Validador de rutas RPKI
Validación del origen de rutas (RFC 6811) frente a nuestra copia de los ROA validados a partir de los anclajes de confianza de los cinco RIR.
La Resource Public Key Infrastructure permite al titular de un bloque IP publicar una Route Origin Authorisation (ROA) firmada: una declaración de que un AS concreto puede originar el bloque hasta una longitud de prefijo máxima. Las redes que aplican Route Origin Validation rechazan así las rutas que la contradicen.
La validación de origen (RFC 6811) tiene tres resultados. Una ruta es válida si una ROA cubre el prefijo, nombra su AS de origen y permite su longitud. Es inválida si hay ROA que cubren el prefijo pero ninguna coincide: o lo origina otro AS o el prefijo es más específico de lo permitido. No tiene ROA (not found) si ninguna la cubre; entonces RPKI no dice nada sobre ella.
Validamos contra nuestra propia copia de los datos ROA validados, que el proyecto rpki-client genera a partir de los anclajes de confianza de los cinco RIR y que actualizamos cada pocas horas. Deje vacío el campo AS para validar el origen visto ahora en nuestra tabla BGP.
Preguntas frecuentes
Mi ruta es inválida. ¿Qué hago?
Lo habitual es que la ROA esté desactualizada: el prefijo pasó a otro AS o se anunció uno más específico sin aumentar la longitud máxima. El titular del bloque puede corregirlo en el portal RPKI de su RIR.
¿«Sin ROA» significa que algo va mal?
No. Significa que el titular no ha creado ROA. La ruta se acepta como siempre; simplemente no está protegida.
¿Qué es una ROA AS0?
Una ROA para el AS 0 indica que nadie debe originar el prefijo. Las rutas que cubre son inválidas, salvo que otra ROA las valide.
Relacionado
- Búsqueda de prefijo BGPQuién anuncia un prefijo, qué lo cubre y sus rutas más específicas.
- Búsqueda de ASNTitular, registro y todos los prefijos que anuncia un AS.
- Búsqueda de IPASN, proveedor, ruta, DNS inverso y ubicación de cualquier dirección.
- Comprobación DNSSECDS, DNSKEY y firmas: ¿está intacta la cadena de confianza?