Zusammenfassung

  • ARIN zeigte bei ARIN 58 eine Vorschau auf BGP Insight, damit Organisationen den Einfluss ihrer RPKI-Konfiguration auf Routenankündigungen besser erkennen.
  • Ein früherer Entwurf sieht Erklärungen zu Invalid und Not Found, mögliche Wege zu Valid und eine Vorschau vorgeschlagener Änderungen anhand des letzten BGP-Datenabrufs vor.

Der unangenehme Moment bei Routing-Sicherheit kommt oft nach dem Satz: „Wir haben RPKI.“ Das Ressourcen-Zertifikat ist vorhanden, vielleicht auch eine ROA. Dann taucht eine Route im BGP auf und die Origin-Validierung liefert ein Ergebnis, mit dem das Netzteam nicht gerechnet hat.

Genau zwischen Konfiguration und Ankündigung setzt ARINs BGP Insight an. Der Rückblick auf den zweiten Tag von ARIN 58 vom 23. Oktober beschreibt die Funktion als Hilfe, um den Einfluss der RPKI-Einstellungen auf Routenankündigungen zu verstehen. Zum 30. September hatten sich 9.673 Organisationen für ARINs RPKI registriert, 27 Prozent mehr als ein Jahr zuvor. Etwa eine von sieben Organisationen mit Hosted RPKI hatte noch keine ROA erstellt. Die Registrierung ist der Einstieg; die Betriebsfrage lautet, wie veröffentlichte Autorisierung und tatsächliche Ankündigung zusammenpassen.

ARIN hatte das Konzept bereits beim Routing Security Update auf ARIN 57 skizziert. Präfixe im Ressourcen-Zertifikat sollten neben ihrem Auftauchen in der globalen BGP-Tabelle stehen. Die Oberfläche sollte Invalid oder Not Found erklären, die Auswirkung auf die Ankündigung zeigen, einen Weg zu Valid aufzeichnen und mögliche Folgen vorgeschlagener Änderungen darstellen. Die Folie nannte ausdrücklich den letzten BGP-Datenabruf als Grundlage. Bei ARIN 58 erschien das Vorhaben erneut – diesmal unter dem kürzeren Namen BGP Insight.

Eine ROA benennt das autonome System, das ein Präfix als Ursprung ankündigen darf. Eine BGP-Route ist die Ankündigung, die andere Netze beobachten können. RFC 6811 beschreibt die Origin-Prüfung: Das angegebene Ursprungs-AS wird mit der Autorisierung des Präfixinhabers abgeglichen. Die Prüfung des gesamten AS_PATH gehört zu einem anderen Mechanismus. ARINs RPKI-Leitfaden beschreibt denselben Ablauf: Inhaber veröffentlichen signierte Aussagen, Netzbetreiber vergleichen sie mit BGP-Ankündigungen und treffen darauf ihre Routing-Sicherheitsentscheidungen.

Stehen beide Datensätze nebeneinander, lässt sich die Abweichung besser untersuchen. Eine Route ohne passende Autorisierung kann auf eine fehlende ROA, ein anderes Ursprungs-AS oder eine zu prüfende Präfixlänge hinweisen. Der Nutzen einer Diagnoseansicht liegt darin, die Differenz zu erklären und einen Korrekturvorschlag vor der tatsächlichen Änderung prüfen zu lassen. ARINs frühere Folie zeigte diese „Was wäre wenn“-Ansicht; der Oktober-Rückblick bestätigt eine Vorschau, aber keinen Termin für die allgemeine Verfügbarkeit.

Auch der Hinweis „letzter BGP-Datenabruf“ gehört auf die Oberfläche. Jede Diagnose hat einen Beobachtungszeitpunkt. Eine Route, die danach erscheint, gehört zum nächsten Abruf. Ein sichtbarer Zeitstempel hilft zu entscheiden, ob eine ROA geändert, eine neue Ansicht angefordert oder zunächst die Route geprüft werden sollte.

Quellen: ARIN-58-Rückblick, Routing-Security-Präsentation von ARIN 57, ARINs RPKI-Leitfaden und RFC 6811.