Como usar
- 1.Digite um prefixo, como
193.0.0.0/21ou2001:67c:2e8::/48, ou um único endereço IP para encontrar o prefixo anunciado ao qual ele pertence. - 2.Se você está preparando um novo anúncio, informe o AS pelo qual vai anunciar, por exemplo
AS3333. - 3.Clique em Consultar. O topo do resultado diz se BGP, RPKI e IRRs estão de acordo e o que corrigir se não estiverem.
- 4.Alterne entre as abas para ver os detalhes: o anúncio com a visibilidade e os AS paths, os ROAs e cada route object com o respectivo IRR. Para verificar muitos prefixos, escolha “Vários prefixos” e cole um por linha.
Antes de anunciar um prefixo
Se outra rede aceita uma rota nova é decidido pela política de roteamento dela. Duas verificações pesam mais. O RPKI: um ROA, assinado no portal do seu registro, precisa indicar o seu AS de origem e um max length pelo menos tão longo quanto o prefixo que você anuncia; senão a rota é RPKI inválida e as redes que rejeitam rotas inválidas a descartam. E o IRR: muitos provedores de trânsito e route servers de IXP montam seus filtros a partir de route objects (route para IPv4, route6 para IPv6), então, atrás de um upstream assim, precisa existir um com o seu prefixo e o seu AS de origem. Pergunte ao seu upstream de quais fontes IRR ele monta os filtros.
Se você pretende anunciar more specifics, por exemplo /24s dentro de um /22, o max length do ROA precisa permiti-los; caso contrário, eles ficam RPKI inválidos enquanto o próprio /22 é válido. Mantenha o max length tão curto quanto necessário: um max length generoso permite que um atacante anuncie uma rota mais específica com o seu AS como origem.
Crie o route object na base de dados do registro que administra o espaço de endereços (RIPE, ARIN, APNIC, LACNIC ou AFRINIC). Objetos no RADB ou em outros IRRs de terceiros são aceitos por muitas redes, mas não por todas.
O que o resultado mostra
A visibilidade conta os peers dos coletores de rotas do RIPE RIS que veem exatamente esse prefixo. Um prefixo bem anunciado é visto por quase todos; uma parcela bem menor indica que algumas redes o filtram, muitas vezes por causa do RPKI ou da falta de um route object.
“Visto através de” lista o AS ao lado da origem nos caminhos coletados. Geralmente são os seus upstreams, mas também podem ser redes com as quais você faz peering ou um route server de IXP, já que também há coletores nos pontos de troca de tráfego. O AS path prepending (a origem repetida) é mostrado para que você confirme se a engenharia de tráfego funciona como planejado.
Os estados do RPKI seguem a RFC 6811: válido quando um ROA que cobre o prefixo indica a origem e permite o comprimento, inválido quando existem ROAs, mas nenhum corresponde (AS errado ou prefixo longo demais), e não encontrado (not found) quando nenhum ROA cobre o prefixo. A validação só classifica a rota. O que acontece depois é decidido pela política de cada rede (a RFC 6811 deixa isso para o operador): muitas rejeitam rotas inválidas, outras só preferem as válidas ou nem olham o RPKI.
Perguntas frequentes
Como verificar se o meu prefixo está anunciado?
Digite o prefixo e veja Status e Visibilidade. Se ele estiver anunciado, você vê o AS de origem e quantos peers dos coletores do RIPE RIS o veem. Um anúncio novo costuma aparecer em poucos minutos.
O que significa RPKI inválido?
Um ROA cobre o prefixo, mas não permite este AS de origem ou este comprimento de prefixo. O RPKI só classifica a rota, mas muitas redes grandes, incluindo a maioria dos grandes provedores de trânsito, rejeitam rotas RPKI inválidas por política. Então corrija o ROA antes de anunciar: crie um ROA para o AS certo ou aumente o max length para cobrir o comprimento de prefixo que você anuncia.
Preciso de um ROA e de um route object?
Na prática, sim. O RPKI protege contra hijacks onde as redes rejeitam rotas inválidas, enquanto muitos provedores de trânsito e route servers de IXP ainda montam seus filtros de prefixos a partir dos route objects do IRR. Sem um route object, um upstream assim pode filtrar o seu anúncio mesmo com RPKI válido.
Posso verificar vários prefixos de uma vez?
Sim. Escolha “Vários prefixos” e cole até 50 prefixos, um por linha, cada um opcionalmente seguido do AS que você pretende usar. Para cada linha você recebe o status do anúncio, o estado do RPKI e os route objects, e pode copiar o resultado como CSV ou abrir qualquer prefixo em detalhe.
Por que o meu prefixo aparece com outro AS de origem?
Ou o prefixo ainda é anunciado por um detentor anterior ou pelo seu provedor, ou ele está sendo anunciado por engano ou foi sequestrado (hijack). Compare a origem com o seu ROA e os seus route objects; se ela não for sua, entre em contato com a rede de origem e com o seu registro.
Quão atuais são os dados?
A visibilidade no BGP e os AS paths vêm do RIPE RIS e têm poucos minutos. Route objects e ROAs passam antes por vários espelhos e validadores, então uma alteração que você acabou de fazer pode levar algumas horas para aparecer.