Rota Başlangıç ​​Yetkilendirmesi (ROA) nedir?

Route Origin Authorization (ROA), Resource Public Key Infrastructure (RPKI) içinde yer alan ve bir IP adresi kaynağı sahibinin belirli IP önekleri için hangi Autonomous System'ın (AS) rota kaynağı olarak yetkilendirildiğini belirtmesine olanak tanıyan, kriptografik olarak imzalanmış bir nesnedir. ROA'lar, ağ operatörlerine Border Gateway Protocol (BGP) duyurularının kaynağını değerlendirmek için kullanılabilecek doğrulanabilir bilgiler sağlar.

ROA'lar modern yönlendirme güvenliğinin önemli bir parçasıdır; çünkü BGP'nin kendisi, bir IP önekini duyuran Autonomous System'ın kaynak sahibi tarafından yetkilendirilip yetkilendirilmediğini kriptografik olarak doğrulamaz. Route Origin Validation (ROV) ile birlikte kullanıldığında ROA verileri, ağların kaynak bilgileri yayımlanmış yönlendirme yetkileriyle çelişen duyuruları belirlemesine yardımcı olur.

Ancak bir ROA, BGP yolunun tamamını doğrulamaz ve her tür rota sızıntısını veya yönlendirme olayını engellemez. Bir ROA'nın tam olarak neyi yetkilendirdiğini ve nasıl doğru şekilde yapılandırılması gerektiğini anlamak, hem yönlendirme güvenliğini hem de ağ sürekliliğini korumak açısından önemlidir.

Route Origin Authorization (ROA) Nedir?

Route Origin Authorization (ROA), bir IP adresi kaynağı sahibinin belirli bir Autonomous System Number'ı (ASN) bir veya daha fazla IP öneki için rota kaynağı olarak yetkilendirdiği dijital olarak imzalanmış bir RPKI nesnesidir.

ROA'lar Resource Public Key Infrastructure'ın bir parçasını oluşturur. Amaçları, yönlendiricilere hangi yolun en iyi olduğunu söylemek değildir. Bunun yerine, ağ operatörlerinin BGP duyurularıyla karşılaştırabileceği doğrulanabilir yetkilendirme bilgileri sağlarlar.

Örneğin, bir IPv4 önekini kontrol eden bir kuruluş, AS64500'ün bu öneki kaynak olarak duyurmaya yetkili olduğunu belirten bir ROA oluşturabilir. Route Origin Validation gerçekleştiren ağlar daha sonra gözlemlenen BGP duyurularını bu yetkilendirmeyle karşılaştırabilir.

ROA profilini tanımlayan güncel IETF standardı, 2024 yılında yayımlanan ve önceki RFC 6482 spesifikasyonunun yerini alan RFC 9582'dir.

ROA Neden Önemlidir?

Border Gateway Protocol (BGP), İnternet üzerindeki Autonomous System'lar arasında yönlendirme bilgilerinin değiş tokuş edilmesinden sorumludur. BGP, ağların hangi IP öneklerine ulaşabildiğini duyurmasına olanak tanır; ancak geleneksel BGP, kaynak ASN'nin söz konusu adres alanının sahibi tarafından yetkilendirildiğini kanıtlayan yerleşik bir kriptografik mekanizma içermez.

Bu durum, yapılandırma hatası veya kötü niyetli faaliyet nedeniyle yanlış bir ASN'nin başka bir ağın önekini duyurabilmesi ihtimalini doğurur.

ROA Nasıl Çalışır?

ROA tabanlı rota doğrulaması birkaç ayrı bileşeni içerir. Kaynak sahibi yetkilendirmeyi yayımlar, RPKI doğrulama yazılımı kriptografik olarak imzalanmış verileri doğrular ve ağ operatörleri ortaya çıkan doğrulama bilgilerinin BGP yönlendirme politikasını nasıl etkilemesi gerektiğine karar verir.

Bir ROA Hangi Bilgileri İçerir?

Yönlendirme açısından bir ROA'yı anlamak için özellikle önemli olan üç bilgi bulunmaktadır:

Tek bir ROA nesnesi bir kaynak ASN'yi yetkilendirir. Aynı adres alanının meşru şekilde birden fazla Autonomous System tarafından kaynak olarak duyurulması gerekiyorsa, bu yetkilendirmeleri temsil etmek için birden fazla ROA oluşturulabilir.

ROA ve RPKI Birlikte Nasıl Çalışır?

ROA ve RPKI birbiriyle yakından ilişkilidir, ancak aynı şey değildir. RPKI, İnternet numara kaynakları için kullanılan daha geniş kriptografik altyapıdır. ROA ise bu altyapı içinde oluşturulan imzalı nesne türlerinden biridir.

Ayrıca Okuyun: RPKI Nedir ve Nasıl Çalışır?

ROA Doğrulaması: Valid, Invalid ve NotFound

Bir BGP duyurusu doğrulanmış RPKI yetkilendirme bilgileriyle karşılaştırıldığında, kaynak doğrulama sonucu genellikle Valid, Invalid veya NotFound olarak sınıflandırılır. Bazı arayüzler üçüncü durum için Unknown terimini kullanabilir.

