Resumen

  • En ARIN 58, ARIN adelantó BGP Insight para mostrar cómo la configuración RPKI de una organización afecta a sus anuncios de rutas.
  • Un esquema anterior muestra explicaciones para Invalid y Not Found, posibles caminos hacia Valid y una simulación de cambios sobre la última captura BGP.

En seguridad de rutas existe un momento incómodo: “tenemos RPKI” puede ser cierto y, aun así, la ruta que ve la red contar otra historia. Hay un certificado de recursos. Puede que también exista una ROA. Pero cuando el anuncio aparece en BGP, el resultado de validación de origen no coincide con lo que esperaba el equipo.

Ese cruce es el terreno que ARIN quiere cubrir con BGP Insight. Su resumen de la segunda jornada de ARIN 58, publicado el 23 de octubre, dice que la función ayudará a entender cómo la configuración RPKI afecta a los anuncios de ruta. Al 30 de septiembre, 9.673 organizaciones estaban registradas para usar RPKI en ARIN, un 27% más en un año; cerca de una de cada siete organizaciones con Hosted RPKI aún no había creado una ROA. La cifra apunta a una tarea práctica: comparar lo configurado con lo que se anuncia.

La presentación de seguridad de ARIN 57 ya dibujaba la interfaz. Junto a los prefijos del certificado de recursos aparecía su presencia en la tabla BGP global. La vista explicaría un resultado Invalid o Not Found, mostraría el efecto sobre el anuncio, propondría un camino hacia Valid y permitiría explorar cambios hipotéticos. El propio esquema decía que usaría la última captura de datos BGP. En ARIN 58 la idea volvió con un nombre más directo: BGP Insight.

Una ROA declara qué sistema autónomo puede originar un prefijo. La ruta BGP es el anuncio que los demás sistemas pueden observar. RFC 6811 define el control de origen: el AS que figura como origen se contrasta con la autorización del titular del prefijo. El recorrido completo de AS_PATH es otra cuestión. La guía RPKI de ARIN describe el mismo intercambio: el titular publica declaraciones firmadas; los operadores comparan esas declaraciones con los anuncios BGP para decidir cómo reforzar la seguridad de sus rutas.

Cuando los dos registros aparecen juntos, el operador puede entender mejor el desencuentro. Una ruta fuera de lo autorizado puede llevar a revisar una ROA ausente, un AS de origen distinto o la longitud permitida del prefijo. El valor está en explicar la causa y dejar que el equipo inspeccione una corrección posible antes de cambiar la autorización. ARIN mostró esa función como vista previa; su recapitulación no publicó una fecha de disponibilidad general.

La frase “última captura BGP” también merece espacio en pantalla. Cada diagnóstico corresponde a una hora de observación. Una ruta que llegó después forma parte de la siguiente captura. Con una marca temporal visible, el operador puede decidir si debe actualizar la ROA, consultar una vista nueva o investigar el anuncio observado.

Fuentes: resumen de ARIN 58, presentación de seguridad de rutas de ARIN 57, guía RPKI de ARIN y RFC 6811.