Mode d’emploi
- 1.Saisissez un préfixe comme
193.0.0.0/21ou2001:67c:2e8::/48, ou une seule adresse IP pour trouver le préfixe annoncé auquel elle appartient. - 2.Si vous préparez une nouvelle annonce, ajoutez l’AS depuis lequel vous allez annoncer, par exemple
AS3333. - 3.Cliquez sur Rechercher. Le haut du résultat indique si BGP, RPKI et les IRR concordent, et ce qu’il faut corriger dans le cas contraire.
- 4.Passez d’un onglet à l’autre pour les détails : l’annonce avec sa visibilité et ses AS paths, les ROA, et chaque objet route avec son IRR. Pour vérifier de nombreux préfixes, choisissez « Plusieurs préfixes » et collez-en un par ligne.
Avant d’annoncer un préfixe
C’est la politique de routage de chaque réseau qui décide s’il accepte une nouvelle route. Deux vérifications comptent le plus. RPKI : un ROA, signé dans le portail de votre registre, doit indiquer votre origin AS et une max length au moins égale à la longueur du préfixe annoncé ; sinon la route est RPKI invalid, et les réseaux qui rejettent les routes invalid l’écartent. Et l’IRR : de nombreux opérateurs de transit et route servers d’IXP construisent leurs filtres à partir des objets route (route pour IPv4, route6 pour IPv6) ; derrière un tel upstream, il doit donc en exister un avec votre préfixe et votre origin AS. Demandez à votre upstream de quelles sources IRR il tire ses filtres.
Si vous prévoyez d’annoncer des more specifics, par exemple des /24 issus d’un /22, la max length du ROA doit les autoriser, sinon ils sont RPKI invalid alors que le /22 lui-même est valid. Gardez la max length aussi courte que nécessaire : une max length trop large permet à un attaquant d’annoncer une route plus spécifique avec votre AS comme origine.
Créez l’objet route dans la base de données du registre qui gère l’espace d’adressage (RIPE, ARIN, APNIC, LACNIC ou AFRINIC). Les objets dans RADB ou d’autres IRR tiers sont acceptés par de nombreux réseaux, mais pas par tous.
Ce que montre le résultat
La visibilité compte les peers des route collectors de RIPE RIS qui voient le préfixe exact. Un préfixe bien annoncé est vu par presque tous ; une part nettement plus faible signifie que certains réseaux le filtrent, souvent à cause de RPKI ou d’un objet route manquant.
« Vu via » liste l’AS voisin de l’origine dans les chemins collectés. Ce sont généralement vos upstreams, mais il peut aussi s’agir de réseaux avec lesquels vous faites du peering ou d’un route server d’IXP, car des collecteurs se trouvent aussi sur les points d’échange. L’AS path prepending (l’origine répétée) est affiché pour que vous puissiez vérifier que votre ingénierie de trafic fonctionne comme prévu.
Les états RPKI suivent la RFC 6811 : valid lorsqu’un ROA couvrant indique l’origine et autorise la longueur, invalid lorsque des ROA existent mais qu’aucun ne correspond (mauvais AS ou préfixe trop long), et not found lorsqu’aucun ROA ne couvre le préfixe. La validation ne fait qu’étiqueter la route. La suite dépend de la politique de chaque réseau (la RFC 6811 la laisse à l’opérateur) : beaucoup rejettent les routes invalid, d’autres préfèrent seulement les routes valid ou ne regardent pas RPKI du tout.
Questions fréquentes
Comment vérifier si mon préfixe est annoncé ?
Saisissez le préfixe et regardez Statut et Visibilité. S’il est annoncé, vous voyez l’origin AS et le nombre de peers des collecteurs RIPE RIS qui le voient. Une nouvelle annonce apparaît généralement en quelques minutes.
Que signifie RPKI invalid ?
Un ROA couvre le préfixe, mais il n’autorise pas cet origin AS ou cette longueur de préfixe. RPKI ne fait qu’étiqueter la route, mais de nombreux grands réseaux, dont la plupart des grands opérateurs de transit, rejettent par politique les routes RPKI invalid. Corrigez donc le ROA avant d’annoncer, en ajoutant un ROA pour le bon AS ou en augmentant sa max length jusqu’à la longueur de préfixe que vous annoncez.
Faut-il à la fois un ROA et un objet route ?
En pratique, oui. RPKI protège contre les détournements là où les réseaux rejettent les routes invalid, tandis que de nombreux opérateurs de transit et route servers d’IXP construisent encore leurs filtres de préfixes à partir des objets route des IRR. Sans objet route, un tel upstream peut filtrer votre annonce même si elle est RPKI valid.
Puis-je vérifier plusieurs préfixes à la fois ?
Oui. Choisissez « Plusieurs préfixes » et collez jusqu’à 50 préfixes, un par ligne, chacun éventuellement suivi de l’AS que vous prévoyez d’utiliser. Vous obtenez pour chaque ligne le statut de l’annonce, l’état RPKI et les objets route, et vous pouvez copier le résultat en CSV ou ouvrir n’importe quel préfixe en détail.
Pourquoi mon préfixe affiche-t-il un autre origin AS ?
Soit le préfixe est encore annoncé par un ancien titulaire ou par votre fournisseur, soit il est annoncé par erreur ou détourné. Comparez l’origine avec votre ROA et vos objets route ; s’il ne s’agit pas de votre AS, contactez le réseau d’origine et votre registre.
Les données sont-elles à jour ?
La visibilité BGP et les AS paths proviennent de RIPE RIS et datent de quelques minutes. Les objets route et les ROA passent d’abord par plusieurs miroirs et validateurs : une modification que vous venez de faire peut donc mettre quelques heures à apparaître.