BGP, IRR ve RPKI uyumsuzluğu: bağlantıyı koruyun

Hizmetiniz sizin ağınızdan açılıyor, ama bazı müşterileriniz bağlanamıyor mu? Yeni bir ASN'ye veya IPv4 bloğuna geçerken BGP duyurusu, IRR kaydı ve RPKI/ROA bilgisi farklı kalabilir. Bu rehber, uyuşmazlığın kaynağını bulup müşterilerinizin bağlantısını koruyarak düzeltmenize yardımcı olur.

BGP canlı duyuruyu, IRR yayımlanan yönlendirme bilgisini, RPKI ise doğrulanabilir kaynak yetkilendirmesini gösterir. Üçünü birlikte incelemek, çalışan bir rotayı gereksiz yere değiştirmek yerine doğru kaydı düzeltmenizi sağlar.

BGP, IRR ve RPKI Uyumsuzluğu: Kısa Yanıt

BGP, IRR ve RPKI uyumsuzluğu, canlı BGP yönlendirmesinde gözlemlenen önek ve kaynak ASN bilgilerinin Internet Routing Registry, Route Origin Authorization veya her ikisinde yayımlanan bilgilerle örtüşmemesi durumunda ortaya çıkar.

Örneğin:

• BGP, AS64501 gösterebilir.
• IRR rota nesnesinde hâlâ AS64500 kayıtlı olabilir.
• ROA, AS64500 için yetkilendirme içeriyor olabilir.

Bu durum, AS64501'in kötü niyetli olduğu anlamına gelmez.

Ağ, çevresindeki yönlendirme kayıtlarını güncellemeden yalnızca kaynak ASN'sini değiştirmiş olabilir.

Ancak bu uyumsuzluğun operasyonel sonuçları olabilir.

Güncelliğini yitirmiş bir IRR kaydı, IRR verilerinden oluşturulan filtrelerle çelişebilir.

Yanlış bir ROA, meşru bir BGP duyurusunun Route Origin Validation uygulayan ağlarda RPKI Invalid olarak sınıflandırılmasına neden olabilir.

Bu nedenle en güvenli yaklaşım şudur:

1. Hedeflenen kaynak ASN'yi belirleyin.
2. Canlı BGP duyurusunu doğrulayın.
3. IRR rota nesnesini kontrol edin.
4. ROA'yı ve RPKI doğrulama durumunu kontrol edin.
5. Son ağ veya kaynak değişikliklerini inceleyin.
6. Artık hedeflenen dağıtımı yansıtmayan katmanı düzeltin.
7. Değişiklikten sonra küresel erişilebilirliği doğrulayın.

Bu yönlendirme ve yetkilendirme sistemleri, numara kaynaklarını, yönlendirme bilgilerini, güvenlik beyanlarını ve operasyonel birlikte çalışabilirliği koordine etmek için kullanılan daha geniş teknik internet yönetişimi çerçevesinin de bir parçasıdır.

BGP, IRR ve RPKI Neyi Temsil Eder?

Bir uyumsuzluğu anlamak için öncelikle bu sistemlerin farklı sorulara yanıt verdiğini bilmek gerekir.

BGP, IRR ve RPKI hangi bilgiyi sağlar?

Sistem	Neyi Temsil Eder?	Temel Soru
BGP	Canlı yönlendirme erişilebilirliği ve yol bilgileri	Bu öneği şu anda gerçekte hangi ASN duyuruyor?
IRR	Yayımlanmış yönlendirme politikası bilgileri	Beklenen kaynak ASN olarak hangisi belgelenmiş?
RPKI / ROA	Kriptografik olarak doğrulanabilir kaynak yetkilendirmesi	Bu öneği duyurmaya hangi ASN yetkilidir?

Bu işlevler bazı noktalarda örtüşse de birbirlerinin yerine kullanılamaz.

BGP: Gerçekte Ne Duyuruluyor?

Border Gateway Protocol, internet genelinde erişilebilirlik bilgilerinin paylaşılması için kullanılan, Otonom Sistemler arası yönlendirme protokolüdür.

Temel BGP standardı olan RFC 4271, BGP'yi Otonom Sistemler arasında ağ erişilebilirliği bilgilerinin paylaşılmasını sağlayan bir protokol olarak tanımlar.

Bir operatör IPv4 öneğinin BGP bilgilerini kontrol ettiğinde şu verileri gözlemleyebilir:

• Kaynak ASN
• AS yolu
• Önek uzunluğu
• Upstream ağlardaki görünürlük
• Daha spesifik önek duyuruları

Dolayısıyla BGP son derece önemli bir soruya yanıt verir:

Ağ gerçekte ne duyuruyor?

