本文へスキップ
ipaddress.co.nz

RPKI経路検証

5つのRIRのトラストアンカーから検証されたROAデータの独自コピーと照合する、経路起源検証（RFC 6811）です。

2001:dce:2000::/48 · AS45809

有効

このプレフィックスについて、この起源ASをROAが認可しています。

包含するROA

1
プレフィックス最大長起源ASトラストアンカー一致
2001:dce:2000::/48/48AS45809APNIC✓

AS45809を指定するROA

6件のROAがこのASを指定しています。
  • 103.70.24.0/22–24
  • 2001:dce:7::/48
  • 2001:dce:8::/48
  • 2001:dce:9::/48
  • 2001:dce:a::/48
  • 2001:dce:2000::/48

Resource Public Key Infrastructure(RPKI) では、IP ブロックの保有者が署名付きの Route Origin Authorisation(ROA) を公開できます。特定の AS がそのブロックを、決められた最大プレフィックス長まで起点として広告してよいという表明です。Route Origin Validation を行うネットワークは、これと矛盾する経路を破棄します。

起点検証(RFC 6811)の結果は 3 通りです。ROA がプレフィックスを覆い、その起点 AS を指定し、長さを許可していれば、経路は**有効(valid)です。ROA がプレフィックスを覆っているのにどれも一致しなければ無効(invalid)**で、別の AS が起点になっているか、許可より詳細なプレフィックスになっています。どの ROA にも覆われていなければ **ROA なし(not found)**で、RPKI はその経路について何も述べません。

検証には、rpki-client プロジェクトが 5 つの RIR のトラストアンカーから生成した検証済み ROA データの当サイトのコピーを使い、数時間ごとに更新しています。AS 欄を空欄にすると、当サイトの BGP テーブルで現在見えている起点を検証します。

よくある質問

経路が無効と判定されました。どうすればよいですか?

多くは ROA が古いことが原因です。プレフィックスが別の AS に移ったか、最大長を引き上げずにより詳細なプレフィックスを広告したかのどちらかです。アドレスブロックの保有者が、所属する RIR の RPKI ポータルで修正できます。

「ROA なし」は何か問題があるということですか?

いいえ。保有者が ROA を作成していないというだけです。経路は通常どおり受け入れられますが、保護はされていません。

AS0 ROA とは何ですか?

AS 0 の ROA は、そのプレフィックスを誰も起点として広告すべきでないことを示します。他の ROA で有効にならない限り、それに覆われる経路は無効です。

関連