ROA nedir? BGP ve RPKI yönlendirme rehberi

Yeni bir IP bloğu, müşterileriniz hizmete ulaşabildiğinde değer kazanır. Rota kaynağı yetkilendirmesi (ROA), diğer ağların BGP duyurunuzun yetkili bir otonom sistemden geldiğini kontrol etmesini sağlar. ROA’yı önceden hazırlamak; yeni hizmet açarken, kapasite artırırken veya ağı taşırken işinizi kolaylaştırır.

Route Origin Authorization (ROA) nedir?

ROA, bir otonom sistem numarasını (ASN) bir veya daha fazla IP önekini duyurmaya yetkilendiren, dijital olarak imzalanmış bir kayıttır. Kaynak sahibi bu kaydı RPKI, yani Kaynak Açık Anahtar Altyapısı üzerinden yayımlar. Diğer ağlar BGP duyurularını doğrulanmış yetki bilgisiyle karşılaştırabilir.

Örneğin ROA, AS64500 için 203.0.113.0/24 duyurusuna izin verebilir. Bu değerler belge örnekleri için ayrılmıştır; canlı ağda kendi kaynaklarınızı kullanırsınız. ROA biçimini, RFC 6482’nin yerini alan RFC 9582 tanımlar.

ROA müşterilerinize ne kazandırır?

Müşterinizin beklentisi basittir: web sitesi, API veya uygulama çalışsın. BGP ağlar arasında rota bilgisi taşır; yanlış bir kaynak duyurusu ise trafiği beklenen yoldan uzaklaştırabilir. Doğru ROA, kaynak doğrulaması yapan ağların yetkiyle uyuşmayan duyuruları belirlemesine yardımcı olur.

Yeni bir konum açarken veya bloğu duyuran ASN’yi değiştirirken yetki kaydını güncel tutmak, kendi rotalarınızın da geçerli kalmasını sağlar.

ROA nasıl çalışır?

1. Kaynak sahibi, öneki ve yetkili ASN’yi RPKI hizmeti üzerinden yayımlar.
2. RPKI doğrulayıcısı imzalı nesneleri denetler ve VRP adı verilen doğrulanmış verileri üretir.
3. Yönlendirici bu verileri alıp ilgili BGP rotalarıyla karşılaştırır.
4. Her ağ; Valid, Invalid ve NotFound sonuçlarına kendi yönlendirme politikasını uygular.

Yönlendirici yerel olarak aldığı doğrulama verisini kullanır; her rota için kayıt kuruluşuna sorgu göndermez. ROA yayımlamak ile rota kaynağı doğrulamasını uygulamak birbirini tamamlayan iki ayrı adımdır.

Hangi bilgileri hazırlamalısınız?

• Kaynak ASN: rotayı başlatan otonom sistem.
• IP öneki: yetkinin kapsadığı IPv4 veya IPv6 bloğu.
• maxLength: izin verilen en uzun öneki belirleyen isteğe bağlı alan.

Bir ROA tek bir ASN belirtir ve birden fazla önek içerebilir. Aynı bloğu iki ASN duyuracaksa her biri için yetki yayımlayın. Kaynak ASN, transit hizmeti aldığınız sağlayıcının ASN’si olmak zorunda değildir.

ROA, RPKI ve ROV arasındaki fark

RPKI güven altyapısıdır. ROA imzalı yetki kaydıdır. ROV ise BGP rotasını doğrulanmış yetkilerle karşılaştıran rota kaynağı doğrulamasıdır. Ayrıntılar için İngilizce RPKI rehberini okuyabilirsiniz.

Valid, Invalid ve NotFound ne demek?

Tek yetkinin AS64500 için 203.0.113.0/24 olduğunu ve yalnızca bu /24’e izin verdiğini düşünün. Tablodaki belge adresleri doğrulama mantığını anlatır; İnternet’te duyurulacak adresler değildir.