Ancak BGP'de gözlemlenen bir rota, kaynak ASN'nin yetkili olduğunu tek başına kanıtlamaz.

Bir yapılandırma hatası, rota sızıntısı veya yetkisiz duyuru da BGP'de görünebilir.

IRR: Yayımlanmış Yönlendirme Politikası Ne Söylüyor?

Internet Routing Registry, yönlendirme politikası bilgilerini saklar.

IPv4 için bir IRR rota nesnesi genellikle şu bilgileri ilişkilendirir:

• Bir IP öneği
• Bir kaynak ASN

Örneğin:

route:  203.0.113.0/24
origin: AS64500

Bu kayıt, IRR'nin ilgili öneği AS64500 ile ilişkilendirdiğini gösterir.

LARUS, bu yapıyı ve operasyonel rolünü IRR Route Object Nedir? Ağ Operatörleri İçin Rehber başlıklı makalesinde daha ayrıntılı olarak açıklamaktadır.

Bir IRR kaydı, yönlendirme politikası bilgilerini tanımlar. Tek başına bir BGP duyurusu oluşturmaz.

Bazı ağlar, yönlendirme filtrelerini oluşturmak için IRR bilgilerini kullanır. Bu nedenle yanlış veya güncelliğini yitirmiş rota nesneleri operasyonel sorunlara neden olabilir.

RPKI: Kriptografik Olarak Ne Yetkilendirilmiştir?

Resource Public Key Infrastructure, yönlendirme kaynaklarının yetkilendirilmesi için kriptografik bir çerçeve sağlar.

Bir Route Origin Authorization, bir IP öneği için yetkilendirilmiş kaynak ASN'yi belirtir ve yetkilendirmenin izin verdiği maksimum önek uzunluğunu da tanımlayabilir.

Güncel teknik ROA profili RFC 9582 kapsamında tanımlanmıştır.

ROA verileri, BGP duyurularının doğrulanmış yetkilendirme bilgileriyle uyumlu olup olmadığını sınıflandırmak amacıyla Route Origin Validation sürecinde kullanılabilir.

LARUS, RPKI Nedir? başlıklı makalesinde daha kapsamlı bir açıklama sunmaktadır.

Dolayısıyla RPKI şu sorunun yanıtlanmasına yardımcı olur:

Doğrulanmış RPKI verilerine göre bu kaynak ASN, söz konusu öneği duyurmaya yetkili mi?

RPKI kaynak doğrulaması, AS yolunun tamamını doğrulamaz. Ayrıca BGP izleme, IRR kayıtlarının güncel tutulması veya operasyonel filtrelemenin yerini almaz.

BGP, IRR ve RPKI Uyumsuzluğu Nasıl Görünür?

Şu IPv4 öneğini kullanan bir kuruluş düşünün:

203.0.113.0/24

Hedeflenen kaynak ASN:

AS64500

İdeal durum şöyledir:

Uyumlu yönlendirme kayıtları örneği

Katman	Durum
BGP	AS64500
IRR	AS64500
RPKI	AS64500 yetkilendirilmiş
Sonuç	Uyumlu

Ancak bir ağ geçişinden sonra BGP şu şekilde değişebilir:

AS64501

Diğer kayıtlar ise değişmeden kalabilir.

Kaynak ASN uyuşmazlığı örneği

Katman	Durum
BGP	AS64501
IRR	AS64500
RPKI	AS64500 yetkilendirilmiş
Sonuç	BGP, hem IRR hem de RPKI ile uyuşmuyor

Bu durumda ağ operatörü şu olasılıkları araştırmalıdır:

• AS64501'in meşru yeni kaynak ASN olup olmadığı
• BGP yapılandırmasının yanlış olup olmadığı
• IRR nesnesinin güncelliğini yitirip yitirmediği
• ROA'nın güncelliğini yitirip yitirmediği
• Beklenmeyen bir duyurunun gerçekleşip gerçekleşmediği

Bu araştırma, uyumsuzluk sorunlarını gidermenin temelini oluşturur.

Yaygın BGP, IRR ve RPKI Uyumsuzluğu Senaryoları

Aşağıdaki tablo, sorun giderme için yararlı bir başlangıç noktası sunar.

