RPKI - Histórico de revisão

Gondim em 23h15min de 8 de março de 2023

2023-03-08T23:15:43Z

← Edição anterior		Edição das 23h15min de 8 de março de 2023
Linha 74:		Linha 74:

	Quando for adicionar uma '''ROA''' aparecerá uma janela conforme abaixo e nosso exemplo acima ficaria assim. Em '''1''' temos o nosso '''ASN''', em '''2''' o prefixo cheio e em '''3''' o máximo de tamanho que iremos anunciar. Nesse caso todos até os '''/24''', ou seja, o '''/22''', os '''2 /23''' e os '''4 /24''' deste prefixo. Na dúvida não configure de qualquer jeito, procure um profissional. Porque isso pode realmente parar a sua Operação de Internet, se for feito errado e gerar prefixos inválidos.		Quando for adicionar uma '''ROA''' aparecerá uma janela conforme abaixo e nosso exemplo acima ficaria assim. Em '''1''' temos o nosso '''ASN''', em '''2''' o prefixo cheio e em '''3''' o máximo de tamanho que iremos anunciar. Nesse caso todos até os '''/24''', ou seja, o '''/22''', os '''2 /23''' e os '''4 /24''' deste prefixo. Na dúvida não configure de qualquer jeito, procure um profissional. Porque isso pode realmente parar a sua Operação de Internet, se for feito errado e gerar prefixos inválidos.
	[[Arquivo:Krill13.png\|nenhum\|commoldura]]A propagação das suas '''ROAs''' pode levar algumas horas então não fique apreensivo. Eu costumo consultar no HE por exemplo: https://bgp.he.net/AS22548#_prefixes		[[Arquivo:Krill13.png\|nenhum\|commoldura]]Quando você anuncia um prefixo fora do escopo da ROA você verá essa informação no seu krill. Abaixo uma tela de exemplo com um prefixo inválido IPv6 sendo anunciado. O escopo previa o anúncio de até um /48 mas o ISP acabou anunciando um /60.
			[[Arquivo:Roa invalida.png\|nenhum\|miniaturadaimagem\|967x967px]]


			A propagação das suas '''ROAs''' pode levar algumas horas então não fique apreensivo. Eu costumo consultar no HE por exemplo: https://bgp.he.net/AS22548#_prefixes

	Nesse caso peguei o '''AS22548''' do '''Nic.br'''. Repare que no prefixo abaixo tem uma '''chave verde do lado'''. Isso quer dizer que esse prefixo é válido e tem uma ROA para ele.		Nesse caso peguei o '''AS22548''' do '''Nic.br'''. Repare que no prefixo abaixo tem uma '''chave verde do lado'''. Isso quer dizer que esse prefixo é válido e tem uma ROA para ele.

Gondim em 22h37min de 4 de março de 2023

2023-03-04T22:37:59Z

@@ Linha 237: / Linha 237: @@
 == Habilitando a validação das ROAs no router ==
 Essa parte da configuração é muito dependente do '''equipamento/fabricante''' e por isso deixo esse link como fonte de consulta: '''https://bgpfilterguide.nlnog.net/guides/reject_invalids/'''
 == Finalizando ==

Gondim em 20h53min de 4 de março de 2023

2023-03-04T20:53:45Z

← Edição anterior		Edição das 20h53min de 4 de março de 2023
Linha 239:		Linha 239:

	== Finalizando ==		== Finalizando ==
	Implementar o '''RPKI''' em sua Operação de Internet não é difícil e aumenta a segurança de roteamento na Internet. Está incluso na '''4ª ação do MANRS''' junto com o '''IRR''' e ajuda a evitar Hijacks acidentais, que podem causar indisponibilidade de acesso à Internet.		Implementar o '''RPKI''' em sua Operação de Internet não é difícil e aumenta a segurança de roteamento na Internet. Está incluso na '''4ª ação do MANRS''' junto com o '''IRR''' e ajuda a evitar Hijacks acidentais, que podem causar indisponibilidade de acesso à Internet. Mas precisa ter atenção para não causar prefixos inválidos.

