Implementando Segurança BGP com RPKI

Visão Geral

A Infraestrutura de Chave Pública de Recursos (RPKI) fornece validação criptográfica das origens de rota BGP para prevenir sequestro de rotas e vazamentos acidentais de rotas. A RPKI permite que operadores de rede criem Autorizações de Origem de Rota (ROAs) que declaram quais Sistemas Autônomos (ASes) estão autorizados a originar prefixos IP específicos. Roteadores BGP validam anúncios de rota recebidos contra dados RPKI através da Validação de Origem de Rota (ROV), rejeitando rotas com origens inválidas. Esta habilidade abrange a criação de ROAs através de Registros Regionais de Internet (RIRs), a implantação de software validador RPKI, a configuração de ROV em roteadores Cisco IOS-XE e Juniper Junos, e a implementação de políticas de filtragem BGP com base no estado de validação RPKI.

Quando Usar

• Ao implantar ou configurar a implementação de segurança BGP com capacidades RPKI em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Espaço de endereço IP alocado de um RIR (ARIN, RIPE, APNIC, AFRINIC, LACNIC)
• Acesso ao portal de membro do RIR para criação de ROA
• Roteadores BGP (Cisco IOS-XE 16.x+, Juniper Junos 12.2+, ou similar)
• Servidor Linux para validador/cache RPKI (Routinator, FORT, ou OctoRPKI)
• Compreensão de roteamento BGP e conceitos de caminho AS

Conceitos Principais

Arquitetura RPKI

┌──────────────────────────────────────────────┐
│           Regional Internet Registries        │
│    (ARIN, RIPE, APNIC, AFRINIC, LACNIC)      │
│                                               │
│  ┌─────────────────────────────────────────┐  │
│  │  Trust Anchor (Root CA Certificate)      │  │
│  │  ├── CA Certificate (ISP/Organization)   │  │
│  │  │   ├── ROA: AS64512 → 198.51.100.0/24 │  │
│  │  │   └── ROA: AS64512 → 2001:db8::/32   │  │
│  │  └── CA Certificate (Another Org)        │  │
│  │      └── ROA: AS64513 → 203.0.113.0/24  │  │
│  └─────────────────────────────────────────┘  │
└──────────────────────────────────────────────┘
                     │ rsync/RRDP
                     ▼
         ┌──────────────────────┐
         │  RPKI Validator/Cache │  (Routinator, FORT, OctoRPKI)
         │  Validates ROAs       │
         │  Serves VRPs to RTR   │
         └──────────────────────┘
                     │ RTR Protocol (TCP 8323)
                     ▼
         ┌──────────────────────┐
         │  BGP Router           │
         │  Performs ROV          │
         │  Applies policy:      │
         │   Valid → Accept      │
         │   Invalid → Reject    │
         │   NotFound → Accept   │
         └──────────────────────┘

Estados de Validação RPKI

Autorização de Origem de Rota (ROA)

Uma ROA é um objeto assinado que declara:

• Prefixo: O intervalo de endereços IP (por exemplo, 198.51.100.0/24)
• Origem AS: O AS autorizado a originar este prefixo (por exemplo, AS64512)
• Comprimento Máximo: O comprimento máximo de prefixo que pode ser anunciado (por exemplo, /24)

Fluxo de Trabalho

Etapa 1: Criar ROAs no seu RIR

ARIN (América do Norte):

1. Faça login no portal ARIN Online
2. Navegue até Segurança de Roteamento > Autorizações de Origem de Rota
3. Crie ROA:
   • Prefixo: 198.51.100.0/24
   • Origem AS: AS64512
   • Comprimento Máximo: /24 (definir igual ao comprimento do prefixo para evitar sequestro de sub-prefixos)
4. Assine e envie

RIPE NCC (Europa):

1. Faça login no Portal LIR RIPE NCC
2. Navegue até Certificação (RPKI) > ROAs
3. Crie ROA com prefixo, origem AS e comprimento máximo do prefixo

Etapa 2: Implantar Validador RPKI (Routinator)

# Instalar Routinator no Ubuntu
sudo apt install -y routinator

# Ou instalar via Cargo (Rust)
curl --proto '=https' --tlsv1.2 -sSf https://sh.rustup.rs | sh
cargo install routinator

# Inicializar Routinator (aceitar TALs)
routinator init --accept-arin-rpa

# Iniciar Routinator no modo servidor RTR
routinator server \
  --rtr 0.0.0.0:8323 \
  --http 0.0.0.0:8080 \
  --refresh 600 \
  --retry 60 \
  --expire 7200

# Executar como serviço systemd
cat > /etc/systemd/system/routinator.service << 'SYSTEMD'
[Unit]
Description=Routinator RPKI Validator
After=network.target

[Service]

…