BGP, IRR ve RPKI karşılaştırma tablosu

BGP	IRR	RPKI	Olası Açıklama
ASN A	ASN A	ASN A	Kayıtlar uyumlu
ASN B	ASN A	ASN A	BGP kaynak ASN'si değişmiş; yönlendirmenin mi yoksa kayıtların mı güncellenmesi gerektiği doğrulanmalı
ASN B	ASN B	ASN A	IRR ve BGP uyumlu; ROA'nın incelenmesi gerekebilir
ASN B	ASN A	ASN B	BGP ve ROA uyumlu; IRR güncelliğini yitirmiş olabilir
ASN A	Eksik	ASN A	RPKI, BGP ile uyumlu; IRR bilgisi eksik olabilir
ASN A	ASN A	NotFound	Rotayı kapsayan doğrulanmış bir ROA bulunmayabilir
ASN A	ASN A	Invalid	ASN ve önek uzunluğu yetkilendirmesi kontrol edilmeli
Görünür rota yok	ASN A	ASN A	Kayıtlar mevcut ancak önek şu anda duyurulmuyor olabilir

Bu satırların hiçbiri otomatik olarak kötü niyetli davranışın kanıtı şeklinde yorumlanmamalıdır.

Bunlar tanılama sinyalleridir.

Senaryo 1: BGP Kaynak ASN'si IRR Rota Nesnesiyle Eşleşmiyor

Canlı BGP'nin şu bilgiyi gösterdiğini varsayalım:

203.0.113.0/24 → AS64501

Ancak IRR rota nesnesinde şu bilgiler yer alıyor:

route:  203.0.113.0/24
origin: AS64500

Bunun birkaç olası açıklaması vardır.

Ağ Yakın Zamanda ASN Değiştirmiştir

Bir ağ şu değişiklikleri gerçekleştirmiş olabilir:

• Transit mimarisini değiştirmiş olabilir.
• Altyapısını taşımış olabilir.
• Yeni bir ASN'ye geçmiş olabilir.
• Yönlendirme sağlayıcılarını değiştirmiş olabilir.
• Ağını yeniden yapılandırmış olabilir.

BGP yeni tasarımı yansıtırken IRR kaydı hâlâ eski durumu gösteriyor olabilir.

IRR Nesnesi Güncellenmemiştir

Geçiş meşru olabilir ancak IRR kayıtlarının bakımı değişiklik sürecine dâhil edilmemiş olabilir.

BGP Yanlıştır

Tersi de mümkündür.

IRR kaydı hâlâ hedeflenen kaynak ASN'yi doğru biçimde tanımlarken BGP'de yanlış ASN'den yapılan kazara bir duyuru bulunabilir.

Bu Neden Önemlidir?

Bir upstream sağlayıcısı veya eş ağ, yönlendirme filtrelerini IRR verilerinden oluşturuyorsa beklenen IRR bilgileriyle eşleşmeyen meşru bir BGP duyurusu filtreleme sorunlarıyla karşılaşabilir.

Rota bir sağlayıcı üzerinden çalışırken başka bir sağlayıcı üzerinden çalışmayabilir.

Bu nedenle yönlendirme sorunlarını giderirken yalnızca yerel yönlendiriciyi kontrol etmek yerine birden fazla harici gözlem kaynağı kullanılmalıdır.

Senaryo 2: BGP Kaynak ASN'si ROA ile Eşleşmiyor

Bu uyumsuzluğun yönlendirme güvenliği üzerinde daha doğrudan sonuçları olabilir.

Şu durumu düşünün:

BGP:  203.0.113.0/24 → AS64501
ROA:  203.0.113.0/24 → AS64500

Rota ROA kapsamındaysa ancak kaynak ASN yetkilendirilmiş bir kaynakla eşleşmiyorsa Route Origin Validation, duyuruyu Invalid olarak sınıflandırabilir.

RPKI Invalid rotalarını reddeden politikalar uygulayan ağlar, bu duyuruyu kabul etmeyebilir.

Bunun sonucunda şunlar yaşanabilir:

• Kısmi erişilebilirlik
• Ağlar arasında farklı görünürlük
• ROV uygulayan ağlardan gelen trafiğin kaybedilmesi
• Teşhisi zor bölgesel bağlantı sorunları

RPKI, bir rotayı otomatik olarak devre dışı bırakmaz. RPKI doğrulama sonuçlarının yönlendirme politikalarında nasıl uygulanacağına ağ operatörleri karar verir.

Bu nedenle iki ağ aynı uyumsuzluğa farklı tepkiler verebilir.

