🔉 🏖️ 📚 जुनिपर रूटर्स पर बीजीपी में आरपीकेआई एकीकरण 🗜️ 🤕 🕧

इस पोस्ट में मैं RPKI प्रमाणीकरण प्रणाली पर सभी जानकारी एक साथ रखना चाहता था, लेकिन विषय काफी व्यापक निकला, इसके अलावा मैं इंटरनेट के रूसी-भाषा के कई लेखों के बारे में आया, जो RPKI के सिद्धांत का विस्तार से वर्णन करते हैं (पोस्ट के अंत में इन लेखों के लिंक)। लाइव हार्डवेयर पर RPKI को ट्यूनिंग और लागू करने के उदाहरणों के साथ, चीजें खराब हो जाती हैं। इसलिए, मैंने HOW-TO की शैली में एक लेख बनाने का फैसला किया। लेख में प्रस्तुत जानकारी प्रदाताओं को ग्राहकों से प्राप्त उपसर्गों की जाँच की प्रक्रिया को स्वचालित करने और फ़िल्टर में त्रुटियों को समाप्त करने में मदद कर सकती है। हर कोई जो RPKI के साथ गतिशील रूटिंग को बचाने और लिनक्स पर RPKI कैश सर्वर को कॉन्फ़िगर करने में रुचि रखता है, कृपया, बिल्ली के नीचे।

सिद्धांत

सबसे पहले, कुछ शर्तें:

RPKI (संसाधन सार्वजनिक कुंजी अवसंरचना) एक पदानुक्रमित सार्वजनिक कुंजी प्रणाली (PKI) है जिसे इंटरनेट पर वैश्विक रूटिंग की सुरक्षा सुनिश्चित करने के लिए डिज़ाइन किया गया है। RPKI IP पते और AS नंबरों ( RFC3779 ) के उपयोग की अनुमति देकर अतिरिक्त विस्तार के साथ X.509 PKI सर्टिफिकेट आर्किटेक्चर ( RFC5280 ) का उपयोग करता है। प्रमाणपत्र की संरचना आपको इंटरनेट संसाधनों के वितरण (आईपी पते और स्वायत्त प्रणालियों की संख्या) का निर्धारण करने की अनुमति देती है। आईएनए द्वारा क्षेत्रीय इंटरनेट रजिस्ट्रियों (आरआईआर) के माध्यम से इंटरनेट संसाधनों को शुरू में वितरित किया जाता है, जो उन्हें स्थानीय इंटरनेट रजिस्ट्रियों (एलआईआर) में वितरित करता है, जो बदले में अपने ग्राहकों के बीच इंटरनेट संसाधनों को वितरित करता है। RPKI सिस्टम उसी तरह बनाया गया है। इंटरनेट संसाधनों का प्रत्येक बाद का वितरण एक प्रमाण पत्र के निर्माण के साथ होता है जिसे "माता-पिता" की कुंजी के साथ हस्ताक्षरित किया जाता है, अर्थात, संगठन जो मूल रूप से इन इंटरनेट संसाधनों को प्रदान करता है। प्रत्येक इंटरनेट संसाधन से जुड़े ऐसे प्रमाणपत्रों की समग्रता एक डेटाबेस बनाती है जिसके द्वारा आप सूचना की सटीकता को सत्यापित कर सकते हैं। ऐसे डेटाबेस सभी आरआईआर के सार्वजनिक आरपीकेआई रिपॉजिटरी पर स्थित हैं।

ROA (रूट ओरिजिन ऑथराइजेशन) - मार्ग बनाने की अनुमति। विनिर्देश के अनुसार, आरओए में अधिकृत एएस की संख्या शामिल है, आईपी उपसर्गों की एक सूची है जिसे इस एएस को घोषित करने की अनुमति है, और इसी सूचना संसाधनों का वर्णन करने वाला एक प्रमाण पत्र। आप "पता योग्य इंटरनेट संसाधनों का प्रमाणन" लेख में प्रमाणन प्रणाली के बारे में अधिक पढ़ सकते हैं, एक लिंक जिसके बारे में आपको पोस्ट के अंत में पता चलेगा।

