Netze und Adressen
RPKI und ROAs
Signierte Aussagen darüber, welche AS-Nummer welches IP-Präfix announcen darf, damit Router gekaperte oder vertippte BGP-Announcements verwerfen können.
RPKI ist eine Public-Key-Infrastruktur, die von den regionalen Registries betrieben wird. Der Inhaber eines IP-Blocks erstellt eine Route Origin Authorisation, eine ROA, die sagt: „AS 199839 darf 31.24.249.0/24 mit einer maximalen Länge von /24 originieren“. Die ROA ist mit Schlüsseln signiert, die auf die Registry zurückführen, die den Block zugeteilt hat.
Router holen die validierten ROAs und vergleichen BGP-Announcements damit. Eine Announcement von einem anderen AS oder für ein längeres Präfix, als die ROA erlaubt, ist „invalid“, und die meisten großen Netze verwerfen Invalids inzwischen. Das verhindert, dass sich der klassische Hijack, bei dem ein Netz versehentlich oder absichtlich das Präfix eines anderen announct, ausbreitet.
Wenn Sie Adressraum halten und announcen, erstellen Sie ROAs für jedes Präfix und jedes AS, das Sie verwenden, und sonst nichts. Eine fehlende ROA lässt Sie als „unknown“ dastehen, was weiterhin akzeptiert wird; eine falsche ROA macht Ihre eigene Announcement invalid. Endnutzer mit gesponsertem PI-Raum erstellen ihre ROAs über den sponsernden LIR.