Tek bir örnek yetkiyle alınan doğrulama sonuçları

Sonuç	Duyuru	Nedeni
Valid	203.0.113.0/24 · AS64500	Kaynak ve önek uzunluğu eşleşir.
Invalid	203.0.113.0/24 · AS64501	Bu ASN için eşleşen yetki yoktur.
Invalid	203.0.113.0/25 · AS64500	/25, izin verilen uzunluğu aşar.
NotFound	198.51.100.0/24 · AS64500	Bu farklı öneki kapsayan doğrulanmış yetki yoktur.

Tüm doğrulama verisi değerlendirilirken Valid için tek bir eşleşen yetki yeterlidir. Invalid, rotayı kapsayan en az bir yetki bulunduğu ancak kaynak ve uzunlukla eşleşen hiçbir yetki olmadığı anlamına gelir. NotFound ise kapsayan yetki bulunmadığını belirtir. Tanımlar RFC 6811 içinde yer alır.

maxLength nasıl seçilir?

maxLength kullanılmazsa yalnızca belirtilen öneke izin verilir. /24 için 25 değeri, aynı ASN’nin bu blok içindeki iki /25’i de duyurmasına izin verir. Bu, küresel erişilebilirlik sağlamaz; diğer ağların kendi önek filtreleri vardır.

Gerçekte duyuracağınız öneklerden başlayın. Tam önek yetkilerini kontrol etmek daha kolaydır ve kullanılmayan alt önekler için gereksiz izin açmaz. RFC 9319 bu tür asgari ROA kullanımını önerir.

BGP rota kaçırma riskini nasıl azaltır?

Başka bir AS, kapsanan önekinizi eşleşen yetki olmadan duyurursa ROV bu rotayı Invalid olarak işaretler. Invalid rotaları reddeden ağlar çakışan duyuruyu dışarıda tutabilir. Böylece müşterilerinizin hizmete ulaşmak için kullandığı yolun korunmasına katkı sağlanır.

Geçerli bir kaynağın yanında neleri izlemeli?

ROV kaynağı kontrol eder, AS yolundaki her adımı değil. Bir rota sızıntısı doğru kaynak ASN’yi koruyup Valid kalabilir. ROA’yı rota filtreleri, BGP izleme ve dışarıdan hizmet erişim kontrolleriyle birlikte kullanarak müşterinin gerçek deneyimini takip edin.

IP kaynağının uzun vadeli kullanılabilirliği de sürekliliğin ayrı bir parçasıdır; doğru yönlendirme ayarlarının ötesine uzanır.

Trafiği taşımadan önce ROA’yı hazırlayın

1. Duyuruları listeleyin. Önekleri, ASN’leri ve alt önekleri; yedek geçiş veya DDoS koruması için planlanan rotalarla birlikte kaydedin.
2. Yetkiyi yayımlayın. Kaynağı yöneten barındırılan veya delege edilmiş RPKI hizmetini kullanın. Kiralık adreslerde sağlayıcınızla birlikte planlayın.
3. Yayını doğrulayın. BGP değişikliğinden önce yeni yetkiyi doğrulayıcı verisinde görün. Ağların güncelleme süreleri farklı olabilir.
4. Dışarıdan kontrol edin. Görülen kaynak ASN’yi, doğrulama durumunu ve hizmet erişimini inceleyin.

ASN değiştirirken önce yeni kaynağı yetkilendirin. Eski ASN kullanılmaya devam ederken eski yetkiyi koruyun. Duyuruyu taşıyıp yeni rotayı kontrol ettikten ve eski duyuruyu geri çektikten sonra artık gerekmeyen yetkiyi kaldırın.

Doğru bir rota neden Invalid görünür?

• Farklı ASN: özellikle sağlayıcınız sizin adınıza duyuru yapıyorsa gerçek BGP kaynağını kontrol edin.
• Eksik alt önek: her duyurunun uzunluğunu yetkiyle karşılaştırın.
• Gereğinden geniş maxLength: kullanılmayan izinler yerine ihtiyaç duyulan önekleri tanımlayın.
• Yanlış geçiş sırası: yeni yetkinin BGP değişikliğinden önce yayımlandığını doğrulayın.
• Erken kaldırılan yetki: eski kaynağın hâlâ trafik taşıyıp taşımadığına bakın.

