Jak korzystać z narzędzia
- 1.Wpisz prefiks, np.
193.0.0.0/21lub2001:67c:2e8::/48, albo pojedynczy adres IP, aby znaleźć ogłaszany prefiks, do którego należy. - 2.Jeśli przygotowujesz nowe ogłoszenie, dodaj AS, z którego będziesz ogłaszać prefiks, np.
AS3333. - 3.Kliknij Wyszukaj. Na górze wyniku zobaczysz, czy BGP, RPKI i bazy IRR są zgodne, a jeśli nie, co trzeba poprawić.
- 4.Przełączaj się między kartami, aby zobaczyć szczegóły: ogłoszenie z widocznością i AS path, ROA oraz wszystkie obiekty route wraz z bazą IRR. Aby sprawdzić wiele prefiksów naraz, wybierz „Wiele prefiksów” i wklej je po jednym w wierszu.
Zanim ogłosisz prefiks
O tym, czy inna sieć zaakceptuje nową trasę, decyduje jej polityka routingu. Najwięcej znaczą dwie kontrole. RPKI: ROA podpisana w portalu Twojego rejestru musi wskazywać Twój origin AS i mieć max length co najmniej taki, jak długość ogłaszanego prefiksu; inaczej trasa jest RPKI invalid, a sieci, które nie przyjmują tras invalid, ją odrzucą. Oraz IRR: wielu dostawców tranzytu i route serwery IXP budują filtry z obiektów route (route dla IPv4, route6 dla IPv6), więc za takim upstreamem musi istnieć obiekt z Twoim prefiksem i origin AS. Zapytaj swój upstream, z jakich źródeł IRR buduje filtry.
Jeśli planujesz ogłaszać more specifics, np. /24 z puli /22, max length w ROA musi je dopuszczać. W przeciwnym razie będą RPKI invalid, choć sam /22 jest valid. Ustaw max length tylko tak długi, jak potrzebujesz: zbyt hojny pozwala atakującemu ogłosić bardziej szczegółową trasę z Twoim AS jako originem.
Utwórz obiekt route w bazie rejestru, który zarządza daną przestrzenią adresową (RIPE, ARIN, APNIC, LACNIC lub AFRINIC). Obiekty w RADB lub innych zewnętrznych bazach IRR akceptuje wiele sieci, ale nie wszystkie.
Co pokazuje wynik
Widoczność to liczba peerów kolektorów RIPE RIS, które widzą dokładnie ten prefiks. Dobrze ogłoszony prefiks widzą prawie wszyscy; znacznie niższy odsetek oznacza, że część sieci go filtruje, często z powodu RPKI lub brakującego obiektu route.
„Widoczny przez” wymienia AS sąsiadujące z originem w zebranych ścieżkach. Zwykle są to Twoje upstreamy, ale mogą to być też sieci, z którymi masz peering, albo route serwer IXP, bo kolektory stoją również w punktach wymiany ruchu. AS path prepending (powtórzony origin) jest pokazywany, żeby można było sprawdzić, czy traffic engineering działa zgodnie z zamierzeniem.
Stany RPKI są zgodne z RFC 6811: valid, gdy obejmująca ROA wskazuje origin i dopuszcza długość prefiksu; invalid, gdy ROA istnieją, ale żadna nie pasuje (zły AS lub zbyt długi prefiks); not found, gdy żadna ROA nie obejmuje prefiksu. Walidacja tylko oznacza trasę. Co dalej, ustala polityka każdej sieci (RFC 6811 pozostawia to operatorowi): wiele sieci odrzuca trasy invalid, inne tylko preferują trasy valid albo w ogóle nie sprawdzają RPKI.
Pytania i odpowiedzi
Jak sprawdzić, czy mój prefiks jest ogłaszany?
Wpisz prefiks i spójrz na pola Status i Widoczność. Jeśli jest ogłaszany, zobaczysz origin AS i liczbę peerów kolektorów RIPE RIS, które go widzą. Nowe ogłoszenie zwykle pojawia się w ciągu kilku minut.
Co oznacza RPKI invalid?
Prefiks jest objęty ROA, ale ta nie dopuszcza danego origin AS albo tej długości prefiksu. Samo RPKI tylko oznacza trasę, ale wiele dużych sieci, w tym większość dużych dostawców tranzytu, odrzuca trasy RPKI invalid zgodnie ze swoją polityką. Dlatego popraw ROA przed ogłoszeniem: dodaj ROA dla właściwego AS albo zwiększ max length tak, by obejmował długość ogłaszanego prefiksu.
Czy potrzebuję zarówno ROA, jak i obiektu route?
W praktyce tak. RPKI chroni przed hijackami tam, gdzie sieci odrzucają trasy invalid, a wielu dostawców tranzytu i route serwery IXP nadal budują filtry prefiksów z obiektów route w IRR. Bez obiektu route taki upstream może odfiltrować ogłoszenie, nawet gdy RPKI jest valid.
Czy mogę sprawdzić wiele prefiksów naraz?
Tak. Wybierz „Wiele prefiksów” i wklej do 50 prefiksów, po jednym w wierszu, opcjonalnie z AS, którego chcesz użyć. Dla każdego wiersza zobaczysz status ogłoszenia, stan RPKI i obiekty route, a wynik możesz skopiować jako CSV albo otworzyć dowolny prefiks ze szczegółami.
Dlaczego mój prefiks ma inny origin AS?
Albo prefiks nadal ogłasza poprzedni posiadacz lub Twój dostawca, albo jest ogłaszany przez pomyłkę lub przejęty (hijack). Porównaj origin ze swoją ROA i obiektami route; jeśli to nie Twój AS, skontaktuj się z siecią, która go ogłasza, i ze swoim rejestrem.
Jak aktualne są dane?
Widoczność w BGP i AS path pochodzą z RIPE RIS i mają kilka minut. Obiekty route i ROA przechodzą najpierw przez kilka mirrorów i walidatorów, więc świeża zmiana może pojawić się dopiero po kilku godzinach.