Senaryo 3: BGP ve RPKI Uyumlu, Ancak IRR Güncel Değil

Şu durumu ele alalım:

BGP:  AS64501
ROA:  AS64501
IRR:  AS64500

Bu durum, canlı rota ile RPKI yetkilendirmesinin hedeflenen yeni kaynak ASN'yi yansıttığını ancak IRR kaydının güncellenmediğini gösterebilir.

Operatör yine de temel değişikliği doğrulamalıdır.

Olası sonuçlar şunlardır:

• IRR tabanlı filtrelerin yeni kaynak ASN'yi tanımaması
• Upstream sağlayıcıya geçiş veya bağlantı kurulumunda gecikmeler
• Sorun giderme sırasında karışıklık
• Yönlendirme araçları arasında tutarsız kayıtlar

Çözüm, uygun yetkilendirme süreci aracılığıyla ilgili IRR nesnesini düzeltmek veya değiştirmek kadar basit olabilir.

Senaryo 4: BGP ve IRR Uyumlu, Ancak RPKI Invalid

Şu durumu düşünün:

BGP:  AS64501
IRR:  AS64501
ROA:  AS64500

Ağ, yönlendirme ve IRR bilgilerini doğru şekilde güncellemiş ancak ROA'yı güncellemeyi unutmuş olabilir.

Bu durum şu süreçlerde ortaya çıkabilir:

• ASN geçişi
• Transit sağlayıcısı değişiklikleri
• IPv4 kiralama dağıtımları
• IPv4 transferleri
• Ağ yeniden yapılandırması

Bu özellikle önemli bir uyumsuzluktur. Çünkü rota BGP'de tamamen normal görünebilirken RPKI Invalid olarak sınıflandırılabilir.

Senaryo 5: ASN Eşleşiyor Ancak Önek Uzunluğu Eşleşmiyor

Her RPKI uyumsuzluğu kaynak ASN ile ilgili değildir.

ROA'lar izin verilen maksimum önek uzunluğunu da belirtebilir.

Bir ağın şu önek için yetkilendirildiğini varsayalım:

203.0.112.0/23

Ancak ağ şu öneği duyuruyor:

203.0.113.0/24

Bu duyurunun RPKI Valid olup olmadığı, yetkilendirmeye ve izin verilen önek uzunluğuna bağlıdır.

Dolayısıyla çok kısıtlayıcı bir ROA, meşru bir daha spesifik önek duyurusunun Invalid olmasına neden olabilir.

RPKI sorunlarını giderirken her zaman şu iki bilgiyi kontrol edin:

• Kaynak ASN
• Önek uzunluğu / MaxLength

Yalnızca ASN'yi kontrol etmek yeterli değildir.

Yönlendirme Uyumsuzluğu Neden Kısmi Erişilebilirliğe Neden Olabilir?

Yaygın bir yanlış kanı, yönlendirmenin ya küresel olarak çalıştığı ya da küresel olarak başarısız olduğudur.

Gerçek internet yönlendirmesi bundan daha karmaşıktır.

Farklı ağlar şu alanlarda farklı sistem ve politikalar kullanabilir:

• IRR veritabanları
• Filtre oluşturma süreçleri
• RPKI doğrulayıcıları
• ROV politikaları
• Önbellek güncelleme takvimleri
• Transit politikaları
• Peering politikaları

Sonuç olarak bir ağ rotayı kabul etmeye devam ederken başka bir ağ reddedebilir.

Network A → erişilebilir
Network B → erişilebilir
Network C → erişilemiyor
Network D → erişilebilir
Network E → erişilemiyor

Bu durumun teşhis edilmesi, tamamen yaşanan bir kesintiden daha zor olabilir.

Hizmet, operatörün bulunduğu konumdan sağlıklı görünürken bazı müşteriler hizmete erişemeyebilir.

Bu nedenle yönlendirme doğrulaması birden fazla harici bakış açısından yapılmalıdır.

BGP, IRR ve RPKI Kayıtlarının Uyumsuz Hâle Gelmesine Ne Neden Olur?

Çoğu uyumsuzluğun arkasında olağanüstü bir neden bulunmaz.

Ağlar sürekli değişir.

Kaynak ASN Değişiklikleri

Bir ağ, öneği farklı bir ASN üzerinden duyurmaya başlar.

Transit Sağlayıcısı Geçişi

Yönlendirme mimarisi değişir ancak ilgili yetkilendirme verileri yeniden incelenmez.

