Come si usa
- 1.Inserisci un prefisso come
193.0.0.0/21o2001:67c:2e8::/48, oppure un singolo indirizzo IP per trovare il prefisso annunciato a cui appartiene. - 2.Se stai preparando un nuovo annuncio, aggiungi l’AS da cui annuncerai, per esempio
AS3333. - 3.Fai clic su Cerca. In cima al risultato vedi se BGP, RPKI e gli IRR concordano e, se non è così, cosa correggere.
- 4.Passa da una scheda all’altra per i dettagli: l’annuncio con visibilità e AS path, i ROA e ogni route object con il relativo IRR. Per verificare molti prefissi, scegli «Più prefissi» e incollali uno per riga.
Prima di annunciare un prefisso
Se un’altra rete accetta una nuova route lo decide la sua routing policy. Contano soprattutto due controlli. RPKI: un ROA, firmato nel portale del tuo registro, deve indicare il tuo origin AS e una max length almeno pari alla lunghezza del prefisso che annunci; altrimenti la route è RPKI invalid e le reti che rifiutano le route invalid la scartano. E l’IRR: molti transit provider e route server degli IXP generano i filtri dai route object (route per IPv4, route6 per IPv6), quindi dietro un upstream del genere ne deve esistere uno con il tuo prefisso e il tuo origin AS. Chiedi al tuo upstream da quali fonti IRR genera i filtri.
Se intendi annunciare dei more specific, per esempio dei /24 ricavati da un /22, la max length del ROA deve consentirli, altrimenti risultano RPKI invalid mentre il /22 stesso è valid. Tieni la max length corta quanto basta: una max length generosa permette a un attaccante di annunciare una route più specifica con il tuo AS come origin.
Crea il route object nel database del registro che gestisce lo spazio di indirizzi (RIPE, ARIN, APNIC, LACNIC o AFRINIC). Gli oggetti in RADB o in altri IRR di terze parti sono accettati da molte reti, ma non da tutte.
Cosa mostra il risultato
La visibilità conta i peer dei route collector di RIPE RIS che vedono esattamente quel prefisso. Un prefisso annunciato bene è visto da quasi tutti; una quota molto più bassa significa che alcune reti lo filtrano, spesso per via di RPKI o di un route object mancante.
«Visto attraverso» elenca l’AS accanto all’origin nei path raccolti. Di solito sono i tuoi upstream, ma possono essere anche reti con cui fai peering o il route server di un IXP, perché i collector si trovano anche negli exchange point. L’AS path prepending (l’origin ripetuto) viene mostrato per permetterti di verificare che il traffic engineering funzioni come previsto.
Gli stati RPKI seguono la RFC 6811: valid quando un ROA che copre il prefisso indica l’origin e consente la lunghezza, invalid quando esistono ROA ma nessuno corrisponde (AS sbagliato o prefisso troppo lungo), e not found quando nessun ROA copre il prefisso. La validazione si limita a etichettare la route. Cosa succede dopo lo decide la policy di ogni rete (la RFC 6811 lo lascia all’operatore): molte rifiutano le route invalid, altre si limitano a preferire quelle valid o non guardano affatto RPKI.
Domande frequenti
Come verifico se il mio prefisso è annunciato?
Inserisci il prefisso e guarda Stato e Visibilità. Se è annunciato, vedi l’origin AS e quanti peer dei collector di RIPE RIS lo vedono. Un nuovo annuncio compare di solito entro pochi minuti.
Cosa significa RPKI invalid?
Un ROA copre il prefisso, ma non consente questo origin AS o questa lunghezza del prefisso. RPKI si limita a etichettare la route, ma molte grandi reti, tra cui la maggior parte dei grandi transit provider, rifiutano per policy le route RPKI invalid. Quindi correggi il ROA prima di annunciare: aggiungi un ROA per l’AS giusto o aumenta la max length fino alla lunghezza del prefisso che annunci.
Servono sia un ROA sia un route object?
In pratica sì. RPKI protegge dagli hijack dove le reti rifiutano le route invalid, mentre molti transit provider e route server degli IXP generano ancora i filtri sui prefissi dai route object IRR. Senza route object un upstream del genere può filtrare il tuo annuncio anche se RPKI è valid.
Posso verificare molti prefissi in una volta?
Sì. Scegli «Più prefissi» e incolla fino a 50 prefissi, uno per riga, facoltativamente ciascuno seguito dall’AS che intendi usare. Per ogni riga ottieni lo stato dell’annuncio, lo stato RPKI e i route object, e puoi copiare il risultato come CSV o aprire qualsiasi prefisso nel dettaglio.
Perché il mio prefisso mostra un origin AS diverso?
O il prefisso è ancora annunciato da un precedente assegnatario o dal tuo provider, oppure è annunciato per errore o è vittima di un hijack. Confronta l’origin con il tuo ROA e i tuoi route object; se non è il tuo, contatta la rete di origine e il tuo registro.
Quanto sono aggiornati i dati?
Visibilità BGP e AS path provengono da RIPE RIS e hanno pochi minuti. Route object e ROA passano prima attraverso diversi mirror e validator, quindi una modifica appena fatta può richiedere qualche ora per comparire.