Esta presentación describe las tecnologías de RPKI y validación de origen (ROV) e incluye algunas estadísticas de su despliegue en América Latina y el Caribe

1. RPKI en América Latina
GTER 46
Semana de Infraestrutura da Internet no Brasil
Sao Paulo – 13 diciembre 2018

2. BGP: Routing by rumor
ASN 20
anuncia
128.66.0.0/16
El prefijo 128.66.0.0/16 se
propaga a través de las
sesiones BGP en InternetASN 10 recibe
128.66.0.0/16
Atributos:
128.66.0.0/16 AS_PATH ASN1 ASN3 ASN20
Company
"True" Web
Server
Users
R2R1
ASN 10
ASN 20
Internet
AS 1
AS 2
AS 3

3. BGP: Routing by rumor
• BGP elije rutas de
acuerdo a un algoritmo
de decisión y a los
valores de los atributos
• AS_PATH y AS de origen
– AS_PATH es la lista de
sistemas autónomos
recorridos por un
UPDATE dado
– Incluye el AS que origina
el anuncio (“origin-as”)
ASN 20 es el
“origin-as” del
prefijo
128.66.0.0/16
Company
"True" Web
Server
R2
ASN 20

4. ASN 66
Company
"True" Web
Server
Users
R2R1
ASN 10
ASN 20
Internet
AS 1
AS 2
AS 3
Secuestro de rutas
AS 66 anuncia
128.66.23.0/24
ASN 10 recibe
128.66.0.0/16 y
128.66.23.0/24
128.66.0.0/16 AS_PATH ASN1 ASN3 ASN20
128.66.23.0/24 AS_PATH ASN1 ASN 66
AS 20 anuncia
128.66/16
ASN 10 recibe
128.66.0.0/16

5. ¿QUE PODEMOS HACER AL RESPECTO?

6. Validación de origen (ROV)
UPDATE
Router asigna estado
de validez al UPDATE
Caché informa
periódicamente a
router sobre prefijos
válidos

7. Estado de validez
IP prefix/[min_len – max_len] Origin AS
172.16.0.0 / [16-20] 10
200.0.0.0/[8-21] 20
• Si el “UPDATE pfx” no encuentra ninguna entrada que lo
cubra en la BdeD -> “not found”
• Si el “UPDATE pfx” si encuentra al menos una entrada
que lo cubra en la BdeD y además el AS de origen del
“UPDATE pfx” coincide con uno de ellos -> “valid”
• En el caso anterior, si no coincide ningun AS de origen ->
“invalid”
UPDATE 200.0.0.0/9
ORIGIN-AS 20
VALID

8. Estado de validez
IP prefix/[min_len – max_len] Origin AS
172.16.0.0 / [16-20] 10
200.0.0.0/[8-21] 20
• Si el “UPDATE pfx” no encuentra ninguna entrada que lo
cubra en la BdeD -> “not found”
• Si el “UPDATE pfx” si encuentra al menos una entrada
que lo cubra en la BdeD y además el AS de origen del
“UPDATE pfx” coincide con uno de ellos -> “valid”
• En el caso anterior, si no coincide ningun AS de origen ->
“invalid”
UPDATE 200.0.0.0/9
ORIGIN-AS 66
INVALID

9. RPKI: Resource Public Key Infrastructure
LACNIC RTA
Recursos de LACNIC
LACNIC
Producción
<<INHERITED>>
ISP #2
Recursos del ISP #2
ROA
End Entity cert.
ROA
End Entity cert.
ISP #1
Recursos del ISP #1
End User CA
#1
(Recursos del EU#1)
ROA
End Entity cert.
ROA
End Entity cert.
RTA es auto-
firmado
Cadena de
firmas

10. EXPERIENCIAS REGIONALES

11. Experiencias regionales exitosas
• NAP.ec Ecuador
– Opera validador de rutas en el punto de intercambio de tráfico
– Marca las rutas con comunidades de acuerdo a su estado de validez
• Ver [ http://aeprovi.org.ec/es/napec/politicas-enrutamiento ]
• La decisión de aceptar / no aceptar es de cada miembro

12. Experiencias regionales exitosas
• CRIX Costa Rica
– Opera validador de rutas en el IX
– Actualmente hace Drops de prefijos inválidos
– Implementado en etapas
• Primero solo tagging
• RENATA Colombia
– Opera validador de rutas
– Solo tagging en este momento
• PIT Chile

13. ALGUNAS ESTADÍSTICAS

14. Cobertura en IPv4

15. Cobertura en IPv4

16. ¡MUCHAS GRACIAS!

17. RPKI no Brasil
GTER 46 – São Paulo
13 Dezembro 2018
Frederico A C Neves

18. Numeração
• Nova Interface
–Melhor usabilidade
–Suporte a DNSSEC
–Preparada para RPKI
• Maio/19
–Em produção antes do próximo GTER

19. RPKI CA Software
• RPKI Tools - NLnet Labs
–Em desenvolvimento
–Suportado pelo nic.br
–https://nlnetlabs.nl/projects/rpki/about/
• Dez/19
–Primeira versão de Produção

20. RPKI CA – Modos de Operação
• Delegado
– Via protocolo Up-Down – RFC 6492
– XML encoded CMS messages over HTTP
– Auth configurada via interface OOB
• Hospedado
– Via interface web
– Chaves privadas hospedadas com o provedor de serviços

21. RPKI CA – Delegado
• Authenticação
– Configurada via interface da Numeração
• Monitoração / Alerta - ROAs inválidos
– No ato da delegação e periódico
• Beta
– Em colaboração com LACNIC Set/19
• Produção
– Dez/19
– Tutorial de RPKI na Semana de Infra 2019

22. RPKI CA – Hospedado
• Hospedado em uma CA subordinada
• Totalmente integrado com a Interface da Numeração
• Beta
–1º Sem/20
–Depende de suporte a Multi-CA no RPKI Tools
• Produção
–2º Sem/20

23. Perguntas?
Obrigado