¿Qué es la Autorización de Origen de Ruta (ROA)?

Una Route Origin Authorization (ROA) es un objeto firmado criptográficamente dentro de la Resource Public Key Infrastructure (RPKI) que permite al titular de un recurso de direcciones IP especificar qué Autonomous System (AS) está autorizado a originar rutas para determinados prefijos IP. Las ROA proporcionan a los operadores de red información verificable que puede utilizarse para evaluar el origen de los anuncios del Border Gateway Protocol (BGP).

Las ROA son una parte importante de la seguridad moderna del enrutamiento porque BGP, por sí mismo, no verifica criptográficamente si el Autonomous System que anuncia un prefijo IP ha sido autorizado por el titular del recurso. Cuando se combinan con Route Origin Validation (ROV), los datos de ROA ayudan a las redes a identificar anuncios cuya información de origen entra en conflicto con la autorización de enrutamiento publicada.

Sin embargo, una ROA no valida la ruta BGP completa ni evita todos los tipos de fugas de rutas o incidentes de enrutamiento. Comprender exactamente qué autoriza una ROA —y cómo configurarla correctamente esencial para mantener tanto la seguridad del enrutamiento como la continuidad de la red.

¿Qué es una Route Origin Authorization (ROA)?

Una Route Origin Authorization (ROA) es un objeto RPKI firmado digitalmente mediante el cual el titular de un recurso de direcciones IP autoriza a un Autonomous System Number (ASN) concreto a originar rutas para uno o más prefijos IP.

Las ROA forman parte de la Resource Public Key Infrastructure. Su propósito no es indicar a los routers cuál es la mejor ruta. En cambio, proporcionan información de autorización verificable que los operadores de red pueden comparar con los anuncios BGP.

Por ejemplo, una organización que controla un prefijo IPv4 puede crear una ROA indicando que AS64500 está autorizado a originar ese prefijo. Las redes que realizan Route Origin Validation pueden comparar posteriormente los anuncios BGP observados con dicha autorización.

El estándar actual del IETF que define el perfil ROA es RFC 9582, publicado en 2024, que sustituyó a la especificación anterior RFC 6482.

¿Por qué es importante una ROA?

El Border Gateway Protocol (BGP) es responsable del intercambio de información de enrutamiento entre Autonomous Systems a través de Internet. BGP permite a las redes anunciar qué prefijos IP pueden alcanzar, pero el BGP tradicional no contiene un mecanismo criptográfico integrado que demuestre que el ASN de origen está autorizado por el titular de ese espacio de direcciones.

Esto crea la posibilidad de que un ASN incorrecto anuncie el prefijo de otra red, ya sea debido a un error de configuración o a una actividad maliciosa.

¿Cómo funciona una ROA?

La validación de rutas basada en ROA implica varios componentes independientes. El titular del recurso publica la autorización, el software de validación RPKI verifica los datos firmados criptográficamente y los operadores de red deciden cómo debe influir la información de validación resultante en la política de enrutamiento BGP.

¿Qué información contiene una ROA?

Para fines de enrutamiento, hay tres elementos de información especialmente importantes para comprender una ROA:

Un único objeto ROA autoriza a un ASN de origen. Si el mismo espacio de direcciones debe ser originado legítimamente por varios Autonomous Systems, pueden crearse varias ROA para representar dichas autorizaciones.

Cómo funcionan juntas ROA y RPKI

ROA y RPKI están estrechamente relacionadas, pero no son lo mismo. RPKI es el marco criptográfico más amplio para los recursos numéricos de Internet. Una ROA es un tipo de objeto firmado creado dentro de ese marco.

También puedes leer: ¿Qué es RPKI y cómo funciona?

Validación de ROA: Valid, Invalid y NotFound

Cuando un anuncio BGP se compara con información de autorización RPKI validada, el resultado de validación del origen suele clasificarse como Valid, Invalid o NotFound. Algunas interfaces pueden utilizar el término Unknown para el tercer estado.

