RPKI Route Origin Validation
ROV — процесс, при котором роутер проверяет BGP-анонс против RPKI ROA-записей. Отбрасывает маршруты с невалидным origin AS.
Три состояния
| State | Что | Действие |
|---|---|---|
| Valid | префикс + AS_PATH origin совпадает с ROA | принять |
| NotFound | для префикса нет ROA | принять (совместимость) |
| Invalid | префикс есть в ROA, но origin AS другой ИЛИ maxLength нарушен | отклонить |
Как получить состояние
- Роутер поднимает RTR (RPKI-to-Router) сессию с validator-ом.
- Validator (Routinator, RPKI-Client, FORT) скачивает и валидирует ROA из RIR-репо.
- Отдаёт роутеру список VRP (Validated ROA Payloads).
- При BGP-апдейте роутер сверяется с VRP.
Роутер-конфиг (Cisco IOS-XR пример)
router bgp 65001
rpki server 192.0.2.1
transport tcp port 3323
!
address-family ipv4 unicast
bgp bestpath origin-as use validity
!
neighbor 203.0.113.1
address-family ipv4 unicast
route-policy DROP-INVALID inКрупные ROV-adopter-ы
- Cloudflare — с 2020, публично проверяют
- AT&T, NTT, Telia, GTT — tier-1, дропают invalid
- Google, Facebook, Amazon
Известные fail-ы, спасённые RPKI
- 2008 — Pakistan Telecom vs YouTube (RPKI не было тогда)
- 2018 — Amazon Route 53 hijack (крипто-кража). RPKI бы предотвратил.
- 2022 — KLAYswap hijack (потеря $2M)
ASPA (в разработке)
Проверка полного AS_PATH, а не только origin (draft-ietf-sidrops-aspa-*). Защита от path-manipulation-атак.