IPv4 Kiralama

Kiralanan bir önek müşterinin ağına taşınır. Bu süreç IPv4 sağlayıcısı, müşteri ASN'si, IRR ve RPKI arasında koordinasyon gerektirir.

Kiralanmış bir öneği dağıtıma hazırlayan kuruluşlar için LARUS, IPv4 adreslerinin nasıl kiralanacağına ilişkin adım adım bir rehber sunmaktadır.

IPv4 Transferleri

Bir IPv4 transferinden sonra kayıt bilgileri, operasyonel yönlendirme geçişinden önce veya sonra değişebilir.

Transfer sürecine özel bir açıklama için i.lease, IP adresi transferinden sonra IPv4 kayıtlarına ne olduğunu ele almaktadır.

İnsan Hatası

Bir ağ mühendisi bir sistemi güncellerken başka bir sistemi gözden kaçırabilir.

Otomasyon Hatası

Eş zamanlı olarak yapılması planlanan bir değişiklik yalnızca kısmen tamamlanabilir.

Yanlış MaxLength

Kaynak ASN doğrudur ancak ROA duyurulan önek uzunluğuna izin vermiyordur.

Eski IRR Nesneleri

Gerçek yönlendirme ilişkisi değiştikten sonra eski bir rota nesnesi sistemde kalmaya devam eder.

Beklenmeyen İdari Değişiklikler

Kayıt kuruluşu hesabında, RPKI'de veya IRR'de yapılan değişiklikler, hedeflenen yönlendirme planından bağımsız olarak gerçekleşebilir.

Heng Lu, bu daha geniş süreklilik senaryosunu Kayıt Bilgilerinde Beklenmeyen Değişikliklere Hazırlanmak başlıklı yazısında ele almaktadır.

IRR ve RPKI: Ağ Operatörleri Hangisine Güvenmeli?

Bu, doğru soru değildir.

IRR ve RPKI, aynı veritabanının birbirine rakip iki sürümü değildir.

Farklı güven modelleri aracılığıyla farklı bilgiler sağlarlar.

IRR, yönlendirme politikası bilgilerinin yayımlanmasına yardımcı olur.

RPKI, kriptografik olarak doğrulanabilir kaynak yetkilendirmesi sağlar.

BGP, operasyonel ağ tarafından yayılan rotayı gösterir.

Daha doğru soru şudur:

Bu katmanlar, işletmeyi amaçladığımız ağı doğru biçimde tanımlıyor mu?

Yanıt hayırsa farklılık araştırılmalıdır.

NRS.help, RPKI ve IRR: Aralarındaki Fark Nedir ve Neden Her İkisine de İhtiyaç Duyarsınız? başlıklı makalesinde daha ayrıntılı bir karşılaştırma sunmaktadır.

BGP, IRR ve RPKI Uyumsuzluğu Nasıl Giderilir?

Disiplinli bir sorun giderme süreci, yanlış sistemi düzeltme riskini azaltır.

Adım 1: Hedeflenen Yönlendirme Durumunu Tanımlayın

Herhangi bir değişiklik yapmadan önce şu soruları yanıtlayın:

• Hangi önek duyurulmalı?
• Hangi ASN bu öneğin kaynağı olmalı?
• Hangi önek uzunlukları bekleniyor?
• Değişiklik kalıcı mı, geçici mi?
• Yakın zamanda bir geçiş gerçekleştirildi mi?

Hedeflenen durum bilinmeden güvenilir bir karşılaştırma temeli oluşturulamaz.

Adım 2: Canlı BGP'yi Kontrol Edin

Şu bilgileri doğrulayın:

• Mevcut kaynak ASN
• Önek uzunluğu
• AS yolu
• Daha spesifik rotalar
• Küresel görünürlük
• Birden fazla rota toplayıcısı veya looking glass

Yalnızca tek bir ağın görünümüne güvenmeyin.

Adım 3: IRR Rota Nesnesini Kontrol Edin

Şu bilgileri doğrulayın:

• Önek
• Kaynak ASN
• IRR kaynağı
• Bakım sorumlusu (Maintainer)
• Son değişiklik
• Birden fazla veya çelişen nesnenin bulunup bulunmadığı

Nesneyi hedeflenen yönlendirme durumuyla karşılaştırın.

Adım 4: RPKI / ROA'yı Kontrol Edin

Şunları doğrulayın:

• Rotayı kapsayan bir ROA var mı?
• Hangi ASN yetkilendirilmiş?
• Hangi önek kapsanıyor?
• Hangi MaxLength değerine izin veriliyor?
• Gözlemlenen rota Valid, Invalid veya NotFound durumlarından hangisinde?