हालाँकि उपसर्गों का सत्यापन प्रत्येक राउटर द्वारा व्यक्तिगत रूप से प्रत्यक्ष RPKI सत्र में किया जा सकता है, इस दृष्टिकोण की अनुशंसा नहीं की जाती है क्योंकि इसमें राउटर संसाधनों (RPKI डेटा प्राप्त करते समय संसाधन-गहन क्रिप्टोग्राफ़िक संचालन) के बड़े व्यय की आवश्यकता होती है। इस डेटा का उपयोग करने के लिए, अपने स्थानीय RPKI कैश सर्वर का समर्थन करना सबसे अच्छा अभ्यास माना जाता है, जो सार्वजनिक RPKI रिपॉजिटरी के साथ अपने आधार को सिंक्रनाइज़ करेगा। प्राप्त डेटा को कैश सर्वर पर संसाधित और जांचा जाता है। अगला, कैश सर्वर उपसर्ग-से-एएस प्रविष्टियों को उत्पन्न करता है। उत्पन्न डेटाबेस को आरपीकेआई-आरटीआर प्रोटोकॉल का उपयोग करके सुरक्षित टीसीपी कनेक्शन के माध्यम से राउटर पर अपलोड किया जाता है। इस प्रकार, राउटर को क्रिप्टोग्राफिक जानकारी को संसाधित करने और आरपीकेआई डेटा पर संचालित करने की आवश्यकता नहीं है। बाद में, उपसर्गों की जांच के लिए राउटर एक तैयार तालिका का उपयोग करता है।

राउटर पर, डेटाबेस को आरवी (मार्ग सत्यापन) प्रविष्टियों के प्रारूप में प्रस्तुत किया जाता है। आरवी डेटाबेस में आरपीकेआई कैश सर्वर से राउटर द्वारा डाउनलोड के लिए उपलब्ध आरवी रिकॉर्ड का संग्रह होता है। एक आरवी रिकॉर्ड में शामिल हैं: एक उपसर्ग, एक अधिकतम उपसर्ग लंबाई और एक एएस स्रोत। यह रिकॉर्ड प्रत्येक मार्ग की जांच करने के लिए उपयोग किया जाता है जिसके साथ RV रिकॉर्ड उपसर्ग फ़ील्ड से मेल खाता है। यह आरवी रिकॉर्ड और एएस संख्या में निर्दिष्ट अधिकतम लंबाई की भी जांच करता है। आरओ रिकॉर्डिंग आरओए रिकॉर्डिंग का एक सरलीकृत रूप है। चूंकि आरओए प्रविष्टियां स्वयं मार्गों को सत्यापित करने के लिए उपयोग नहीं की जाती हैं, कैश सर्वर राउटर के लिए पहले से ही उत्पन्न आरवी प्रविष्टियों का निर्यात करता है।

आरवी रिकॉर्डिंग के लिए मार्ग की जाँच के लिए कदम:

RV रिकॉर्ड में अधिकतम उपसर्ग लंबाई रूट मास्क की लंबाई से अधिक या उसके बराबर होनी चाहिए जिसके लिए रिकॉर्ड बनाया गया था।
AS_PATH में प्रस्तुत पहले (दाएं) AS उपसर्ग को RV रिकॉर्ड में AS नंबर से मेल खाना चाहिए।

सभी उपसर्गों को आरवी रिकॉर्ड के स्थानीय डेटाबेस की स्थिति की परवाह किए बिना राउटर द्वारा जांचा जाता है। यदि सत्यापन के समय डेटाबेस खाली है, तो अज्ञात स्थिति सभी उपसर्गों के लिए सेट की जाएगी, क्योंकि डेटाबेस में इस उपसर्ग के बारे में कोई जानकारी नहीं है। हर बार डेटाबेस अपडेट होने के बाद, राउटर कैश सर्वर पर टाइमर को रीसेट करता है, इस प्रकार डेटाबेस में बदलाव के लिए एक संदर्भ बिंदु सेट करता है और डेटाबेस संस्करण को उसकी मेमोरी में बचाता है। पुन: कनेक्ट करते समय, राउटर उस डेटाबेस का संस्करण भेजता है जो कैश सर्वर में इसकी मेमोरी में होता है और यदि संस्करण चालू नहीं होता है, तो एक अपडेट होगा।

