Qu’est-ce qu’une ROA ? Guide du routage BGP et de la RPKI

Un nouveau bloc IP doit permettre à vos clients d’accéder à vos services. Une autorisation d’origine de route, ou ROA, aide les autres réseaux à vérifier que votre annonce BGP provient d’un système autonome autorisé. Bien la préparer facilite une mise en service, une montée en capacité ou une migration.

Qu’est-ce qu’une Route Origin Authorization (ROA) ?

Une ROA est un objet signé numériquement qui autorise un numéro de système autonome (ASN) à annoncer un ou plusieurs préfixes IP. Le détenteur de la ressource la publie dans la RPKI, l’infrastructure à clés publiques des ressources Internet. Les autres réseaux peuvent comparer les annonces BGP avec cette autorisation validée.

Une ROA peut, par exemple, autoriser AS64500 à annoncer 203.0.113.0/24. Ces valeurs sont réservées à la documentation : utilisez vos propres ressources en production. Le format est défini par la RFC 9582, qui remplace la RFC 6482.

Pourquoi la ROA compte pour vos clients

Vos clients veulent joindre un site, une API ou une application. BGP échange les routes entre réseaux, mais une annonce erronée peut détourner le trafic de sa destination. Une ROA correcte donne aux réseaux qui valident l’origine un moyen de repérer une annonce incompatible avec votre autorisation.

Elle aide aussi vos propres annonces à rester valides lorsque vous ouvrez un site, ajoutez de la capacité ou changez d’ASN d’origine.

Comment fonctionne une ROA ?

1. Le détenteur publie le préfixe et l’ASN autorisé au moyen de son service RPKI.
2. Un validateur RPKI vérifie les objets signés et produit des données validées, les VRP.
3. Le routeur reçoit ces données et les compare aux routes BGP concernées.
4. Chaque réseau applique sa politique de routage aux résultats Valid, Invalid ou NotFound.

Le routeur utilise des données disponibles localement, sans interroger un registre pour chaque route. Publier une ROA et appliquer la validation d’origine sont deux étapes complémentaires.

Quelles informations faut-il préparer ?

• ASN d’origine : le système autonome qui émet réellement la route.
• Préfixe IP : le bloc IPv4 ou IPv6 couvert.
• maxLength : la longueur maximale autorisée, si vous utilisez ce champ facultatif.

Une ROA désigne un seul ASN et peut contenir plusieurs préfixes. Pour deux ASN d’origine, publiez une autorisation pour chacun. L’ASN d’origine n’est pas nécessairement celui du fournisseur de transit.

ROA, RPKI et ROV : trois rôles distincts

La RPKI fournit l’infrastructure de confiance. La ROA porte l’autorisation signée. La ROV, validation de l’origine des routes, compare une annonce BGP aux autorisations validées. Pour approfondir, consultez notre guide RPKI en anglais.

Comprendre Valid, Invalid et NotFound

Supposons qu’une seule autorisation couvre 203.0.113.0/24, pour AS64500, sans permettre de préfixe plus spécifique. Ces adresses de documentation illustrent la validation ; elles ne sont pas destinées à un déploiement public.

Résultats avec une seule autorisation d’exemple

Résultat	Annonce	Explication
Valid	203.0.113.0/24 · AS64500	L’origine et la longueur correspondent.
Invalid	203.0.113.0/24 · AS64501	Aucune autorisation ne correspond à cet ASN.
Invalid	203.0.113.0/25 · AS64500	Le /25 dépasse la longueur permise.
NotFound	198.51.100.0/24 · AS64500	Aucune autorisation validée ne couvre cet autre préfixe.

En pratique, une seule autorisation correspondante suffit pour obtenir Valid. Invalid signifie qu’au moins une autorisation couvre la route, mais qu’aucune ne correspond à la fois à l’origine et à la longueur. NotFound signifie qu’aucune ne la couvre. Voir la RFC 6811.

Comment choisir maxLength ?

Sans maxLength, seul le préfixe exact est autorisé. Pour un /24, une valeur de 25 permet aussi à cet ASN d’annoncer les deux /25 qu’il contient. Cela ne garantit pas leur propagation mondiale : les réseaux appliquent leurs propres filtres de préfixes.

Partez des annonces réellement nécessaires. Des autorisations précises sont plus faciles à vérifier et évitent de couvrir des sous-préfixes inutilisés. La RFC 9319 recommande ces ROA minimales.

Réduire le risque de détournement BGP

Si un autre AS annonce votre préfixe sans autorisation correspondante, la ROV classe cette route Invalid. Les réseaux qui rejettent ces routes peuvent écarter l’annonce conflictuelle et mieux protéger le chemin emprunté par vos clients.

