos route, y puedes copiar el resultado como CSV o abrir cualquier prefijo en detalle.
¿Por qué mi prefijo aparece con otro AS de origen?
O bien el prefijo lo sigue anunciando un titular anterior o tu proveedor, o bien se anuncia por error o ha sido secuestrado (hijack). Compara el origen con tu ROA y tus objetos route; si no es tuyo, ponte en contacto con la red de origen y con tu registro.
¿Con qué frecuencia se actualizan los datos?
La visibilidad en BGP y los AS paths vienen de RIPE RIS y tienen minutos de antigüedad. Los objetos route y los ROA pasan antes por varios mirrors y validadores, así que un cambio que acabas de hacer puede tardar unas horas en aparecer.