सत्यापन के आधार पर eBGP द्वारा प्राप्त उपसर्ग तीन राज्यों को ले सकता है:

मान्य - इंगित करता है कि उपसर्ग और एएस संख्या डेटाबेस में हैं
अमान्य - इंगित करता है कि डेटाबेस में उपसर्ग पाया गया था, लेकिन उपसर्ग के स्रोत की संख्या डेटाबेस में निर्दिष्ट एएस संख्या से मेल नहीं खाती है, या बीजीपी संदेश में उपसर्ग की लंबाई डेटाबेस में निर्दिष्ट अधिकतम अनुमत लंबाई से अधिक है
अज्ञात - इंगित करता है कि उपसर्ग डेटाबेस में नहीं मिला है और डेटाबेस में किसी भी नेटवर्क में शामिल नहीं है

अभ्यास

पहले हमें RPKI कैश सर्वर को कॉन्फ़िगर करने की आवश्यकता है जिसके साथ हमारा राउटर संचार करेगा। इन उद्देश्यों के लिए, RIPE NCC ने अपने RPKI सत्यापनकर्ता एप्लिकेशन को UNIX जैसे OS पर चलाकर और दो भागों से मिलकर विकसित किया है:

RPKI डेटाबेस के साथ काम करने के लिए वेब इंटरफ़ेस
राउटर डेमॉन

इसे स्थापित करने के लिए जावा 7 की आवश्यकता है। आरपीकेआई सत्यापनकर्ता को स्थापित करने के सभी और कदम उबंटू 12.04 पर प्रदर्शित किए जाएंगे।

जावा 7 स्थापित करें:

sudo apt-get remove openjdk* sudo add-apt-repository ppa:webupd8team/java sudo apt-get update sudo apt-get install oracle-java7-installer export JAVA_HOME=/usr/lib/jvm/java-7-oracle #    bashrc echo "export JAVA_HOME=/usr/lib/jvm/java-7-oracle" >> /etc/bash.bashrc

RIPE पृष्ठ से सत्यापनकर्ता को स्वयं स्थापित करें:

 cd /tmp wget https://certification.ripe.net/content/static/validator/rpki-validator-app-2.15-dist.tar.gz tar -xzvf /tmp/rpki-validator-app-2.15-dist.tar.gz -O <_>

हम सत्यापनकर्ता शुरू करते हैं:

 cd <_> ./rpki-validator.sh start

जवाब में, हम देखेंगे:

 [ info ] Starting rpki-validator... [ info ] writing logs under log directory [ info ] Web user interface is available on port 8080 [ info ] Routers can connect on port 8282 [ info ] Writing PID 15860 to validator.pid

जैसा कि आप संदेश से देख सकते हैं, सत्यापनकर्ता डेमन दो पोर्ट लेता है:

8080 - RPKI सत्यापनकर्ता वेब प्रबंधन इंटरफ़ेस
8282 - एक राउटर को जोड़ने के लिए इंटरफ़ेस

आप API का उपयोग करके कर्ल का उपयोग करके RPKI सत्यापनकर्ता के संचालन की जांच कर सकते हैं:

 curl http://localhost:8080/api/v1/validity/AS174/89.207.56.0/21

जहाँ AS174 AS नंबर है, 89.207.56.0/21 AS उपसर्ग है जिसे सत्यापन की आवश्यकता है। जवाब में, हमें मिलता है:

 { "validated_route":{ "route":{ "origin_asn":"AS174", "prefix":"89.207.56.0/21" }, "validity":{ "state":"Valid", "description":"At least one VRP Matches the Route Prefix", "VRPs":{ "matched":[{ "asn":"AS174", "prefix":"89.207.56.0/21", "max_length":21 }], "unmatched_as":[{ "asn":"AS3257", "prefix":"89.207.56.0/21", "max_length":21 },{ "asn":"AS41073", "prefix":"89.207.56.0/21", "max_length":21 }], "unmatched_length":[] } } } }

