本文へスキップ

リソース公開鍵インフラストラクチャ(RPKI)

RPKIは、インターネットのルーティングインフラストラクチャ、特にボーダーゲートウェイプロトコル(BGP)を保護するために設計された公開鍵基盤フレームワークである。RPKIは、インターネット番号リソース（IPアドレスなど）に関する情報をトラストアンカーに接続する方法を提供する。RPKIを使うことで、番号リソースの正当な保有者はインターネットルーティングプロトコルの動作を制御し、ルートハイジャックやその他の攻撃リスクを防ぐことができる。詳細については、「RPKI–BGPルーティングに必要な暗号化アップグレード」を参照。

インターネットエクスチェンジでのRPKI​

Equinix Internet Exchange Multi-Lateral Peering Exchange (MLPE)ルートサーバはRPKIを使用して、顧客によってアドバタイズされたすべてのBGPプレフィクスを、Regional Internet Registries (RIR)の権限レコードに対して検証する。鍵検証を容易にするために、すべてのInternet Exchange(IX)メトロで冗長キャッシュサーバを運用し、各リージョンで冗長バリデータサーバを運用している。このインフラストラクチャモデルは、ルートの迅速な検証を可能にし、RIRデータベースが使用できなくなった場合にサービスを維持するための堅牢な復元力を提供する。

お客様に見える​

IX Portalのルート分析ツールLooking Glassは、EquinixルートサーバにアドバタイズされたIPプレフィックスが検証されているかどうかを検証できる。Equinixはまた、個々のプレフィックスが有効かどうかを示すためにBGPコミュニティを顧客にアドバタイズする。

双方向ピアリングセッションでのRPKI​

RPKIは二国間ピアリングセッションでも使用できるが、Equinixはこれらのプロセスの検証を実行しない。2人のIX参加者は、自身の方法でアドバタイズされたプレフィックスを検証することで、自身のピアリングセッションを保護するためにRPKIを使用することに同意することができる。

MLPEプレフィックス検証プロセス​

この図は、Equinix IXが IRR とRPKIのMLPEプレフィックス検証のプロセスフローをどのように処理するかを示す。

  1. Prefix passed internal MLPE policies●プレフィックスが、プレフィックス長、Bogon、無効なASN、ネクストホップなどの複数の内部チェックに合格した。

  2. IRRDB - Internet Routing Registries (IRR)は、地域インターネットレジストリ(RIR)によって維持されるグローバルに分散されたデータベース(DB)の集合である。多くのIRRは互いのデータベースをミラーリングする。IRRには、自律システム番号、IP番号プレフィックス、所有権などを記述するインターネットルーティングオブジェクトリソースが含まれている。これらのリソースは、ルーティングポリシーの定義に役立つ多数のエンティティによって使用される。

    Equinixは、IRRの1つでパブリックIPプレフィックスに関連する情報を公開することを顧客に要求している。Equinixは、他のすべての主要なIRRを可視化して、少なくとも1つのIRRを照会する。

  3. RTBH–Remotely Triggered Black Hole (RTBH)フィルタリングは自己管理機能であり、不要なトラフィックがIXで保護されたネットワークに入る前にブロックできる。RTBHは、分散型サービス妨害（DDoS）攻撃からユーザーを保護する。

  4. ROA Exists–Route Origin Authorization (ROA)は、 プレフィックス、プレフィックス長、最大プレフィックス長、発信元ASN、および有効日からなる暗号署名されたステートメントである。

    アナウンスメントのROAがない場合、ステータスはUnknown/NotFound。

  5. [ROA Valid]：ROAとルートアナウンスの一致。

  6. ROA Invalid–ROAに一致するプレフィックスがあるが、ROA内のすべてのパラメータがアナウンスと一致するわけではない。たとえば、発信元ASN、プレフィックス長、またはプレフィックス最大長が一致しない。

このページは役に立ちましたか？