← Cloudflare BYOIP / byoip / concepts

Фильтрация маршрутов и RPKI

Сетевые операторы полагаются на Записи IRR чтобы определить, какой автономные системы (ASN) имеют право анонсировать определённые префиксы IP. На основе этих записей операторы настраивают на своих маршрутизаторах политики фильтрации, блокирующие несанкционированные анонсы: такая практика называется фильтрацией маршрутов.

Однако сами по себе записи IRR не проходят криптографическую проверку, а значит, могут быть неточными или устаревшими. Resource Public Key Infrastructure (RPKI) устраняет этот пробел, добавляя криптографическую валидацию. При использовании RPKI связь между IP-префиксом и его авторизованным ASN подписывается и может быть проверена, что позволяет сетевым операторам убедиться в легитимности анонсации маршрута перед ее принятием.

Когда вы регистрируете свой префикс в одном из пяти региональных интернет-регистраторов (RIR)¹, вы можете создать Route Origin Authorization (ROA): криптографически подписанный объект, который указывает, какой ASN уполномочен анонсировать ваш префикс. Подлинность ROA можно проверить публично, и вы можете проверить свои префиксы с помощью RPKI Portal Cloudflare ↗ или другие источники, например Routinator ↗.