ब्राउज़र में पता <server_ip_address>: 8080 पर जाकर, हम प्रबंधन इंटरफ़ेस देखेंगे।

ट्रस्ट एंकर टैब पर, सभी रूट RPKI सर्वरों की एक सूची।

"ROAs" टैब पर, स्थापित RPKI हस्ताक्षर (सभी ज्ञात ROAs) के साथ सभी उपसर्गों की एक सूची। इंटरफ़ेस आपको किसी भी पैरामीटर से खोज करने की अनुमति देता है, उदाहरण के लिए एएस नंबर (एएस 174 - कोगेंट प्रदाता)।

"बीजीपी पूर्वावलोकन" टैब पर, आरओए के साथ और बिना सभी उपसर्गों की एक सूची। यह टैब किसी भी AS के सभी उपसर्गों की जाँच के लिए सुविधाजनक है।

इंटरफ़ेस दूरस्थ डेटा पुनर्प्राप्ति के लिए एक एपीआई भी प्रदान करता है।

अगला, हम RPKI कैश सर्वर के साथ काम करने के लिए जुनिपर राउटर को स्वयं कॉन्फ़िगर करते हैं।

हमने उपसर्गों की जाँच के लिए RPKI कैश सर्वर के साथ एक सत्र की स्थापना की। उदाहरण में, RPKI सत्यापनकर्ता सर्वर 192.168.0.10:8282 पर चल रहा है और राउटर इसे 192.168.0.1 पते से एक्सेस करता है:

 {master}[edit] user@router# show | compare [edit routing-options] + validation { + group RPKI-validator { + session 192.168.0.10 { + refresh-time 120; + hold-time 180; + port 8282; + local-address 192.168.0.1; + } + } + }

यदि आप अपने जुनिपर राउटर पर आरई सुरक्षा का उपयोग करते हैं, तो आपको उन नियमों को भी जोड़ना होगा जो RPKI कैश सर्वर से ट्रैफ़िक की अनुमति देते हैं:

 {master}[edit] user@router# show | compare | display omit [edit policy-options] + prefix-list RPKI-servers { + apply-path "routing-options validation group <*> session <*>"; + } + prefix-list RPKI-locals { + apply-path "routing-options validation group <*> session <*> local-address <*>"; + } [edit firewall family inet] + filter accept-rpki { + apply-flags omit; + interface-specific; + term accept-rpki { + from { + source-prefix-list { + RPKI-servers; + } + destination-prefix-list { + RPKI-locals; + } + protocol tcp; + } + then { + count accept-rpki; + accept; + } + } + } [edit interfaces lo0 unit 0 family inet filter] - input-list [ accept-bgp accept-common-services discard-all ]; + input-list [ accept-rpki accept-bgp accept-common-services discard-all ];

कॉन्फ़िगरेशन को लागू करने के बाद, सत्र स्थापित किया जाएगा:

 {master}[edit] user@router# run show validation session detail Session 192.168.0.10, State: up, Session index: 2 Group: RPKI-validator, Preference: 100 Local IPv4 address: 192.168.0.1, Port: 8282 Refresh time: 120s Hold time: 180s Record Life time: 3600s Serial (Full Update): 16 Serial (Incremental Update): 16 Session flaps: 0 Session uptime: 00:00:16 Last PDU received: 00:00:14 IPv4 prefix count: 7061 IPv6 prefix count: 1109

आरवी राउटर डेटाबेस अपडेट किया जाएगा:

 user@router> show validation database | last 20 2a04:71c0::/29-32 200086 192.168.0.10 valid 2a04:81c0::/29-48 48526 192.168.0.10 valid 2a04:8400::/32-64 41887 192.168.0.10 valid 2a04:8d40::/29-32 50304 192.168.0.10 valid 2a04:8f00::/29-29 49531 192.168.0.10 valid 2a04:92c0::/29-29 62240 192.168.0.10 valid 2a04:93c0::/32-48 60251 192.168.0.10 valid 2a04:9fc0::/29-32 24904 192.168.0.10 valid 2a04:a5c0::/29-29 199789 192.168.0.10 valid 2c0f:f668::/32-32 37519 192.168.0.10 valid 2c0f:f970::/32-32 37596 192.168.0.10 valid 2c0f:f9b0::/32-32 37390 192.168.0.10 valid 2c0f:f9b8:a::/48-48 37674 192.168.0.10 valid 2c0f:f9b8:f::/48-48 16265 192.168.0.10 valid 2c0f:faf8::/32-32 37403 192.168.0.10 valid 2c0f:fbf0::/28-28 32653 192.168.0.10 valid 2c0f:fc00::/27-27 3741 192.168.0.10 valid 2c0f:feb0::/32-32 37100 192.168.0.10 valid IPv4 records: 7061 IPv6 records: 1109

