¿Qué es una ROA? Guía de enrutamiento BGP y RPKI

Un bloque IP empieza a aportar valor cuando tus clientes pueden conectarse a él. La autorización de origen de ruta, o ROA, ayuda a otros operadores a comprobar que tu anuncio BGP procede de un sistema autónomo autorizado. Prepararla bien facilita el lanzamiento de servicios, la ampliación de capacidad y las migraciones.

¿Qué es una Route Origin Authorization (ROA)?

Una ROA es un objeto firmado digitalmente que autoriza a un número de sistema autónomo (ASN) a originar uno o varios prefijos IP. El titular del recurso la publica mediante RPKI, la infraestructura de clave pública de recursos. Otros operadores pueden contrastar los anuncios BGP con esa autorización validada.

Por ejemplo, puede autorizar a AS64500 a anunciar 203.0.113.0/24. Son valores reservados para documentación: en producción se utilizan los recursos de tu red. El formato se describe en RFC 9582, que sustituyó a RFC 6482.

Por qué importa para tus clientes

Tus clientes necesitan acceder a una web, una API o una aplicación. BGP intercambia rutas entre redes, pero un anuncio incorrecto puede desviar el tráfico. Una ROA bien configurada permite a las redes que validan el origen detectar anuncios que no coinciden con la autorización.

También ayuda a que tus propias rutas sigan siendo válidas cuando añades capacidad, abres una ubicación o cambias el ASN que anuncia un bloque.

¿Cómo funciona una ROA?

1. El titular publica el prefijo y el ASN autorizado a través del servicio RPKI.
2. El validador RPKI comprueba los objetos firmados y genera datos validados, llamados VRP.
3. El router recibe esos datos y los compara con las rutas BGP correspondientes.
4. Cada red aplica su política a los resultados Valid, Invalid y NotFound.

El router utiliza los datos disponibles localmente; no consulta al registro por cada ruta. Publicar una ROA y aplicar la validación de origen son pasos distintos que trabajan juntos.

Los tres datos que necesitas

• ASN de origen: el sistema autónomo que origina la ruta.
• Prefijo IP: el bloque IPv4 o IPv6 cubierto.
• maxLength: un campo opcional que limita la longitud de los prefijos autorizados.

Una ROA identifica un ASN y puede incluir varios prefijos. Si dos ASN deben originar el mismo bloque, publica una autorización para cada uno. El ASN de origen no es necesariamente el de tu proveedor de tránsito.

Diferencias entre ROA, RPKI y ROV

RPKI es la infraestructura de confianza; ROA, la autorización firmada; y ROV, la validación que compara una ruta BGP con las autorizaciones verificadas. Puedes ampliar la explicación en nuestra guía de RPKI en inglés.

Cómo interpretar Valid, Invalid y NotFound

Supongamos que solo existe una autorización para 203.0.113.0/24, con origen AS64500, que permite únicamente ese /24. Estas direcciones de documentación sirven para explicar la validación, no para anunciarlas en Internet.

Resultados con una única autorización de ejemplo

Resultado	Anuncio	Motivo
Valid	203.0.113.0/24 · AS64500	Coinciden el origen y la longitud.
Invalid	203.0.113.0/24 · AS64501	No hay autorización coincidente para ese ASN.
Invalid	203.0.113.0/25 · AS64500	El /25 es más específico de lo permitido.
NotFound	198.51.100.0/24 · AS64500	Ninguna autorización validada cubre este otro prefijo.

Al comprobar todos los datos disponibles, basta una autorización coincidente para obtener Valid. Invalid significa que alguna autorización cubre la ruta, pero ninguna permite su origen y longitud. NotFound indica que ninguna la cubre. Las definiciones están en RFC 6811.

¿Cómo elegir maxLength?

Sin maxLength, solo queda autorizado el prefijo exacto. Para un /24, el valor 25 permite además anunciar sus dos /25 desde ese ASN. Esto no garantiza que se propaguen por todo Internet: otras redes mantienen sus propios filtros de prefijos.

Parte de lo que realmente vas a anunciar. Las autorizaciones exactas son más fáciles de revisar y evitan incluir subprefijos que no utilizas. RFC 9319 recomienda estas ROA mínimas.

Cómo ayuda frente al secuestro BGP

Si otro AS origina tu prefijo sin una autorización coincidente, ROV lo clasifica como Invalid. Las redes que rechazan esas rutas pueden descartar el anuncio conflictivo, ayudando a proteger el camino que siguen tus clientes hasta el servicio.