	Essa documentação foi útil? Compartilhe, divulgue e ajude outras pessoas. Meus contatos podem ser vistos [[Sobre mim\|aqui]].		Essa documentação foi útil? Compartilhe, divulgue e ajude outras pessoas. Meus contatos podem ser vistos [[Sobre mim\|aqui]].
	[[Categoria:Serviços de Redes e Servidores]]		[[Categoria:Serviços de Redes e Servidores]]

Gondim em 20h50min de 4 de março de 2023

2023-03-04T20:50:07Z

← Edição anterior		Edição das 20h50min de 4 de março de 2023
Linha 71:		Linha 71:

	Um exemplo se você cadastrar uma '''ROA''' informando apenas o prefixo '''198.18.0.0/22''' e fizer anúncios como: '''198.18.0.0/23''', '''198.18.0.0/24''', esse dois últimos serão vistos como anúncios '''inválidos''' porque não existe uma '''ROA''' que inclua eles. Nesse caso você deveria criar uma '''ROA''' assim: '''198.18.0.0/22-24''' onde você está dizendo que terá anúncios de '''/22''' até prefixos mais específicos como os '''/24'''.		Um exemplo se você cadastrar uma '''ROA''' informando apenas o prefixo '''198.18.0.0/22''' e fizer anúncios como: '''198.18.0.0/23''', '''198.18.0.0/24''', esse dois últimos serão vistos como anúncios '''inválidos''' porque não existe uma '''ROA''' que inclua eles. Nesse caso você deveria criar uma '''ROA''' assim: '''198.18.0.0/22-24''' onde você está dizendo que terá anúncios de '''/22''' até prefixos mais específicos como os '''/24'''.
			[[Arquivo:Krill16.png\|nenhum\|miniaturadaimagem\|959x959px]]

	Quando for adicionar uma '''ROA''' aparecerá uma janela conforme abaixo e nosso exemplo acima ficaria assim. Em '''1''' temos o nosso '''ASN''', em '''2''' o prefixo cheio e em '''3''' o máximo de tamanho que iremos anunciar. Nesse caso todos até os '''/24''', ou seja, o '''/22''', os '''2 /23''' e os '''4 /24''' deste prefixo. Na dúvida não configure de qualquer jeito, procure um profissional. Porque isso pode realmente parar a sua Operação de Internet, se for feito errado e gerar prefixos inválidos.		Quando for adicionar uma '''ROA''' aparecerá uma janela conforme abaixo e nosso exemplo acima ficaria assim. Em '''1''' temos o nosso '''ASN''', em '''2''' o prefixo cheio e em '''3''' o máximo de tamanho que iremos anunciar. Nesse caso todos até os '''/24''', ou seja, o '''/22''', os '''2 /23''' e os '''4 /24''' deste prefixo. Na dúvida não configure de qualquer jeito, procure um profissional. Porque isso pode realmente parar a sua Operação de Internet, se for feito errado e gerar prefixos inválidos.

Gondim em 20h44min de 4 de março de 2023

2023-03-04T20:44:15Z

← Edição anterior		Edição das 20h44min de 4 de março de 2023
Linha 1:		Linha 1:
	{{DISPLAYTITLE:RPKI (Resource Public Key Infrastructure)}}		{{DISPLAYTITLE:RPKI (Resource Public Key Infrastructure)}}
	__TOC__		__TOC__
	[[Arquivo:Rpki.png\|nenhum\|~~commoldura~~]]		[[Arquivo:Rpki.png\|nenhum\|miniaturadaimagem\|372x372px]]

	== Introdução ==		== Introdução ==
Linha 236:		Linha 236:
	== Habilitando a validação das ROAs no router ==		== Habilitando a validação das ROAs no router ==
	Essa parte da configuração é muito dependente do '''equipamento/fabricante''' e por isso deixo esse link como fonte de consulta: '''https://bgpfilterguide.nlnog.net/guides/reject_invalids/'''		Essa parte da configuração é muito dependente do '''equipamento/fabricante''' e por isso deixo esse link como fonte de consulta: '''https://bgpfilterguide.nlnog.net/guides/reject_invalids/'''

			== Finalizando ==
			Implementar o '''RPKI''' em sua Operação de Internet não é difícil e aumenta a segurança de roteamento na Internet. Está incluso na '''4ª ação do MANRS''' junto com o '''IRR''' e ajuda a evitar Hijacks acidentais, que podem causar indisponibilidade de acesso à Internet.