Invalid sonucu bir saldırıdan değil, ayar uyuşmazlığından da kaynaklanabilir. Çalışan rotayı değiştirmeden önce yayımlanan ROA’yı ve doğrulayıcının güncel verisini karşılaştırın.

Sonraki değişikliği kolaylaştırın

Her önek için kaynak ASN’leri, ROA’yı güncelleyen ekibi ve geçiş zamanını kaydedin. Doğrulama durumuyla birlikte dış erişimi de izleyin. ASN, alt önek, yedek geçiş veya kaynağı değiştiren bir sağlayıcı değişiminden sonra tekrar kontrol edin.

Rota yetkisinden IPv4 sürekliliğine

İşiniz büyürken kullanmaya devam edebileceğiniz adreslere ihtiyacınız var. ROA, rota kaynağı yetkisini düzenler. Kayıt kuruluşu katmanındaki risk ise teknik ayarlar doğru olsa da ayrıca ele alınmalıdır.

LARUS, kendi havuzundan doğrudan IPv4 kiralar ve kayıt kuruluşuyla ilişkiyi üstlenir; ekibiniz müşterilerine ve ağını büyütmeye odaklanır. Lu Heng bu modeli İngilizce Note 35 yazısında açıklar. LARUS Continuity ile Unlimited IPv4 kapasitenizi ve ilk teslimden sonra da yanınızda olan ekiple sonraki adımınızı planlayın.

Rotanız hazır olsun, büyümeye yer kalsın

Önek ve ASN’yi eşleştirin, yetkiyi yayımlayın, rotayı kontrol edin ve sonraki değişikliği planlayın. Böylece ROA, yalnızca bir kayıt olmaktan çıkıp müşterilerinize hizmet veren ağın işleyen bir parçası olur.

ROA hakkında sık sorulan sorular

ROA’nın açılımı nedir?

Route Origin Authorization: bir AS’nin belirli IP öneklerini duyurmasına izin veren imzalı yetki kaydı.

ROA ile RPKI aynı mı?

Hayır. RPKI altyapıyı, ROA ise bu altyapıdaki yetki kaydını ifade eder.

Hangi bilgiler gerekir?

Önek, kaynak ASN ve gerçekten duyurulacak önek uzunlukları.

Valid sonucu her yerden erişim anlamına gelir mi?

Rotanın doğrulanmış yetkiyle eşleştiğini gösterir. BGP görünürlüğünü ve hizmet erişimini de kontrol edin.

Invalid gördüğümde önce neye bakmalıyım?

Kaynağı ve uzunluğu tüm kapsayan yetkilerle karşılaştırın; doğrulayıcının verisinin güncel olduğundan emin olun.

NotFound ile Invalid aynı mı?

Hayır. NotFound, rotayı kapsayan doğrulanmış yetki olmadığını belirtir; tek başına yetkisiz kaynak kanıtı değildir.

ROA bütün rota kaçırma saldırılarını durdurur mu?

ROV yetkisiz kaynakları reddetmeye yardımcı olur, ancak AS yolunun tamamını doğrulamaz. Filtreleme ve izleme de gereklidir.

Rota sızıntısı Valid kalabilir mi?

Evet, yetkili kaynak ASN korunuyorsa kalabilir. ROV tüm rota sızıntılarını belirleyemez.

Hatalı ROA müşteriyi etkileyebilir mi?

Evet. Doğru rotayı Invalid yapabilir ve bu rotaları reddeden ağlarda erişimi etkileyebilir.

ROA ne zaman güncellenmeli?

Kaynak ASN veya izin verilen önek uzunlukları değişmeden önce. Yetki yayınıyla BGP değişikliğini birlikte planlayın.