RPKI-Validierung für BGP
Nur BGP-Routen annehmen, deren Ursprung belegt ist.
Mit RPKI hinterlegen Netzbetreiber bei ihrer Registry, in Europa beim RIPE NCC, welches autonome System ein Präfix ankündigen darf (Route Origin Authorizations). Ein Validator wie Routinator oder rpki-client prüft die Signaturen und übergibt das Ergebnis per RTR an die Router. Diese verwerfen ungültige Routen. Das verhindert viele Fehlkonfigurationen und Ankündigungen fremder Präfixe mit falschem Ursprung.
Wir empfehlen beides: eigene ROAs anlegen und eingehende Routen validieren. Der Aufwand ist gering, wenn feststeht, wer die ROAs pflegt. Manipulationen am weiteren Pfad und Route Leaks erkennt das nicht. Dafür gibt es ASPA. Das Verfahren ist noch nicht standardisiert, ASPA-Objekte lassen sich beim RIPE NCC aber schon anlegen.
- ein eigenes autonomes System und eigene IP-Präfixe betrieben werden
- BGP mit mehreren Upstreams oder Peers läuft
- Sicherheitsvorgaben für die Internetanbindung gelten
- weder eigenes BGP-Routing noch eigene IP-Präfixe vorhanden sind
- der Provider das Routing vollständig übernimmt; dann nach seiner RPKI-Prüfung fragen
Welche Werkzeuge passen zu Ihrem Betrieb?
Im Erstgespräch prüfen wir Ihre Werkzeuglandschaft und zeigen, wo eine Änderung lohnt und wo nicht.