Кратко

  • На ARIN 58 организация представила BGP Insight как способ увидеть, как настройки RPKI влияют на объявления маршрутов.
  • Более ранняя схема обещала объяснять состояния Invalid и Not Found, показывать путь к Valid и моделировать изменения на основе последнего сбора данных BGP.

В безопасности маршрутизации неловкий разговор часто начинается после фразы «у нас уже есть RPKI». Сертификат ресурсов существует, возможно, опубликована и ROA. Затем в BGP появляется маршрут, а результат проверки происхождения расходится с ожиданиями сетевой команды.

Именно на стыке настроек и объявлений ARIN разместила BGP Insight. В обзоре второго дня ARIN 58 от 23 октября говорится, что функция поможет организациям понять влияние конфигурации RPKI на объявления маршрутов. На 30 сентября в сервисах RPKI ARIN зарегистрировались 9 673 организации — на 27% больше, чем годом ранее. Примерно у одной из семи организаций на Hosted RPKI не было ни одной созданной ROA. Регистрация открывает доступ; рабочая задача — сопоставить опубликованное разрешение с тем, что сеть объявляет.

ARIN уже показывала замысел на презентации по безопасности маршрутизации для ARIN 57. Префиксы из сертификата ресурсов должны были отображаться рядом с их присутствием в глобальной таблице BGP. Интерфейс должен был объяснять Invalid или Not Found, показывать влияние на объявление, предлагать путь к Valid и проверять возможный эффект предложенных изменений. В презентации отдельно указали, что основой станет последний сбор данных BGP. На ARIN 58 идея появилась снова под более коротким названием BGP Insight.

ROA указывает автономную систему, которой разрешено объявлять префикс как исходный. Маршрут BGP — это объявление, которое видят сети. RFC 6811 определяет проверку происхождения: указанная исходная AS сверяется с разрешением держателя префикса. Проверка всего AS_PATH относится к другому механизму. Руководство ARIN по RPKI описывает ту же передачу данных: держатель публикует подписанное разрешение, а сетевой оператор сравнивает его с объявлениями BGP и принимает решение по безопасности маршрута.

Когда обе записи видны рядом, расхождение проще расследовать. Для маршрута без ожидаемого разрешения стоит проверить отсутствие ROA, другую исходную AS или длину префикса. Польза диагностического экрана — объяснить несовпадение и дать оператору изучить возможное исправление до изменения разрешения. В раннем материале ARIN показала такую модель «что будет, если»; октябрьский обзор подтверждает предварительный показ, но не сообщает дату общего запуска.

Фраза «последний сбор данных BGP» тоже должна оставаться на экране. У каждого диагноза есть время наблюдения. Маршрут, появившийся позже, попадёт в следующий сбор. Видимая отметка времени помогает решить, менять ли ROA, обновить ли данные или сначала изучить объявление.

Источники: обзор ARIN 58, презентация ARIN 57 по безопасности маршрутизации, руководство ARIN по RPKI и RFC 6811.