Au-delà d’une origine valide

La validation d’origine ne vérifie pas chaque saut du chemin AS. Une fuite de route peut conserver le bon ASN d’origine et rester Valid. Associez les ROA au filtrage, à la surveillance BGP et aux tests d’accès à vos services pour suivre l’expérience réelle de vos clients.

La disponibilité durable de la ressource IP est une autre dimension de la continuité, en amont de la configuration du routage.

Préparer la ROA avant de déplacer le trafic

1. Recensez les annonces. Préfixes, ASN et sous-préfixes, y compris les routes prévues pour le secours ou la protection DDoS.
2. Publiez l’autorisation. Utilisez le service RPKI hébergé ou délégué qui gère la ressource. Pour des adresses louées, coordonnez cette étape avec votre fournisseur.
3. Vérifiez sa diffusion. Attendez de voir l’autorisation dans les données des validateurs avant de modifier BGP. Les délais de rafraîchissement varient.
4. Contrôlez depuis l’extérieur. Vérifiez l’origine observée, l’état de validation et l’accès aux services.

Pour changer d’ASN, autorisez d’abord la nouvelle origine. Conservez l’ancienne autorisation tant que l’ancien ASN reste utilisé. Basculez la route, vérifiez le résultat, puis retirez l’autorisation devenue inutile après le retrait de l’ancienne annonce.

Une route légitime est Invalid : que vérifier ?

• ASN différent : comparez l’origine BGP réelle à la ROA, notamment si un prestataire annonce le bloc.
• Sous-préfixe oublié : vérifiez la longueur de chaque annonce.
• maxLength trop large : remplacez les permissions inutiles par les préfixes nécessaires.
• Migration mal séquencée : assurez-vous que la nouvelle autorisation précède le changement BGP.
• Retrait prématuré : vérifiez si l’ancienne origine transporte encore du trafic.

Invalid peut signaler une simple incohérence de configuration. Comparez la ROA publiée aux données actuelles du validateur avant de modifier une route en service.

Simplifier votre prochain changement

Conservez, pour chaque préfixe, les ASN d’origine, le contact chargé des ROA et le créneau de migration. Surveillez la validation et l’accessibilité extérieure. Recontrôlez après un changement d’ASN, de découpage, de secours ou de fournisseur qui modifie l’origine.

Relier le routage à la continuité IPv4

Vos services ont besoin d’adresses utilisables aujourd’hui et demain. La ROA prépare l’autorisation d’origine ; l’exposition au registre reste un sujet en amont, même lorsque le routage est correctement configuré.

LARUS loue directement les adresses de son propre pool et prend en charge l’interface avec le registre, pour que votre équipe se concentre sur ses clients. Lu Heng explique ce modèle dans la Note 35. Avec LARUS Continuity, préparez votre croissance avec Unlimited IPv4 et une équipe qui reste engagée après la mise à disposition.

Préparer la route, accompagner la croissance

Faites correspondre le préfixe et l’ASN, publiez l’autorisation, vérifiez la route et anticipez la prochaine évolution. La ROA devient ainsi un outil concret au service de vos déploiements et de vos clients.

Vos questions sur les ROA

Que signifie ROA ?

Route Origin Authorization : une autorisation signée permettant à un AS d’annoncer des préfixes IP précis.

ROA et RPKI sont-elles identiques ?

Non. La RPKI fournit l’infrastructure ; la ROA porte une autorisation.

Quelles données préparer ?

Le préfixe, l’ASN d’origine et les longueurs de préfixes réellement annoncées.

Valid signifie-t-il accessible partout ?

Il signifie que la route correspond à une autorisation validée. Vérifiez aussi sa visibilité BGP et l’accès aux services.

Que faire devant Invalid ?

Comparez l’origine et la longueur à toutes les autorisations couvrantes, puis vérifiez la fraîcheur des données du validateur.

NotFound équivaut-il à Invalid ?

Non. NotFound indique l’absence d’autorisation validée couvrante, pas une origine nécessairement non autorisée.

Une ROA bloque-t-elle tous les détournements ?

La ROV aide à rejeter les origines non autorisées, sans vérifier tout le chemin AS. Le filtrage et la surveillance restent utiles.

Une fuite de route peut-elle rester Valid ?

Oui, si elle conserve une origine autorisée. La ROV ne détecte donc pas toutes les fuites.

Une erreur de ROA peut-elle toucher les clients ?

Oui. Une route légitime devenue Invalid peut être rejetée par d’autres réseaux.

Quand mettre à jour une ROA ?

Avant de changer l’ASN d’origine ou les longueurs autorisées, en coordonnant la publication avec la modification BGP.