Глосарій
RPKI
RPKI дає власнику блоку IP-адрес змогу підписати, які мережі можуть його анонсувати. Що означають valid, invalid і unknown на панелі маршрутизації.
Що таке RPKI
Система маршрутизації інтернету, BGP, побудована на довірі: будь-яка мережа може анонсувати будь-який блок адрес, і решта інтернету їй вірить. Resource Public Key Infrastructure додає до цієї системи криптографічне твердження. Власник блоку IP-адрес, користуючись сертифікатом, виданим його регіональним реєстром, публікує Route Origin Authorization (ROA), який каже: «цей префікс, до такої довжини, може анонсувати ця ASN». ROA зберігаються в публічних репозиторіях, якими керують п’ять реєстрів; мережі завантажують їх валідатором (Routinator, rpki-client, FORT) і звіряють кожен отриманий маршрут зі списком.
Кожен маршрут отримує один із трьох станів. Valid означає, що ROA покриває префікс і називає AS, що його анонсує. Invalid означає, що ROA покриває префікс, але анонс йому не відповідає: або маршрут походить від іншої AS, або анонсований префікс точніший, ніж дозволяє ROA. Unknown (також «not found») означає, що жоден ROA не покриває префікс, і це досі стосується помітної меншості таблиці IPv4. Саме invalid-маршрути система й покликана ловити: помилку в конфігурації маршрутизатора або навмисне захоплення чужих адрес.
Чому це важливо
Дедалі більша частка великих мереж, включно з найбільшими транзитними провайдерами та хмарними платформами, відкидає RPKI-invalid маршрути. Тому адреса всередині invalid-префікса частково недосяжна: трафік із мереж, що фільтрують, ніколи не доходить, а власник може не помітити цього, доки не поскаржаться клієнти. Для перевірки репутації це корисний безплатний сигнал. Легітимні оператори тримають свої ROA в порядку, тому статус invalid у адреси, яку ви оцінюєте, означає або неправильно налаштовану мережу, або захоплений блок — і те, і те належить до колонки «ризиковано». Unknown нейтральний: він лише каже, що власник ще нічого не підписав.
Як ми це перевіряємо
Панель маршрутизації на кожній сторінці IP запитує в сервісу RIPEstat від RIPE NCC стан валідації для префікса, який зараз покриває адресу, та її AS-джерела (виклик rpki-validation) і показує результат поруч з анонсованим префіксом, часткою колекторів RIS, які бачать маршрут, і датою, коли маршрут уперше помітили. Відповідь кешується на шість годин. Результат Invalid або префікс, який узагалі не анонсується, коштує десять балів в оцінці чистоти; Valid і Unknown не коштують нічого. Коли RIPEstat недоступний, панель показує Недоступно, а оцінка просто пропускає цей чинник замість того, щоб вгадувати. Дані публікуються на умовах RIPE NCC і зазначені на панелі.