ARIN'in ROA belgeleri, ROA yönetimi hakkında ek bilgiler sunmaktadır.

Adım 5: Son Değişiklikleri İnceleyin

Şu değişiklikleri araştırın:

• ASN geçişleri
• Önek taşımaları
• Transit değişiklikleri
• IPv4 transferleri
• IPv4 kiralamaları
• ROA değişiklikleri
• IRR güncellemeleri
• Kayıt kuruluşu hesabındaki değişiklikler

Adım 6: Hangi Katmanın Düzeltilmesi Gerektiğini Belirleyin

Her sistemi otomatik olarak değiştirmeyin.

Hedeflenen ASN AS64501 ise ve durum şu şekildeyse:

BGP = AS64501
IRR = AS64500
RPKI = AS64500

IRR ve RPKI'nin her ikisinde de koordineli güncellemeler yapılması gerekebilir.

Ancak durum şu şekildeyse:

Hedeflenen ASN = AS64500
BGP = AS64501
IRR = AS64500
RPKI = AS64500

Asıl sorun BGP yapılandırmasında olabilir.

Adım 7: Değişiklikleri Doğru Sırayla Koordine Edin

Planlı bir kaynak ASN değişikliği için operatörün şu süreçleri koordine etmesi gerekebilir:

1. Yetkilendirme
2. ROA
3. IRR
4. Upstream filtreleri
5. BGP duyurusu
6. Doğrulama
7. Güncelliğini yitirmiş kayıtların kaldırılması

Temel ilke, meşru rotanın istemeden Invalid duruma düşeceği veya filtreleneceği bir dönem oluşturmamaktır.

Adım 8: Birden Fazla Ağdan Doğrulama Yapın

Uyumsuzluğu düzelttikten sonra şunları doğrulayın:

• BGP kaynak ASN'si
• RPKI doğrulaması
• IRR bilgileri
• Küresel rota yayılımı
• Bölgesel erişilebilirlik
• Müşteri bağlantıları

Bir veritabanının güncellenmiş olmasının operasyonel sorunun ortadan kalktığı anlamına geldiğini varsaymayın.

BGP, IRR ve RPKI Uyumsuzluğu Sorun Giderme Kontrol Listesi

BGP

• Doğru önek duyuruluyor.
• Doğru kaynak ASN görünüyor.
• Beklenen önek uzunluğu kullanılıyor.
• Beklenmeyen daha spesifik bir duyuru bulunmuyor.
• Rota birden fazla toplayıcıda görünüyor.
• Upstream sağlayıcıları rotayı kabul ediyor.

IRR

• Doğru rota nesnesi mevcut.
• Doğru kaynak ASN listelenmiş.
• Doğru IRR kaynağı kullanılıyor.
• Güncelliğini yitirmiş çelişkili bir nesne karışıklığa neden olmuyor.
• Maintainer yetkilendirmesi anlaşılıyor.

RPKI

• Doğru ROA mevcut.
• Doğru kaynak ASN yetkilendirilmiş.
• Doğru önek kapsanıyor.
• MaxLength, hedeflenen duyuruları destekliyor.
• Rota beklenmedik şekilde Invalid değil.

Operasyonlar

• Gerekli durumlarda LOA güncel.
• Transit sağlayıcısı filtreleri güncellenmiş.
• Değişiklikler belgelenmiş.
• Birden fazla harici yönlendirme görünümü kontrol edilmiş.
• Büyük geçişler için geri alma prosedürü mevcut.

Kayıt ve Yönlendirme Bilgilerinin Doğruluğu Neden Önemlidir?

Bir yönlendirme sistemi, çevresindeki bazı kayıtlar güncelliğini yitirmiş olsa bile çalışmaya devam edebilir.

Ancak bu, söz konusu kayıtların önemsiz olduğu anlamına gelmez.

Doğru bilgiler operatörlere şu konularda yardımcı olur:

• Yönlendirme sorunlarını gidermek
• Yetkilendirmeyi doğrulamak
• Filtreler oluşturmak
• Geçişleri koordine etmek
• Olaylara müdahale etmek
• Kaynak ilişkilerini anlamak
• Ağ sürekliliğini korumak

LARUS Foundation, bu daha geniş koordinasyon ilkesini Doğru Kayıt Verileri Neden İstikrarlı Bir İnterneti Destekler? başlıklı makalesinde ele almaktadır.

