跳至内容

资源公钥基础结构(RPKI)

RPKI是一个公钥基础结构框架，旨在保护Internet的路由基础结构，特别是边界网关协议(BGP)。RPKI提供了一种将有关Internet号码资源(如IP地址)的信息连接到信任锚点的方法。使用RPKI，数字资源的合法持有者可以控制Internet路由协议的运行，以防止路由劫持和其他攻击风险。有关详细信息, 请参阅RPKI–BGP路由所需的加密升级。

Internet Exchange上的RPKI​

Equinix Internet Exchange Multi-Lateral Peering Exchange (MLPE)路由服务器使用RPKI根据区域Internet注册机构(RIR)的授权记录验证客户向其公布的所有BGP前缀。我们在每个Internet Exchange (IX)城域中运行冗余缓存服务器以促进密钥验证，并且在每个地区运行冗余验证程序服务器。此基础架构模型支持快速验证路由，并在RIR数据库不可用时提供强大的恢复能力，以维护服务。

客户可见​

IX Portal上的路由分析工具Looking Glass可以验证是否正在验证公告给Equinix路由服务器的IP前缀。Equinix还向客户宣传BGP社区，以表明各个前缀是否有效。

RPKI on Bbi-Lateral Peering sessions.​

您也可以在双边对等会话中使用RPKI，尽管Equinix不会对这些过程执行任何验证。两个IX参与者可以同意使用RPKI来保护他们之间的对等会话, 并使用他们自己的方法来验证通告的前缀。

MLPE前缀验证流程​

此图显示了Equinix iX如何处理 IRR 和RPKI的MLPE前缀验证流程。

  1. 前缀已通过内部MLPE策略–前缀已通过多项内部检查，如前缀长度，Bogon，无效ASN和下一跳。

  2. IRRDB–Internet路由注册(IRR)是由区域Internet注册(RIR)维护的全球分布式数据库(DB)的集合。许多IRR相互镜像对方的数据库。IRR包含描述自治系统编号，IP编号前缀，所有权等的因特网路由对象资源。许多实体都使用这些资源来帮助定义路由策略。

    Equinix要求客户在其中一个IRR中发布与其公共IP前缀相关的信息。Equinix至少查询一个IRR，并可查看所有其他主要IRR。

  3. RTBH–远程触发的黑洞(RTBH)过滤是一种自我管理的功能，使您能够在不必要的流量进入受IX保护的网络之前阻止它。RTBH保护您免受分布式拒绝服务(DDoS)攻击。

  4. ROA存在–路由源站授权(ROA) 是一种加密签名的语句，由前缀，前缀长度，最大前缀长度，原始ASN和有效日期组成。

    如果通知没有ROA，则状态为"未知/NotFound "。

  5. ROA有效–ROA和路由通知匹配。

  6. ROA无效–ROA具有匹配的前缀，但不是ROA中的所有参数都与通知匹配。例如，原始ASN，前缀长度或前缀最大长度不匹配。

此页面有帮助吗？