Глоссарий
RPKI
RPKI позволяет держателю IP-блока подписать, какие сети могут его анонсировать. Что означают valid, invalid и unknown на панели маршрутизации IP.
Что такое RPKI
Система маршрутизации интернета, BGP, построена на доверии: любая сеть может анонсировать любой блок адресов, и остальной интернет ей верит. Resource Public Key Infrastructure добавляет к этой системе криптографическое утверждение. Держатель IP-блока с сертификатом от своего регионального реестра публикует Route Origin Authorization (ROA), который говорит: «этот префикс до такой-то длины может анонсировать такая-то ASN». ROA лежат в публичных репозиториях пяти реестров; сети загружают их валидатором (Routinator, rpki-client, FORT) и сверяют каждый полученный маршрут со списком.
Каждый маршрут тогда имеет одно из трех состояний. Valid — ROA покрывает префикс и называет анонсирующую AS. Invalid — ROA покрывает префикс, но анонс ему не соответствует: маршрут исходит от другой AS или анонсируемый префикс конкретнее, чем позволяет ROA. Unknown (также «not found») — ни один ROA не покрывает префикс, что по-прежнему верно для заметного меньшинства таблицы IPv4. Invalid-маршруты — то, ради чего система существует: опечатка в конфигурации маршрутизатора или намеренный угон чужих адресов.
Почему это важно
Растущая доля крупных сетей, включая крупнейших транзитных провайдеров и облачные платформы, отбрасывает RPKI-invalid маршруты. Адрес внутри invalid-префикса поэтому частично недостижим: трафик из фильтрующих сетей не приходит, и держатель может не заметить, пока не пожалуются клиенты. Для проверки репутации это полезный бесплатный сигнал. Легитимные операторы держат свои ROA в порядке, поэтому статус invalid у оцениваемого адреса означает либо неверно настроенную сеть, либо угнанный блок — и то и другое относится к колонке «рискованно». Unknown нейтрален: он лишь говорит, что держатель еще ничего не подписал.
Как мы это проверяем
Панель маршрутизации на каждой странице IP запрашивает у сервиса RIPEstat от RIPE NCC состояние валидации префикса, покрывающего адрес сейчас, и его AS-источника (вызов rpki-validation) и показывает результат рядом с анонсируемым префиксом, долей коллекторов RIS, видящих маршрут, и датой первого наблюдения маршрута. Ответ кэшируется на шесть часов. Результат Invalid или вовсе не анонсируемый префикс стоит десять баллов в оценке чистоты; Valid и Unknown не стоят ничего. Когда RIPEstat недоступен, панель показывает Недоступно, а оценка просто пропускает этот фактор, не гадая. Данные публикуются на условиях RIPE NCC и указаны на панели.