Invalid bir rota otomatik olarak bir saldırının kanıtı şeklinde yorumlanmamalıdır. Meşru rotalar, güncelliğini yitirmiş bir ROA, yanlış ASN, migrasyon veya hatalı yapılandırılmış maksimum uzunluk nedeniyle Invalid hâline gelebilir.

ROA'da maxLength Nedir?

İsteğe bağlı maxLength alanı, bir duyurunun söz konusu ROA tarafından yetkili kabul edilmeye devam ederken ne kadar spesifik olabileceğini belirler.

Bir kuruluşun 203.0.113.0/24 adres alanını kontrol ettiğini varsayalım. AS64500'e yalnızca tam olarak bu /24'ü kaynak olarak duyurma yetkisi veriliyorsa, ek daha spesifik öneklere izin verilmesi gerekmez.

Kuruluşun AS64500'ün /24 içinde meşru şekilde /25 önekleri duyurmasına ihtiyacı varsa, yetkilendirme /25'e kadar daha spesifik duyurulara izin verebilir.

ROA, BGP Hijacking Riskini Azaltmaya Nasıl Yardımcı Olur?

Bir BGP önek hijack'i, bir Autonomous System'ın kaynak olarak duyurmaya yetkili veya beklenen olmadığı bir adres alanını duyurması durumunda meydana gelebilir. Yanlış duyurular yapılandırma hatalarından veya kötü niyetli faaliyetlerden kaynaklanabilir.

Doğru bir ROA yayımlamak, ROV gerçekleştiren ağların yetkili bir kaynağı, kaynak sahibinin yayımlanmış yetkilendirmesiyle çelişen bir duyurudan ayırt etmesine olanak tanır.

ROA Neye Karşı Koruma Sağlamaz?

ROA değerli bir güvenlik mekanizmasıdır, ancak işlevi olduğundan daha kapsamlı gösterilmemelidir. Standart ROA tabanlı Route Origin Validation özellikle rota kaynağı yetkilendirmesine odaklanır.

Bu ayrım özellikle önemlidir; çünkü ROA'ları rota sızıntıları için genel bir çözüm olarak tanımlamak, koruma kapsamları hakkında yanlış bir beklenti yaratabilir.

ROA Nasıl Oluşturulur?

Bir ROA oluşturmak için gereken kesin süreç, kuruluşun RPKI sertifikasyon ortamının nasıl yönetildiğine bağlıdır. İnternet numara kaynağı sahipleri genellikle uygun Regional Internet Registry ile ilişkili RPKI hizmetlerini kullanır veya uygun olduğu durumlarda delegated RPKI altyapısı işletir.

Yetkilendirme oluşturulmadan önce ağ ekibi amaçlanan üretim yönlendirme yapılandırmasını belirlemelidir.

ROA yayımlandıktan sonra kuruluşun gerçek BGP duyurularıyla karşılaştırılarak kontrol edilmelidir. ROA oluşturmayı tek seferlik bir yapılandırma görevi olarak görmek yerine, dağıtımdan sonra da izleme sürdürülmelidir.

Yaygın ROA Yapılandırma Hataları

Yanlış Kaynak ASN

ROA'da belirtilen ASN, rotayı gerçekte kaynak olarak duyuran ASN ile eşleşmiyorsa, meşru bir duyuru Invalid hâline gelebilir.

Yanlış Maksimum Uzunluk

Bir ağ meşru şekilde daha spesifik önekler duyurabilir; ancak yetkilendirme bu önek uzunluklarına izin vermiyorsa, duyurular Invalid olarak sınıflandırılabilir.

Aşırı Geniş maxLength

Ağın duyurmayı planladığından çok daha spesifik öneklere izin vermek, yetkilendirmenin kapsamını gereksiz yere genişletebilir.

Migrasyon Sırasında ROA'ları Güncellemeyi Unutmak

Bir ağ upstream sağlayıcısını değiştirirse veya bir öneği başka bir kaynak ASN'ye taşırsa, yönlendirme yetkilendirmesi migrasyonla koordine edilmelidir. Aksi takdirde yeni ve meşru rota Invalid hâline gelebilir.

Yetkilendirmeyi Çok Erken Silmek

Yönlendirme migrasyonları sırasında trafik tamamen taşınmadan önce eski yetkilendirmenin kaldırılması, geçici kaynak doğrulama sorunları oluşturabilir. Yetkilendirme değişiklikleri ile BGP değişiklikleri kontrollü bir sırayla gerçekleştirilmelidir.

Ağ Operatörleri için ROA En İyi Uygulamaları

ROA ve IP Adresi Yönetimi

ROA yönetimi, genel IP adresi yönetiminin neden yalnızca bir adres bloğuna sahip olmanın veya erişmenin ötesine geçtiğini gösterir. Üretimde kullanılan bir IPv4 veya IPv6 kaynağı aynı zamanda doğru şekilde yönlendirilmeli, kaydedilmeli, yetkilendirilmeli, izlenmeli ve sürdürülmelidir.

