RPKI y validación de origen, lectura de estados

5 tareas · 40 min · Principiante

BGP cree lo que le cuentan: si un vecino anuncia que un prefijo es suyo, nada en el protocolo mismo lo desmiente. La infraestructura de clave pública de recursos, RPKI, añade una verificación externa: el titular de un prefijo publica una autorización que dice qué sistema autónomo puede originarlo y hasta qué longitud. El router compara cada ruta recibida con esas autorizaciones y le pone un estado. En Conexión Sabana lees la caché de autorizaciones y seis rutas con su estado: no se valida nada en vivo, se interpreta lo ya calculado. Junio de 2027.

0 de 5 · 0%

Objetivo de la sala

Según la RFC 6811, cada ruta recibida queda en uno de tres estados. Valid: al menos una autorización coincide con el prefijo, con su longitud dentro del máximo, y con el sistema autónomo de origen. Invalid: hay autorizaciones que cubren el prefijo, pero ninguna coincide con la ruta, ya sea porque el origen es otro o porque el prefijo es más específico que la longitud máxima. NotFound: ninguna autorización cubre el prefijo.

La diferencia entre Invalid y NotFound es decisiva. En Invalid el titular dijo algo y la ruta lo contradice. En NotFound el titular no dijo nada, y hoy gran parte de internet está en ese caso.

Responde para continuar

Una ruta recibida queda en estado NotFound. ¿Qué significa?

Que el prefijo se anunció desde un sistema autónomo distinto del que tiene autorizado Que ninguna autorización cubre el prefijo, así que no se afirma nada a favor ni en contra Que la ruta es más específica que la longitud máxima permitida por su autorización

Ver pista de ayuda

¿En cuál de los estados existe una autorización que contradice a la ruta?

Cuando un prefijo tiene autorización y la ruta llega con un sistema autónomo de origen distinto, el estado es Invalid. Puede ser un error de un cliente que anuncia un prefijo ajeno, o un intento deliberado de apropiarse del camino. Desde la tabla no se sabe cuál de los dos: se sabe que contradice lo publicado.

Consulta rutas_recibidas y roas. Desde el punto de intercambio llega una ruta Invalid por origen que la política acepta.

Responde para continuar

¿Qué sistema autónomo origina la ruta Invalid que se acepta desde ix-bogota? Escribe su número, con el prefijo AS.

Ver pista de ayuda

Compara el origen de las rutas de ix-bogota con el autorizado en la caché.

La longitud máxima de una autorización limita cuán específico puede ser el anuncio. Si el titular autoriza un /27 con máximo 27, un /28 dentro de ese rango queda Invalid aunque el origen sea el correcto. Es la defensa contra quien anuncia un fragmento más específico del prefijo ajeno, porque a igualdad de origen un prefijo más específico gana el tráfico.

Responde para continuar

¿Qué prefijo se rechaza por ser más específico que la longitud máxima de su autorización? Escribe el prefijo.

Ver pista de ayuda

Busca la ruta Invalid que ya está rechazada y compara su longitud con la de la caché.

La política de entrada decide qué se hace con cada estado. Las rutas Invalid se rechazan en la práctica común, y eso debe valer también para los clientes, no solo para el tránsito y el intercambio. Un cliente que anuncia un prefijo con un origen que no es el autorizado es el caso de la sala 3 visto desde otro lado: el filtro de prefijos no lo paró y la validación de origen sí lo habría detectado.

Responde para continuar

¿Qué vecino, que no es de tránsito ni de intercambio, entrega una ruta Invalid que la política acepta? Escribe su nombre.

Ver pista de ayuda

Filtra por el estado Invalid y mira quién es el vecino en las rutas aceptadas.

La validación de origen comprueba una cosa: que el sistema autónomo que originó la ruta está autorizado para ese prefijo. No comprueba por dónde pasó el anuncio hasta llegar a ti. Un anuncio Valid puede haber atravesado un sistema que lo desvió o que lo reenvió donde no debía.

Responde para continuar

Una ruta llega en estado Valid. ¿Qué garantiza ese estado?

Que el tráfico hacia ese prefijo no puede ser interceptado en ningún punto del recorrido hasta ti Que cada sistema autónomo por el que pasó el anuncio fue verificado también uno por uno Que el sistema autónomo de origen está autorizado para ese prefijo, sin decir nada del camino

Ver pista de ayuda

La validación compara el origen con la autorización. ¿Examina el resto del camino?

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Los tres estados

2 El origen que no es el autorizado Lab

3 Más específico que la longitud máxima Lab

4 El cliente que cuela un Invalid Lab

5 Valid no prueba el camino

Whoami-Labs Pro utiliza cookies