Кто разрешил объявлять блок
RPKI и IRR — две независимые проверки того, что сеть имеет право объявлять эти адреса. Что означают их состояния.
Чтобы адреса работали, какая-то сеть должна объявить их соседям: «эти адреса — через меня». Проблема в том, что объявить чужие адреса технически может кто угодно. Так происходят захваты маршрутов: трафик к вашим адресам начинает идти не туда.
Против этого придуманы две проверки. Они независимы и дополняют друг друга.
RPKI — криптографическая подпись
Владелец адресов заранее подписывает заявление: «объявлять этот блок разрешено такой-то сети». Подпись проверяется автоматически, подделать её нельзя.
| Состояние | Что означает |
|---|---|
| Защищён | Подпись есть, и объявляет блок именно та сеть, которой разрешено. Всё в порядке. |
| Не авторизован | Подпись есть, но объявляет другая сеть. Так выглядит захват. |
| Слишком узкий анонс | Сеть та, но объявляет кусок мельче разрешённого. Типичный приём при захвате: узкий маршрут «перебивает» широкий. |
| Подписи нет | Владелец ничего не подписывал. Не нарушение — просто защиты нет. Так пока живёт значительная часть интернета. |
Подпись задаёт и допустимую длину: строка вида AS12389 /16–/24 означает «этой сети разрешено объявлять куски от /16 до /24 включительно».
IRR — заявка в реестре маршрутов
Реестр маршрутов — это открытая база, куда операторы вписывают, какие блоки они собираются объявлять. Подписи там нет, проверка на доверии, но она старше RPKI и её до сих пор используют при настройке фильтров.
| Состояние | Что означает |
|---|---|
| Заявлен | Запись есть, и она про этот блок и эту сеть. |
| Внутри крупной заявки | Отдельной записи нет, но есть заявка на более крупный блок, включающий ваш. Фильтр соседа может такой анонс и не пропустить. |
| Чужая сеть | Запись есть, но в ней указана другая сеть. |
| Заявки нет | Запись не найдена. |
Как читать вместе
- RPKI «защищён» — самый сильный ответ, остальное можно не смотреть.
- RPKI нет, IRR заявлен — слабая, но проверка: владелец хотя бы заявил о своих намерениях публично.
- Ни того, ни другого — обычная картина для старых блоков, но именно такие проще всего захватить.
- RPKI «не авторизован» — повод разбираться. Наверху страницы будет предупреждение.
Пробел в данных. По части регионов мира сведений о заявках нет. Пустое значение здесь означает «не найдено», а не «не существует».
Обновлено