Bu durum özellikle IPv4 kiralama, ağ migrasyonları, sağlayıcı değişiklikleri, multihoming ve altyapı genişlemesi sırasında önem kazanır. Yönlendirme yetkilendirmesi, tüm operasyonel yaşam döngüsü boyunca gerçek kaynak ASN ile uyumlu kalmalıdır.

Bu nedenle genel IPv4 kaynaklarını yöneten kuruluşlar, ROA ve RPKI incelemesini ayrı idari görevler olarak görmek yerine yönlendirme değişikliği prosedürlerinin bir parçası hâline getirmelidir.

Sonuç

Route Origin Authorization, RPKI tabanlı yönlendirme güvenliğinin en önemli bileşenlerinden biridir. Bir ROA, IP adresi kaynağı sahibinin hangi Autonomous System'ın belirli IP öneklerini kaynak olarak duyurabileceğini belirten, kriptografik olarak doğrulanabilir bir yetkilendirme yayımlamasını sağlar.

Route Origin Validation gerçekleştiren ağlar, BGP duyurularını bu yetkilendirmeyle karşılaştırabilir ve rota kaynaklarını Valid, Invalid veya NotFound olarak sınıflandırabilir. Bu, bazı yetkisiz veya yanlış yapılandırılmış kaynak duyurularının belirlenmesine yardımcı olabilecek ek bir güvenlik sinyali sağlar.

Bununla birlikte ROA'lar dikkatli şekilde yönetilmelidir. Yanlış kaynak ASN, aşırı kısıtlayıcı veya aşırı geniş maksimum uzunluk ya da kötü koordine edilmiş bir yönlendirme migrasyonu, meşru rotaların doğrulanmasını etkileyebilir. ROA ayrıca BGP yolunun tamamını doğrulamaz ve her tür rota sızıntısını ortadan kaldırmaz.

Bu nedenle ağ operatörleri ROA'yı; doğru yetkilendirme, BGP izleme, rota filtreleme, değişiklik yönetimi ve operasyonel sürekliliği bir araya getiren daha geniş bir yönlendirme ve IP kaynak yönetimi stratejisinin parçası olarak ele almalıdır.

Sıkça Sorulan Sorular

1. ROA ne anlama gelir?

ROA, Route Origin Authorization anlamına gelir. Belirli IP önekleri için bir Autonomous System'ı rota kaynağı olarak yetkilendiren imzalı bir RPKI nesnesidir.

2. ROA ile RPKI arasındaki fark nedir?

RPKI, İnternet numara kaynaklarına yönelik daha geniş kriptografik altyapıdır. ROA ise RPKI içinde rota kaynağı yetkilendirmesini tanımlayan imzalı nesne türlerinden biridir.

3. Bir ROA hangi bilgileri içerir?

Yönlendirme açısından bir ROA, yetkili bir kaynak ASN'yi ve bir veya daha fazla IP önekini tanımlar. Her önek ayrıca yetkili bir BGP duyurusunun ne kadar spesifik olabileceğini belirleyen isteğe bağlı bir maksimum uzunluk içerebilir.

4. Valid bir ROA ne anlama gelir?

Valid rota kaynağı durumu, BGP duyurusunun kaynak ASN'sine ve önek uzunluğuna izin veren en az bir doğrulanmış yetkilendirme tarafından kapsandığı anlamına gelir.

5. RPKI Invalid ne anlama gelir?

Invalid, duyuruyu kapsayan bir yetkilendirme bulunduğu ancak BGP duyurusunun yetkili kaynak ASN veya izin verilen önek uzunluğuyla eşleşmediği anlamına gelir.

6. NotFound ne anlama gelir?

NotFound, duyurulan öneği kapsayan doğrulanmış bir ROA bulunmadığı anlamına gelir. Invalid durumundan farklıdır ve tek başına yetkisiz yönlendirme olduğu anlamına gelmez.

7. ROA, BGP hijacking'i durdurur mu?

ROA tabanlı Route Origin Validation, uygun ROA'lar mevcut olduğunda ağların bazı yetkisiz rota kaynaklarını belirlemesine yardımcı olabilir. Riski azaltır, ancak her tür BGP hijacking'i engellemez.

8. ROA rota sızıntılarını önler mi?

Her zaman değil. Bir rota sızıntısı hâlâ doğru ve yetkili ASN'den kaynaklanabilir ve bu nedenle Route Origin Validation kapsamında Valid görünebilir. ROA, AS yolunun tamamını doğrulamaz.

9. Yanlış bir ROA meşru yönlendirmeyi bozabilir mi?

Evet. Yanlış ASN veya önek uzunluğu yetkilendirmesi, meşru BGP duyurularını Invalid hâline getirebilir. Invalid rotaları reddeden ağlar daha sonra bu duyuruları kabul etmeyi durdurabilir.

10. Bir ROA ne zaman güncellenmelidir?

ROA'lar; kaynak ASN, önek yapısı, daha spesifik duyurular, upstream mimarisi veya ilgili diğer yönlendirme yapılandırmaları değiştiğinde gözden geçirilmelidir.