Kayıt ve yetkilendirme sistemleri ağı destekler. Ağın yerini almazlar.

Bu nedenle sağlıklı bir operasyonel model, koordinasyon kayıtlarının meşru ve fiilen çalışan ağın durumuyla uyumlu kalmasını sağlar.

IPv4 kiralarken ilk günden erişilebilir olun

Yeni bir /22 bloğu, ağınıza 1.024 adres kazandırır. Bu kapasitenin müşterilerinize hizmet vermesi için kaynak ASN, LOA, IRR, ROA ve upstream filtrelerinin aynı dağıtımı tanımlaması gerekir.

LARUS ile IPv4 planınızı hazırlarken ASN'nizi, hedef lokasyonu ve devreye alma tarihinizi paylaşın. Böylece adres kapasitesi ile yönlendirme hazırlığı birlikte ilerler; ekibiniz son dakika kayıt düzeltmeleri yerine yeni müşterilerinize odaklanır.

ASN değişikliğinde yeni yetkilendirmeleri ve filtre güncellemelerini önceden koordine edin. Yeni rotayı birden fazla ağdan doğruladıktan sonra eski kayıtları kaldırmak, geçiş boyunca müşteri erişimini korumanıza yardımcı olur.

Yönlendirme Uyumu İçin Beş Katmanlı Bir Yaklaşım

Üretim ağlarında yönlendirme hazırlığını beş katman üzerinden değerlendirmek yararlı olabilir.

Yönlendirme hazırlığında kontrol edilecek katmanlar

Katman	Temel Soru
Kaynak	IPv4 kaynağını kim kontrol ediyor veya yönetiyor?
Yetkilendirme	Ağın bu kaynağı kullanmasına ve duyurmasına kim izin verdi?
Politika	IRR kayıtları hedeflenen yönlendirme ilişkisini tanımlıyor mu?
Güvenlik	RPKI, hedeflenen kaynak ASN'yi ve önek uzunluğunu yetkilendiriyor mu?
Operasyon	Canlı BGP, çalışması amaçlanan ağı doğru biçimde yansıtıyor mu?

Bir uyumsuzluk genellikle bu katmanlardan birinin değiştiğini ancak diğerlerinin aynı değişikliği takip etmediğini gösterir.

Kritik altyapılarda her katmanı kimin düzeltebileceğini bilmek, uyumsuzluğu tespit etmek kadar önemlidir.

LARUS ile kapasitenizi ve müşteri bağlantılarını birlikte büyütün

IP adresleriniz API izin listelerine, DNS'e ve müşteri sistemlerine yerleştiğinde onları korumak işinizin bir parçası olur. LARUS, kendi adres havuzundan doğrudan IPv4 sağlar; yönlendirme, yenileme ve süreklilik ihtiyaçlarını aynı müşteri ilişkisi içinde ele alır.

Unlimited IPv4 ile büyüme planınızı paylaşın. LARUS IPv4 Continuity, yeni kapasiteyi devreye alırken müşterilerinizin güvendiği ağ kimliğini sürdürmenize yardımcı olur.

Sıkça Sorulan Sorular

BGP, IRR ve RPKI uyumsuzluğu nedir?

BGP, IRR ve RPKI uyumsuzluğu, canlı BGP yönlendirme bilgilerinin IRR rota nesnesinde, RPKI ROA'da veya her ikisinde yayımlanan kaynak bilgileriyle örtüşmemesi durumudur.

Bir uyumsuzluk BGP rotasının yanlış olduğu anlamına mı gelir?

Hayır. BGP, meşru bir yeni ağ yapılandırmasını yansıtıyor olabilirken IRR veya RPKI verileri güncelliğini yitirmiş olabilir. Tersine, BGP'nin kendisi de yanlış yapılandırılmış olabilir. Öncelikle hedeflenen yönlendirme durumu doğrulanmalıdır.

BGP ve RPKI eşleşmezse ne olur?

Bir BGP duyurusu ROA kapsamındaysa ancak yetkilendirilmiş kaynak ASN veya izin verilen önek uzunluğuyla eşleşmiyorsa RPKI Invalid olarak sınıflandırılabilir. ROV tabanlı reddetme politikaları uygulayan ağlar bu rotayı reddedebilir.

BGP ve IRR eşleşmezse ne olur?

IRR verilerinden oluşturulan rota filtrelerini kullanan ağlar, duyuruyu beklenen şekilde tanımayabilir. Operasyonel etki, her ağın kullandığı IRR verilerine ve filtreleme politikalarına bağlıdır.