Una ruta Invalid no debe interpretarse automáticamente como prueba de un ataque. Las rutas legítimas pueden convertirse en Invalid debido a una ROA desactualizada, un ASN incorrecto, una migración o una longitud máxima configurada incorrectamente.

¿Qué es maxLength en una ROA?

El campo opcional maxLength determina hasta qué nivel de especificidad puede llegar un anuncio y seguir estando autorizado por esa ROA.

Supongamos que una organización controla 203.0.113.0/24. Si autoriza a AS64500 a originar únicamente ese /24 exacto, no necesita permitir prefijos adicionales más específicos.

Si la organización necesita legítimamente que AS64500 anuncie prefijos /25 dentro del /24, la autorización puede permitir anuncios más específicos hasta /25.

Cómo ayuda una ROA a reducir el riesgo de secuestro BGP

Un secuestro de prefijo BGP puede producirse cuando un Autonomous System origina un espacio de direcciones que no está autorizado o no se espera que origine. Los anuncios incorrectos pueden deberse a errores de configuración o a actividades maliciosas.

Publicar una ROA precisa permite a las redes que realizan ROV distinguir un origen autorizado de un anuncio que entra en conflicto con la autorización publicada por el titular del recurso.

Contra qué no protege una ROA

La ROA es un mecanismo de seguridad valioso, pero su función no debe exagerarse. La Route Origin Validation estándar basada en ROA se centra específicamente en la autorización del origen de rutas.

Esta distinción es especialmente importante porque describir las ROA como una solución general para las fugas de rutas puede crear una expectativa incorrecta sobre el alcance de su protección.

Cómo crear una ROA

El proceso exacto para crear una ROA depende de cómo se gestione el entorno de certificación RPKI de la organización. Los titulares de recursos numéricos de Internet suelen interactuar con los servicios RPKI asociados al Regional Internet Registry correspondiente o, cuando proceda, operar infraestructura RPKI delegada.

Antes de crear la autorización, el equipo de red debe determinar la configuración de enrutamiento de producción prevista.

Una vez publicada, la ROA debe comprobarse frente a los anuncios BGP reales de la organización. La monitorización debe continuar después del despliegue, en lugar de considerar la creación de una ROA como una tarea de configuración única.

Errores comunes de configuración de ROA

ASN de origen incorrecto

Si el ASN especificado en la ROA no coincide con el ASN que realmente origina la ruta, un anuncio legítimo puede convertirse en Invalid.

Longitud máxima incorrecta

Una red puede anunciar legítimamente prefijos más específicos, pero si la autorización no permite esas longitudes de prefijo, los anuncios pueden clasificarse como Invalid.

maxLength excesivamente amplio

Permitir prefijos considerablemente más específicos de los que la red pretende anunciar puede ampliar innecesariamente el alcance de la autorización.

Olvidar actualizar las ROA durante una migración

Si una red cambia de proveedor upstream o mueve un prefijo a otro ASN de origen, su autorización de enrutamiento debe coordinarse con la migración. De lo contrario, la nueva ruta legítima puede convertirse en Invalid.

Eliminar una autorización demasiado pronto

Durante las migraciones de enrutamiento, eliminar la autorización anterior antes de que el tráfico se haya trasladado por completo puede generar problemas temporales de validación del origen. Los cambios de autorización y los cambios BGP deben seguir una secuencia controlada.

Buenas prácticas de ROA para operadores de red

ROA y gestión de direcciones IP

La gestión de ROA demuestra por qué la gestión de direcciones IP públicas va más allá de simplemente poseer o tener acceso a un bloque de direcciones. Un recurso IPv4 o IPv6 utilizado en producción también debe estar correctamente enrutado, registrado, autorizado, monitorizado y mantenido.

Esto resulta especialmente importante durante el alquiler de IPv4, las migraciones de red, los cambios de proveedor, el multihoming y la expansión de infraestructura. La autorización de enrutamiento debe mantenerse alineada con el ASN de origen real durante todo el ciclo de vida operativo.