			Essa documentação foi útil? Compartilhe, divulgue e ajude outras pessoas. Meus contatos podem ser vistos [[Sobre mim\|aqui]].
			[[Categoria:Serviços de Redes e Servidores]]

Gondim em 20h37min de 4 de março de 2023

2023-03-04T20:37:29Z

← Edição anterior		Edição das 20h37min de 4 de março de 2023
Linha 219:		Linha 219:

	== Instalação do Routinator ==		== Instalação do Routinator ==
			O '''Routinator''' será a nossa base de dados de validação das '''ROAs''' em nossos equipamentos de borda. A instalação dele é muito simples e o processo inicial de configuração do repositório já fizemos, que é o mesmo do krill. Só relembrando que você só conseguirá usar o Routinator se o seu equipamento suportar o '''protocolo RtR''' e infelizmente '''Mikrotik RouterOS 6.x''' não suporta.
			# apt install routinator
			Vamos modoficar o arquivo '''/etc/routinator/routinator.conf''' e deixá-lo assim:
			repository-dir = "/var/lib/routinator/rpki-cache"
			#rtr-listen = ["127.0.0.1:3323"]
			#http-listen = ["127.0.0.1:8323"]
			rtr-listen = ["[::]:3323"]
			http-listen = ["[::]:8323"]

			# systemctl restart routinator
			A porta padrão usada no '''RtR''' é a '''3323/TCP'''. Não esqueça de colocar um filtro de pacotes liberando esse acesso apenas para o seu '''router''' consultar. A outra porta '''8323/TCP''' é uma interface web de consulta do '''Routinator''' e pode ser acessada assim:

			'''http://<IP>:8323'''
			[[Arquivo:Krill15.png\|nenhum\|miniaturadaimagem\|1012x1012px]]

			== Habilitando a validação das ROAs no router ==
			Essa parte da configuração é muito dependente do '''equipamento/fabricante''' e por isso deixo esse link como fonte de consulta: '''https://bgpfilterguide.nlnog.net/guides/reject_invalids/'''

Gondim em 20h05min de 4 de março de 2023

2023-03-04T20:05:48Z

← Edição anterior		Edição das 20h05min de 4 de março de 2023
Linha 23:		Linha 23:
	\|}		\|}

	== Instalação ~~krill~~ ==		== Instalação do Krill ==
	Existem alguns pacotes que precisamos instalar além do repositório oficial do RPKI para o Debian. Então façamos conforme abaixo:		Existem alguns pacotes que precisamos instalar além do repositório oficial do RPKI para o Debian. Então façamos conforme abaixo:
	# apt install ca-certificates curl gnupg lsb-release		# apt install ca-certificates curl gnupg lsb-release
Linha 217:		Linha 217:
	krillc roas update --delta /$DIR_BACKUP/ROA_$lista.backup --token $TOKEN --ca $lista		krillc roas update --delta /$DIR_BACKUP/ROA_$lista.backup --token $TOKEN --ca $lista
	done < /$DIR_BACKUP/CA.lista		done < /$DIR_BACKUP/CA.lista

			== Instalação do Routinator ==

Gondim em 19h59min de 4 de março de 2023

2023-03-04T19:59:02Z

← Edição anterior		Edição das 19h59min de 4 de março de 2023
Linha 68:		Linha 68:

	== Configurando as ROAs ==		== Configurando as ROAs ==
	Depois que completar o processo acima, voltaremos no nosso krill mas agora na aba '''ROAs'''. Precisamos ~~que~~ aguardar os recursos serem liberados e aparecerem nessa tela. Temos que ter muito cuidado ao criar uma '''ROA''' porque se dissermos uma coisa e anunciarmos outra, isso pode '''invalidar''' nosso prefixo e ele ~~ser~~ descartado em diversos ~~equipamentos~~ pela Internet, te causando uma indisponibilidade de acesso.		Depois que completar o processo acima, voltaremos no nosso krill mas agora na aba '''ROAs'''. Precisamos aguardar os recursos serem liberados e aparecerem nessa tela. Temos que ter muito cuidado ao criar uma '''ROA''' porque se dissermos uma coisa e anunciarmos outra, isso pode '''invalidar''' nosso prefixo e ele será descartado em diversos routers pela Internet, te causando uma indisponibilidade de acesso.

	Um exemplo se você cadastrar uma '''ROA''' informando apenas o prefixo '''198.18.0.0/22''' e fizer anúncios como: '''198.18.0.0/23''', '''198.18.0.0/24''', esse dois últimos serão vistos como anúncios inválidos porque não existe uma '''ROA''' que inclua eles. Nesse caso você deveria criar uma '''ROA''' assim: '''198.18.0.0/22-24''' onde você está dizendo que terá anúncios de '''/22''' até prefixos mais específicos como os '''/24'''.		Um exemplo se você cadastrar uma '''ROA''' informando apenas o prefixo '''198.18.0.0/22''' e fizer anúncios como: '''198.18.0.0/23''', '''198.18.0.0/24''', esse dois últimos serão vistos como anúncios '''inválidos''' porque não existe uma '''ROA''' que inclua eles. Nesse caso você deveria criar uma '''ROA''' assim: '''198.18.0.0/22-24''' onde você está dizendo que terá anúncios de '''/22''' até prefixos mais específicos como os '''/24'''.

