Кратко

  • В ответе в списке рабочей группы по маршрутизации сообщили, что Ben Cartwright-Cox первым воспользовался новой API RIPE NCC для публикации сертификата ключа BGPsec-маршрутизатора. В публичном репозитории RIPE есть сертификат, выданный 22 октября для AS212232.
  • RFC 8634 делит смену ключа на пять этапов: опубликовать замену, дождаться её загрузки кэшами RPKI, переключить маршрутизатор и обновить UPDATE, при необходимости отозвать старый сертификат, а старый ключ изъять после окончания его проверки.

Первый сертификат уже покинул окно выдачи

BGPsec перешёл от объявления функции к файлу, который оператор может проверить. 22 октября RIPE NCC сообщила, что её API RPKI теперь создаёт сертификаты BGPsec-маршрутизаторов и управляет ими. Через несколько часов ответ в той же рассылке рабочей группы поздравил Ben Cartwright-Cox с первой публикацией через API. В открытом репозитории RIPE лежит сертификат BGPsec-маршрутизатора для AS212232, выданный в тот день. Файл небольшой; следующая операция куда чувствительнее — сменить ключ на работающем маршрутизаторе, не потеряв подписанный маршрут.

Документация перечисляет набор действий: создать ключ маршрутизатора, показать ключи, настроенные для CA, получить отдельный ключ, отозвать его, скачать сертификат или цепочку издателя. Для доступа каждой LIR нужен API-ключ с правом Resource Certification (RPKI) API. Запрос содержит ASN, идентификатор BGP routerId и запрос сертификата PKCS#10. CA присваивает routerKeyId.

CSR — не пустая формальность. Это запрос на сертификат, построенный вокруг открытого ключа; частный ключ, которым маршрутизатор подписывает обновления, API не просит загружать. Сертификат связывает разрешенный ASN с открытым ключом. RFC 8209 задает профиль сертификата, а RFC 8205 описывает, как подписи BGPsec сопровождают путь через автономные системы.

ROA и проверка происхождения отвечают, вправе ли AS объявлять префикс. ASPA описывает отношения с провайдерами и помогает выявлять утечки маршрутов. BGPsec подписывает AS-путь, чтобы совместимый маршрутизатор мог проверить разрешение каждого AS передать объявление следующему AS. Инструменты соседствуют, но смотрят на разные части маршрута.

Сертификату еще нужно попасть в маршрут

API упрощает запрос и получение сертификата. Для подписанного маршрута нужны другие звенья: CA публикует сертификат в RPKI, маршрутизатор хранит соответствующий частный ключ, BGP-сессия договаривается о BGPsec, а соседи умеют разбирать подписанный путь. Сертификат в репозитории не подпишет UPDATE сам. Пока маршрутизатор его не использует, это аккуратная запись в хранилище.

RIPE NCC прямо называет проблемы: поддержка BGPsec в аппаратуре отстает, постепенное внедрение и производительность остаются сложными задачами. RFC 8207 объясняет темп: BGPsec может потребовать больше памяти или более новых процессоров. Оператор может начать с отдельных пограничных маршрутизаторов и следить за эффектом. При частичном внедрении возникают острова подписанных путей; участок без поддержки обрывает непрерывную цепочку подписей.

При смене ключа главным становится порядок

RFC 8634 делит смену ключа на пять этапов. Опубликовать новый сертификат; дождаться, пока его получат кэши RPKI по всему миру; переключить маршрутизатор на новый ключ и обновить исходящие BGPsec UPDATE; при необходимости отозвать старый сертификат, чтобы сделать недействительными сообщения со старой подписью; затем, когда закончится проверка старого сертификата, передать отзыв ключа маршрутизаторам по протоколу RPKI-Router, чтобы они удалили маршруты, подписанные этим ключом. Пауза нужна, чтобы соседи узнали новый открытый ключ до прихода новых подписей.

Журнал изменения должен связать публикацию замены, её появление в кэшах, переключение маршрутизатора, обновлённые UPDATE и возможный отзыв старого сертификата. Финальное изъятие ключа происходит после окончания проверки прежнего сертификата. Скрипт, который перескакивает от «создать» сразу к «отозвать», быстро устроит аварию.

API различает экземпляры ключей по ASN, routerId и key identifier. Документация допускает несколько ключей для одного ASN и один ключ для разных ASN — в зависимости от операционных требований. Такая гибкость полезна; учет должен быть точным. Запись «ключ 12» не поможет дежурной смене. Нужны ASN, маршрутизатор, отпечаток ключа, состояние сертификата и время переключения.

Пилот должен показать дорогу в эксплуатацию

В открытой документации BGPsec указан в пилотной среде RPKI на localcert.ripe.net; в репозитории RIPE опубликован сертификат AS212232 от 22 октября. В публичной записи пока нет датированной трассы ротации, которая связывает отпечаток сертификата и время публикации с переключением маршрутизатора, обновлённым подписанным UPDATE и проверкой названными BGPsec-пирами; такая трасса показала бы, насколько API продвинул BGPsec в реальную маршрутизацию.

Успех измеряется не числом сертификатов, возвращенных API. Оператор должен запросить ключ, увидеть публикацию, запланировать смену маршрутизатора, проверить подписанный путь у важных пиров и закончить ротацию, сохранив аутентификацию маршрутов. Для проверки нужны названные пиры, отпечаток нового сертификата и последовательность событий с отметками времени.

Источники: объявление рабочей группы RIPE по маршрутизации от 22 октября 2026 года; документация API BGPsec RIPE NCC; IETF RFC 8209; IETF RFC 8205; IETF RFC 8207; IETF RFC 8634.