Qué revisar además del origen

ROV valida el origen, no cada salto del camino AS. Una fuga de rutas puede conservar el ASN autorizado y seguir siendo Valid. Combina las ROA con filtros, monitorización BGP y pruebas de acceso para conocer la experiencia real del cliente.

La disponibilidad continuada del recurso IP es otra parte de la continuidad del negocio, situada más allá de la configuración de rutas.

Prepara la ROA antes de mover tráfico

1. Enumera los anuncios. Incluye prefijos, ASN y subprefijos, también los previstos para respaldo o mitigación DDoS.
2. Publica la autorización. Usa el servicio RPKI alojado o delegado que gestiona el recurso. Si alquilas las direcciones, coordínate con el proveedor.
3. Comprueba la publicación. Confirma que los validadores ven la nueva autorización antes de cambiar BGP. Los tiempos de actualización varían.
4. Verifica desde fuera. Revisa el origen observado, la validación y el acceso a los servicios.

Para migrar de ASN, autoriza primero el nuevo origen. Conserva la autorización anterior mientras siga en uso. Cambia el anuncio, comprueba la nueva ruta y elimina la autorización antigua después de retirar la ruta anterior.

Si una ruta legítima aparece como Invalid

• ASN distinto: compara el origen BGP real con la ROA, especialmente si el proveedor anuncia el bloque por ti.
• Subprefijo sin autorizar: revisa la longitud de cada anuncio.
• maxLength demasiado amplio: sustituye permisos innecesarios por los prefijos que utilizas.
• Migración fuera de orden: confirma que la autorización nueva precedió al cambio BGP.
• Retirada prematura: comprueba si el origen antiguo aún transporta tráfico.

Invalid también puede deberse a una configuración que no coincide. Revisa la ROA publicada y los datos actuales del validador antes de modificar una ruta en servicio.

Haz más sencillo el próximo cambio

Registra los ASN de cada prefijo, quién mantiene sus ROA y cuándo se hará la migración. Monitoriza validación y acceso exterior. Revisa las autorizaciones tras un cambio de ASN, de subprefijos, de respaldo o de proveedor que altere el origen.

Del enrutamiento a la continuidad IPv4

Tu negocio necesita direcciones que pueda seguir usando mientras crece. La ROA resuelve la autorización del origen; la exposición a la capa de registro sigue existiendo aunque la configuración técnica sea correcta.

LARUS alquila directamente desde su propio pool y asume la relación con el registro, para que tu equipo se concentre en sus clientes. Lu Heng explica este modelo en la Note 35. Con LARUS Continuity, prepara tu crecimiento con Unlimited IPv4 y un equipo que sigue contigo después de la entrega inicial.

Una ruta preparada para el siguiente paso

Haz coincidir prefijo y ASN, publica la autorización, verifica la ruta y planifica el próximo cambio. Así conviertes la ROA en una herramienta útil para desplegar servicios y mantener conectados a tus clientes.

Preguntas sobre ROA

¿Qué significa ROA?

Route Origin Authorization: una autorización firmada para que un AS origine determinados prefijos IP.

¿ROA y RPKI son lo mismo?

No. RPKI aporta la infraestructura; la ROA contiene una autorización.

¿Qué datos debo preparar?

El prefijo, su ASN de origen y las longitudes de los prefijos que vas a anunciar.

¿Valid significa accesible desde cualquier lugar?

Significa que la ruta coincide con una autorización validada. Comprueba también su visibilidad BGP y el acceso al servicio.

¿Qué reviso si aparece Invalid?

El origen y la longitud frente a todas las autorizaciones que cubren la ruta, y la actualización del validador.

¿NotFound equivale a Invalid?

No. Indica que no hay una autorización validada que cubra la ruta; no demuestra un origen no autorizado.

¿La ROA detiene todos los secuestros?

ROV ayuda a rechazar orígenes no autorizados, pero no verifica todo el camino AS. Los filtros y la monitorización siguen siendo útiles.

¿Una fuga de rutas puede seguir siendo Valid?

Sí, si conserva el origen autorizado. ROV no detecta todas las fugas.

¿Una ROA incorrecta puede afectar al cliente?

Sí. Puede convertir una ruta legítima en Invalid y provocar su rechazo en otras redes.

¿Cuándo actualizo la ROA?

Antes de cambiar el ASN de origen o las longitudes autorizadas, coordinando publicación y modificación BGP.