	Quando for adicionar uma '''ROA''' aparecerá uma janela conforme abaixo e nosso exemplo acima ficaria assim. Em '''1''' temos o nosso '''ASN''', em '''2''' o prefixo cheio e em '''3''' o máximo de tamanho que iremos anunciar. Nesse caso todos até os '''/24''', ou seja, o '''/22''', os '''2 /23''' e os '''4 /24''' deste prefixo. Na dúvida não configure de qualquer jeito, procure um profissional. Porque isso pode realmente parar a sua Operação de Internet, se for feito errado e gerar prefixos inválidos.		Quando for adicionar uma '''ROA''' aparecerá uma janela conforme abaixo e nosso exemplo acima ficaria assim. Em '''1''' temos o nosso '''ASN''', em '''2''' o prefixo cheio e em '''3''' o máximo de tamanho que iremos anunciar. Nesse caso todos até os '''/24''', ou seja, o '''/22''', os '''2 /23''' e os '''4 /24''' deste prefixo. Na dúvida não configure de qualquer jeito, procure um profissional. Porque isso pode realmente parar a sua Operação de Internet, se for feito errado e gerar prefixos inválidos.

Gondim em 19h52min de 4 de março de 2023

2023-03-04T19:52:49Z

@@ Linha 95: / Linha 95: @@
 Cheque a versão que você está usando:
   # dpkg -l|grep krill
-  ii  krill                             0.12.2-1bullseye                      amd64        Resource Public Key Infrastructure (RPKI) daemon
+  ii  krill                             '''0.12.2-1bullseye'''                      amd64        Resource Public Key Infrastructure (RPKI) daemon
 Se der algum problema você pode voltar a cópia dos dados do krill e voltar a versão anterior assim:
-  # apt install krill=0.12.2-1bullseye
+  # apt install krill='''0.12.2-1bullseye'''
 Porque estou dizendo isso? Se a atualização do '''Krill''' fizer modificações em '''/var/lib/krill/data''' e normalmente faz, essas modificações '''não serão compatíveis com a versão anterior'''. Por isso fazemos um backup dos dados antes de atualizar o binário.

Gondim em 19h22min de 4 de março de 2023

2023-03-04T19:22:36Z

@@ Linha 72: / Linha 72: @@
 Um exemplo se você cadastrar uma '''ROA''' informando apenas o prefixo '''198.18.0.0/22''' e fizer anúncios como: '''198.18.0.0/23''', '''198.18.0.0/24''', esse dois últimos serão vistos como anúncios inválidos porque não existe uma '''ROA''' que inclua eles. Nesse caso você deveria criar uma '''ROA''' assim: '''198.18.0.0/22-24''' onde você está dizendo que terá anúncios de '''/22''' até prefixos mais específicos como os '''/24'''.
-Quando for adicionar uma '''ROA''' aparecerá uma janela conforme abaixo e nosso exemplo acima ficaria assim. Em '''1''' temos o nosso '''ASN''', em '''2''' o prefixo cheio e em '''3''' o máximo de tamanho que iremos anunciar. Nesse caso todos até os '''/24''', ou seja, o '''/22''',  os '''2 /23''' e os '''4 /24''' deste prefixo. Na dúvida não configure de qualquer jeito, procure um profissional. Porque isso pode realmente parar a sua Operação de Internet se for feito errado e gerar prefixos inválidos.
+Quando for adicionar uma '''ROA''' aparecerá uma janela conforme abaixo e nosso exemplo acima ficaria assim. Em '''1''' temos o nosso '''ASN''', em '''2''' o prefixo cheio e em '''3''' o máximo de tamanho que iremos anunciar. Nesse caso todos até os '''/24''', ou seja, o '''/22''',  os '''2 /23''' e os '''4 /24''' deste prefixo. Na dúvida não configure de qualquer jeito, procure um profissional. Porque isso pode realmente parar a sua Operação de Internet, se for feito errado e gerar prefixos inválidos.
-[[Arquivo:Krill13.png|nenhum|commoldura]]
+[[Arquivo:Krill13.png|nenhum|commoldura]]A propagação das suas '''ROAs''' pode levar algumas horas então não fique apreensivo. Eu costumo consultar no HE por exemplo: https://bgp.he.net/AS22548#_prefixes