Por lo tanto, las organizaciones que gestionan recursos IPv4 públicos deberían incluir la revisión de ROA y RPKI en sus procedimientos de cambios de enrutamiento, en lugar de tratarlas como tareas administrativas independientes.

Conclusión

Route Origin Authorization es uno de los componentes más importantes de la seguridad de enrutamiento basada en RPKI. Una ROA permite al titular de un recurso de direcciones IP publicar una autorización verificable criptográficamente que indica qué Autonomous System puede originar determinados prefijos IP.

Las redes que realizan Route Origin Validation pueden comparar los anuncios BGP con esta autorización y clasificar los orígenes de rutas como Valid, Invalid o NotFound. Esto proporciona una señal de seguridad adicional que puede ayudar a identificar determinados anuncios de origen no autorizados o configurados incorrectamente.

No obstante, las ROA deben gestionarse con cuidado. Un ASN de origen incorrecto, una longitud máxima excesivamente restrictiva o demasiado amplia, o una migración de enrutamiento mal coordinada pueden afectar la validación de rutas legítimas. Una ROA tampoco valida la ruta BGP completa ni elimina todas las formas de fuga de rutas.

Por ello, los operadores de red deben considerar la ROA como parte de una estrategia más amplia de gestión del enrutamiento y de los recursos IP que combine autorización precisa, monitorización BGP, filtrado de rutas, control de cambios y continuidad operativa.

Preguntas frecuentes

1. ¿Qué significa ROA?

ROA significa Route Origin Authorization. Es un objeto RPKI firmado que autoriza a un Autonomous System a originar rutas para determinados prefijos IP.

2. ¿Cuál es la diferencia entre ROA y RPKI?

RPKI es la infraestructura criptográfica más amplia para los recursos numéricos de Internet. Una ROA es un tipo de objeto firmado dentro de RPKI que describe la autorización del origen de rutas.

3. ¿Qué información se incluye en una ROA?

Para fines de enrutamiento, una ROA identifica un ASN de origen autorizado y uno o más prefijos IP. Cada prefijo también puede incluir una longitud máxima opcional que define hasta qué nivel de especificidad puede llegar un anuncio BGP autorizado.

4. ¿Qué significa una ROA Valid?

Un estado de origen de ruta Valid significa que el anuncio BGP está cubierto por al menos una autorización validada que permite su ASN de origen y su longitud de prefijo.

5. ¿Qué significa RPKI Invalid?

Invalid significa que existe una autorización que cubre la ruta, pero el anuncio BGP no coincide con un ASN de origen autorizado o con una longitud de prefijo permitida.

6. ¿Qué significa NotFound?

NotFound significa que ninguna ROA validada cubre el prefijo anunciado. Es diferente de Invalid y, por sí solo, no indica un enrutamiento no autorizado.

7. ¿Una ROA detiene el secuestro BGP?

La Route Origin Validation basada en ROA puede ayudar a las redes a identificar determinados orígenes de rutas no autorizados cuando existen ROA adecuadas. Reduce el riesgo, pero no evita todas las formas de secuestro BGP.

8. ¿Una ROA evita las fugas de rutas?

No necesariamente. Una fuga de ruta puede seguir originándose desde el ASN correcto y autorizado y, por tanto, aparecer como Valid bajo Route Origin Validation. Una ROA no valida la ruta AS completa.

9. ¿Una ROA incorrecta puede afectar al enrutamiento legítimo?

Sí. Una autorización incorrecta de ASN o longitud de prefijo puede hacer que anuncios BGP legítimos se conviertan en Invalid. Las redes que rechazan rutas Invalid pueden dejar de aceptar esos anuncios.

10. ¿Cuándo debe actualizarse una ROA?

Las ROA deben revisarse siempre que cambien el ASN de origen, la estructura de prefijos, los anuncios más específicos, la arquitectura upstream u otra configuración de enrutamiento relevante.