Bir rota RPKI Valid olup IRR'de bulunmayabilir mi?

Evet. IRR ve RPKI ayrı sistemlerdir. Karşılık gelen bir IRR rota nesnesi bulunmasa bile bir rotanın geçerli RPKI yetkilendirmesi olabilir.

IRR doğruyken RPKI yanlış olabilir mi?

Evet. Örneğin bir operatör ASN geçişi sırasında IRR rota nesnesini güncelleyip ROA'yı güncellemeyi unutabilir.

RPKI Invalid ne anlama gelir?

RPKI Invalid genellikle rotayı kapsayan doğrulanmış bir yetkilendirmenin bulunduğu ancak gözlemlenen rotanın yetkilendirilmiş kaynak ASN veya izin verilen önek uzunluğuyla eşleşmediği anlamına gelir.

RPKI NotFound ile Invalid aynı şey midir?

Hayır. NotFound genellikle rotayı kapsayan doğrulanmış bir ROA bulunmadığını gösterir. Invalid ise ilgili yetkilendirmenin mevcut olduğunu ancak duyurunun bu yetkilendirme koşullarını karşılamadığını belirtir.

RPKI, IRR'nin yerini alır mı?

Hayır. RPKI kriptografik olarak doğrulanabilir kaynak yetkilendirmesi sağlarken IRR, filtreleme ve operasyonel koordinasyon için kullanılabilecek yönlendirme politikası bilgilerini sunar.

BGP her zaman doğru bilginin kaynağı olarak mı kabul edilmelidir?

Hayır. BGP neyin duyurulduğunu gösterir ancak duyuru meşru, yanlış yapılandırılmış veya yetkisiz olabilir. Canlı yönlendirme, hedeflenen ağ yapılandırması ve yetkilendirme bilgileriyle birlikte değerlendirilmelidir.

BGP, IRR ve RPKI uyumsuzluğu kısmi erişilebilirliğe neden olabilir mi?

Evet. Farklı ağlar farklı IRR filtreleri ve RPKI doğrulama politikaları uygulayabilir. Bu nedenle bir rota bazı ağlar tarafından kabul edilirken diğerleri tarafından reddedilebilir.

BGP, IRR ve RPKI uyumsuzluğunu nasıl düzeltebilirim?

Öncelikle hedeflenen kaynak ASN'yi ve öneği belirleyin. Ardından canlı BGP, IRR ve RPKI bilgilerini karşılaştırın; hangi katmanın güncelliğini yitirdiğini veya yanlış olduğunu tespit edin; gerekli değişiklikleri koordine edin ve sonrasında rota yayılımını doğrulayın.

Sonuç

BGP, IRR ve RPKI, internet yönlendirmesinin farklı katmanlarını tanımlar.

BGP, duyurulan rotayı gösterir.

IRR, yönlendirme politikası bilgilerini yayımlar.

RPKI, kriptografik olarak doğrulanabilir kaynak yetkilendirmesi sağlar.

Bu üç sistem birbiriyle uyumlu olduğunda operatörler, hedeflenen rota hakkında daha açık ve tutarlı bir görünüm elde eder.

Uyumsuzluk olduğunda doğru yaklaşım, bir sistemin otomatik olarak diğerlerinden üstün tutulması gerektiğini varsaymak değildir.

Bunun yerine:

1. Hedeflenen ağ durumunu belirleyin.
2. Canlı rotayı gözlemleyin.
3. Yönlendirme politikası kaydını doğrulayın.
4. Kriptografik yetkilendirmeyi doğrulayın.
5. Güncelliğini yitirmiş veya yanlış katmanı belirleyin.
6. Uygun süreç aracılığıyla düzeltin.
7. Çalışan ağın erişilebilir kalmaya devam ettiğini doğrulayın.

Yönlendirme kayıtları, çalışması amaçlanan meşru ağı doğru biçimde tanımladıklarında ve desteklediklerinde en yararlı hâle gelir.

Ağ operatörleri, bulut sağlayıcıları, ISP'ler, hosting şirketleri ve kurumsal işletmeler için bu uyumu korumak; yönlendirme değişiklikleri, IPv4 kiralama, transferler ve altyapı geçişleri sırasında belirsizliği azaltır.

Bir IPv4 öneği üretim altyapısının parçası hâline geldiğinde bu uyum, yalnızca idari kayıtların güncel tutulması meselesi olmaktan çıkar.

Ağ sürekliliğinin bir parçası hâline gelir.