Réseaux et adresses
RPKI et ROA
Des déclarations signées indiquant quel numéro d'AS peut annoncer quel préfixe IP, pour que les routeurs puissent rejeter les annonces BGP détournées ou mal saisies.
RPKI est une infrastructure à clés publiques gérée par les registres régionaux. Le détenteur d'un bloc IP crée une Route Origin Authorisation, un ROA, qui dit « l'AS 199839 peut être l'origine de 31.24.249.0/24 avec une longueur maximale de /24 ». Le ROA est signé avec des clés qui remontent jusqu'au registre qui a alloué le bloc.
Les routeurs récupèrent les ROA validés et comparent les annonces BGP avec ceux-ci. Une annonce venant d'un autre AS, ou pour un préfixe plus long que ce que le ROA autorise, est « invalide », et la plupart des grands réseaux rejettent désormais les invalides. Cela empêche le détournement classique, où un réseau annonce le préfixe de quelqu'un d'autre par erreur ou à dessein, de se propager.
Si vous détenez de l'espace d'adressage et l'annoncez, créez des ROA pour chaque préfixe et chaque AS que vous utilisez, et rien d'autre. Un ROA manquant vous laisse en « inconnu », ce qui reste accepté ; un ROA erroné rend votre propre annonce invalide. Les utilisateurs finaux disposant d'espace PI sponsorisé créent leurs ROA par l'intermédiaire du LIR sponsor.