Resumo

  • Na ARIN 58, a ARIN apresentou o BGP Insight como uma forma de entender o efeito da configuração RPKI sobre os anúncios de rota.
  • Um esboço anterior detalhou explicações para Invalid e Not Found, possíveis caminhos até Valid e uma prévia de alterações baseada na coleta BGP mais recente.

Em segurança de roteamento, o momento constrangedor costuma vir depois de alguém dizer “já temos RPKI”. O certificado de recursos está lá; talvez exista uma ROA também. Então uma rota aparece no BGP e a validação de origem devolve um resultado diferente do esperado pela equipe.

É nessa conversa entre configuração e anúncio que a ARIN posiciona o BGP Insight. O resumo do segundo dia da ARIN 58, publicado em 23 de outubro, diz que a função ajudará organizações a entender como sua configuração RPKI afeta os anúncios de rota. Em 30 de setembro, 9.673 organizações estavam registradas nos serviços RPKI da ARIN, alta de 27% em um ano. Aproximadamente uma em cada sete organizações com Hosted RPKI ainda não havia criado uma ROA. A inscrição é o começo; o trabalho operacional é confrontar a autorização publicada com aquilo que a rede está anunciando.

A apresentação de segurança da ARIN 57 já mostrava o desenho da tela. Os prefixos do certificado de recursos apareciam ao lado de sua presença na tabela BGP global. O plano previa explicar um resultado Invalid ou Not Found, mostrar o impacto no anúncio, sugerir um caminho para Valid e testar o efeito possível de alterações propostas. O material especificava que a análise usaria a última coleta BGP. Na ARIN 58, a prévia reapareceu com um nome mais curto: BGP Insight.

Uma ROA declara qual sistema autônomo pode originar um prefixo. Uma rota BGP é o anúncio que as redes conseguem observar. O RFC 6811 define a validação de origem: o AS que aparece como origem é comparado com a autorização do titular do prefixo. A verificação de todo o AS_PATH pertence a outra camada. O guia RPKI da própria ARIN descreve a passagem: o titular publica declarações assinadas e os operadores comparam essas declarações aos anúncios BGP para orientar suas decisões de segurança.

Com os dois registros lado a lado, a divergência fica mais fácil de investigar. Uma rota sem a autorização esperada pode levar a uma ROA ausente, a um AS de origem diferente ou a um tamanho de prefixo que merece revisão. O valor da tela é explicar a diferença e permitir que o operador examine uma correção antes de alterar a autorização. A apresentação da ARIN mostrou uma simulação de “o que pode acontecer”; o resumo de outubro confirma uma prévia, sem anunciar uma data de lançamento geral.

A expressão “última coleta BGP” também precisa aparecer na interface. Todo diagnóstico corresponde a um horário de observação. Uma rota que surgiu depois será capturada no ciclo seguinte. Com o horário visível, o operador pode decidir se atualiza a ROA, busca uma visão nova ou investiga a rota apresentada.

Fontes: resumo da ARIN 58, apresentação de segurança de roteamento da ARIN 57, guia RPKI da ARIN e RFC 6811.