स्थापित सत्र RPKI सत्यापनकर्ता वेब इंटरफ़ेस में भी देखा जा सकता है।

हम राउटर पर उपसर्गों की जांच के लिए पॉलिसी-स्टेटमेंट कॉन्फ़िगर करते हैं। लचीला उपसर्ग फिल्टर बनाने के लिए, जुनिपर विशेष बीजीपी समुदाय बनाने की सिफारिश करता है:

मूल-मान्यता-राज्य के वैध
मूल-मान्यता-राज्य के अवैध
मूल-मान्यता-राज्य अज्ञात

जो राउटर को स्कैन परिणामों के आधार पर उपसर्गों को चिह्नित करने की अनुमति देता है। यह तंत्र बॉर्डर रूटर्स पर उपयोग करने के लिए सुविधाजनक है जो कि eBGP के माध्यम से प्राप्त उपसर्गों को पार्स करता है। उदाहरण के लिए, ऐसा एज राउटर ऐसे समुदाय के साथ सभी उपसर्गों को चिह्नित कर सकता है, और फिर RPBI कैश सर्वर के माध्यम से अतिरिक्त सत्यापन के बिना, iBGP के माध्यम से इससे जुड़े सभी एएस राउटर, इन समुदाय पर भरोसा करते हुए, अपने रूटिंग टेबल का निर्माण करेंगे। यह विधि आपको केवल कुछ राउटर पर RPKI-RTR सत्र को कॉन्फ़िगर करने की अनुमति देती है और इस तरह RPKI कैश सर्वर पर लोड को कम करती है। इसके अलावा, नीति चेक के परिणामों के आधार पर उपसर्गों के लिए अलग-अलग स्थानीय-प्राथमिकताएं निर्धारित करेगी। यह आपको IETF सिफारिशों को ध्यान में रखते हुए एक रूटिंग टेबल बनाने की अनुमति देगा, जो उन उपसर्गों के लिए सबसे कम प्राथमिकता निर्धारित करता है जो परीक्षण पास नहीं करते थे।

एक नीति बनाएँ:

 {master}[edit] user@router# show | compare [edit policy-options] + policy-statement RPKI-validation { + term valid { + from { + protocol bgp; + validation-database valid; + } + then { + local-preference 110; + validation-state valid; + community add origin-validation-state-valid; + next policy; + } + } + term invalid { + from { + protocol bgp; + validation-database invalid; + } + then { + local-preference 90; + validation-state invalid; + community add origin-validation-state-invalid; + next policy; + } + } + term unknown { + from protocol bgp; + then { + local-preference 100; + validation-state unknown; + community add origin-validation-state-unknown; + next policy; + } + } + } [edit policy-options] + community origin-validation-state-invalid members 0x43:100:2; + community origin-validation-state-unknown members 0x43:100:1; + community origin-validation-state-valid members 0x43:100:0;

सामुदायिक कॉन्फ़िगरेशन में, एएस नंबर 100 है, इसे आपके एएस नंबर से बदला जाना चाहिए।

आइए राउटर रूटिंग टेबल को देखें:

