Résumé

  • À ARIN 58, ARIN a présenté BGP Insight comme un moyen de voir l’effet d’une configuration RPKI sur les annonces de routes.
  • Un aperçu antérieur détaille l’écran envisagé : expliquer les états Invalid ou Not Found, proposer un chemin vers Valid et tester l’effet de changements envisagés sur la dernière collecte BGP.

La sécurité de routage produit parfois un moment embarrassant : « nous avons activé RPKI » est vrai, et la route observée raconte une autre histoire. Un certificat de ressource existe; une ROA peut être publiée; pourtant, le réseau voit un état que l’équipe n’attendait pas.

C’est le problème d’interface qu’ARIN associe à BGP Insight. Dans son compte rendu d’ARIN 58, publié le 23 octobre, le registre explique que l’outil doit aider les organisations à comprendre l’effet de leur configuration RPKI sur leurs annonces. Au 30 septembre, 9 673 organisations étaient inscrites aux services RPKI d’ARIN, soit une hausse annuelle de 27 %. Environ une organisation sur sept utilisant le service Hosted n’avait créé aucune ROA. L’inscription ouvre la porte; la question opérationnelle porte sur les routes annoncées et les autorisations publiées.

La présentation d’ARIN 57 montrait déjà le principe. Les préfixes d’un certificat de ressources apparaissaient à côté de leur présence dans la table BGP mondiale. L’écran devait expliquer un résultat Invalid ou Not Found, en montrer l’effet sur l’annonce, indiquer une voie vers Valid et simuler l’effet de changements proposés. Le schéma précisait que l’analyse s’appuierait sur la dernière collecte BGP. À ARIN 58, le projet a repris sous un nom plus court : BGP Insight.

Une ROA indique quel système autonome peut être à l’origine d’un préfixe. Une route BGP est l’annonce observable par les réseaux. RFC 6811 définit la vérification d’origine entre ces deux éléments : l’AS d’origine déclaré est comparé à l’autorisation du titulaire. L’AS_PATH complet relève d’un autre contrôle. Le guide RPKI d’ARIN décrit ce passage de relais : le titulaire publie des déclarations signées et les opérateurs les comparent aux annonces BGP pour guider leurs décisions de sécurité.

Mettre les deux dossiers côte à côte rend le diagnostic plus lisible. Une annonce qui ne correspond pas à l’autorisation attendue peut orienter l’opérateur vers une ROA absente, un AS d’origine différent ou une longueur de préfixe à revoir. Le gain tient à l’explication et à l’aperçu d’une correction avant la modification effective. ARIN a illustré cette simulation; son compte rendu confirme une préversion, sans annoncer de date de lancement général.

La précision « dernière collecte BGP » compte autant que le résultat. Une observation est associée à une heure. Une route apparue depuis appartient à la collecte suivante. L’horodatage aide l’équipe à trancher entre une modification de ROA, une nouvelle vue et une vérification de la route observée.

Sources : compte rendu d’ARIN 58, présentation sécurité de routage d’ARIN 57, guide RPKI d’ARIN et RFC 6811.