RPKI aplicação e prática
25 de abril de 2011
Habilitação do uso operacional de RPKI através dos Registros de Roteamento da Internet
Manish Karir e Larry Blunk
Merit Network Inc.
Antecedentes:
A infra-estrutura de chave pública (RPKI) tem surgido como a forma mais segura de garantir as alocações de endereços IP e seus anúncios através do protocolo de roteamento BGP. Os cinco Registros Nacionais da Internet (RIRs) já têm protótipos em produção ou estão planejando colocá-los em produção no próximo ano. Esses desenvolvimentos têm garantido que a RPKI provavelmente vai ser o método escolhido para a certificação de recursos na hierarquia da IANA para os RIRs e depois para os titulares dos recursos (os ISPs). No entanto, o desdobramento da RPKI a nível de administração de recursos ainda não tem abordado o problema de como pode ser facilitada a adoção de RPKI a grande escala para a validação operacional do roteamento BGP.
O sistema de Registro de Roteamento da Internet (IRR, Internet Routing Registry) [1][6] é um conjunto de registros de roteamento cujo propósito é permitir que os grandes operadores registrem e realizem procuras de sua própria política de roteamento bem como as de outras redes. Depois, com base nas informações contidas nesses registros de roteamento, os operadores podem facilmente usar ferramentas automatizadas para criar filtros de rotas e assim prevenir a propagação de mensagens de atualização de BGP anômalos. Nesse contexto, o sistema IRR é um complemento natural para ajudar a difundir a adoção de RPKI entre a comunidade da Internet a nível mais amplo.
(Acesso livre, não requer assinatura)
O objetivo desta nota é discutir as diferentes opções para integrar RPKI ao sistema IRR. Particularmente, propomos quatro técnicas diferentes que podem contribuir para aproximar esses dois sistemas. A primeira consiste em ampliar a linguagem de especificação de políticas de roteamento (RPSL) para incluir os atributos da RPKI. A segunda consiste em criar e operar um cachê de validação da RPKI. A terceira consiste em modificar o núcleo do software do registro de roteamento básico para permitir que realize uma procura e devolva informação de validade da RPKI cada vez que for consultada uma rota. A quarta consiste em aumentar os conjuntos de ferramentas existentes de modo que possam usar a informação da RPKI distribuída através dos IRR. Essas opções são descritas a seguir.
Opções de integração:
Extensões de RPSL para suportar RPKI:
A especificação de RPSL [2][3][4] tem demonstrado ser muito útil para ajudar a promover o uso de políticas de roteamento em uma sintaxe bem estruturada. No entanto, mesmo que houve tentativas esporádicas por estender e adaptar a especificação básica, poucos tiveram sucesso além dos esforços realizados sob a proteção de RPSL-ng para permitir objetos IPv6 e multicast. Estamos considerando se adicionar mais atributos à especificação de RPSL que permitam aos usuários especificar atributos da RPKI. Um método que estivemos pesquisando é o de agregar uma etiqueta roa-uri. Essa etiqueta permite que para cada objeto de rota no registro de roteamento, os usuários especifiquem uma etiqueta ou indicador da localização real da confirmação certificada (ROA) para dita rota. Outras mudanças possíveis que estamos considerando são a de agregar suporte para um campo adicional como por exemplo roa-valid que serviria simplesmente para indicar se o registro de encaminhamento tem determinado se um objeto de rota é válido ou não. Também é possível agregar outros atributos da RPKI que a comunidade da Internet poderia querer usar, como por exemplo etiquetas que simplesmente indiquem se um prefixo dado tem implementado RPKI, ou inclusive permitir que a totalidade da certificação X.509 fique armazenada como parte desse objeto de rota.