 {master} user@router> show route protocol bgp validation-state valid | last 12 2c0f:faf8::/32 *[BGP/170] 2d 01:27:30, localpref 110 AS path: 174 30844 37105 37403 37403 I, validation-state: valid > to 2001:978:2:b4::1:1 via ae0.12 2c0f:fbf0::/28 *[BGP/170] 2d 01:27:30, localpref 110 AS path: 174 6939 3741 32653 I, validation-state: valid > to 2001:978:2:b4::1:1 via ae0.12 2c0f:fc00::/27 *[BGP/170] 2d 01:27:30, localpref 110 AS path: 174 3356 3741 I, validation-state: valid > to 2001:978:2:b4::1:1 via ae0.12 2c0f:feb0::/32 *[BGP/170] 2d 01:27:30, localpref 110 AS path: 174 37100 ?, validation-state: valid > to 2001:978:2:b4::1:1 via ae0.12 {master} user@router> show route protocol bgp validation-state invalid | last 12 2a03:f85:1::/48 *[BGP/170] 2d 01:27:36, localpref 90 AS path: 174 34305 I, validation-state: invalid > to 2001:978:2:b4::1:1 via ae0.12 2a03:f86:4::/48 *[BGP/170] 2d 01:27:36, localpref 90 AS path: 174 174 54020 59692 I, validation-state: invalid > to 2001:978:2:b4::1:1 via ae0.12 2a03:f87:ffff::/48 *[BGP/170] 2d 01:27:36, localpref 90 AS path: 174 9002 57169 I, validation-state: invalid > to 2001:978:2:b4::1:1 via ae0.12 2a03:bb40::/32 *[BGP/170] 2d 01:27:36, localpref 90 AS path: 174 174 I, validation-state: invalid > to 2001:978:2:b4::1:1 via ae0.12 {master} user@router> show route protocol bgp validation-state unknown | last 12 2c0f:ff40::/26 *[BGP/170] 2d 01:29:56, localpref 100 AS path: 174 6939 10474 I, validation-state: unknown > to 2001:978:2:b4::1:1 via ae0.12 2c0f:ff90::/32 *[BGP/170] 2d 01:29:56, localpref 100 AS path: 174 174 6453 15808 I, validation-state: unknown > to 2001:978:2:b4::1:1 via ae0.12 2c0f:ffa0::/32 *[BGP/170] 01:39:27, localpref 100 AS path: 174 9498 37273 I, validation-state: unknown > to 2001:978:2:b4::1:1 via ae0.12 2c0f:ffd8::/32 *[BGP/170] 2d 01:29:56, localpref 100 AS path: 174 174 33762 I, validation-state: unknown > to 2001:978:2:b4::1:1 via ae0.12

इन आदेशों के परिणाम बताते हैं कि रूटिंग टेबल में मान्य मार्गों को प्राथमिकता दी जाती है।

वास्तविकता

दुर्भाग्य से, इस समय, कई प्रदाता आरपीकेआई का उपयोग करते हुए योजना से बच रहे हैं, क्योंकि दुनिया के पूर्ण-दृश्य राउटिंग टेबल से उपसर्गों के केवल एक छोटे हिस्से के पास प्रमाण पत्र हैं। इसके अलावा, सभी ग्राहकों को अपने नेटवर्क के लिए आरओए रिकॉर्ड को कॉन्फ़िगर करने की ~~इच्छा~~ नहीं है। प्रदाता अक्सर एक दिन में एक या दो बार स्क्रिप्ट चलाने के लिए, व्हिस डेटा के आधार पर उपसर्ग फिल्टर को स्वचालित रूप से अपडेट करने के लिए सिद्ध योजना का उपयोग करते हैं। इस तरह की स्कीम का मतलब है कि व्हिस डेटाबेस में पूरा भरोसा है, जो बदले में ग्राहकों द्वारा खुद को अपडेट किया जाता है और विभिन्न आरआईआर के बीच भिन्न हो सकता है। छोटे क्षेत्रीय प्रदाताओं को फ़िल्टर के बारे में चिंता करने की ज़रूरत नहीं है, ~~यादृच्छिक पीयर~~ फ़िल्टर पर भरोसा करते हैं और इस प्रकार " ट्रैफ़िक आकर्षण " हमलों के स्रोत हो सकते हैं। RPKI कैश सर्वर को स्थापित करने और बनाए रखने के लिए अतिरिक्त लागतों की आवश्यकता से स्थिति भी तेज हो गई है। यह संभावना है कि जब तक एक महत्वपूर्ण महत्वपूर्ण द्रव्यमान नहीं पहुंचता है, तब तक यह तकनीक "पेपर" रूप में रहेगी, क्योंकि कार्यान्वयन लागत, कई के अनुसार, परिणाम का भुगतान नहीं करते हैं।

जुनिपर रूटर्स पर बीजीपी में आरपीकेआई एकीकरण

सिद्धांत

अभ्यास

वास्तविकता

संदर्भ

More articles: