Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Überwachen Sie den BGP-Routenschutz
Der IPAM-BGP-Routenschutz überwacht die RPKI-Gültigkeit (Resource Public Key Infrastructure) für alle Bring Your Own IP (BYOIP) -Präfixe über Konten und Regionen hinweg von einem einzigen Dashboard aus, erkennt Routenüberschneidungen, die auf Hijacking hindeuten könnten, und macht mit delegierter RPKI die manuelle Verwaltung der Route Origin Authorization (ROA) bei ARIN, RIPE, APNIC und LACNIC überflüssig. Sie müssen sich nicht mehr pro Präfix bei RIR-Portalen (Regional Internet Registry) anmelden, sondern müssen keine manuellen ROA-Operationen durchführen.
Das Problem, das gelöst wird
Kunden, die ihre eigenen IP-Adressen mitbringen, AWS müssen den BGP-Routenschutz manuell in ihrer Regional Internet Registry verwalten. Das bedeutet, dass Sie sich für jedes Präfix bei RIR-Portalen (ARIN, RIPE, APNIC) anmelden, die Ablaufdaten von Dutzenden oder Hunderten von ROAs verfolgen und sich bei der Erkennung von Routen-Hijacks auf Tools von Drittanbietern verlassen müssen. Für das ROA-Management verwenden Kunden entweder das von ihrem RIR gehostete Portal oder verwenden Open-Source-Tools wie Krill (NLNet Labs), um ihre eigene RPKI-Zertifizierungsstelle (CA) zu betreiben. Viele Kunden überspringen die ROA-Erstellung komplett oder erstellen sie einmal und vergessen dann, sie zu verlängern. Es gibt keine integrierte Lösung, die Routenüberwachung, RPKI-Verwaltung und IP-Adressverwaltung an einem Ort vereint.
Mit delegierter RPKI müssen Sie bei der Bereitstellung keine Echtheits- oder Eigentumsnachweise für CIDRs oder Präfixe mehr vorlegen, da AWS dies in Ihrem Namen überprüft wird. Gleichzeitig AWS erstellt es ROAs für jedes neue CIDR, das Sie bereitstellen.
Funktionsweise
Der BGP-Routenschutz besteht aus drei Ebenen, die jeweils auf der vorherigen aufbauen:
-
Routenerkennung: IPAM erkennt alle BYOIP-Routen über Konten und Regionen hinweg. Sie sehen Präfix, ASN, Werbestatus und RPKI-Gültigkeit in einem Dashboard.
-
Ergebnisse zum Routenschutz: IPAM bewertet jede Route anhand der veröffentlichten ROA-Daten. Es kennzeichnet widersprüchliche ROAs, fehlende ROAs, zulässige Konfigurationen und sich überschneidende Ankündigungen von anderen ASNs. Andernfalls haben Sie keine Möglichkeit, Subpräfix-Hijacks oder abgelaufene ROAs zu erkennen, bis der Datenverkehr bereits fehlgeleitet wurde.
-
Delegiertes RPKI: Sie autorisieren die Verwaltung von ROAs in Ihrem Namen durch AWS eine einmalige Einrichtung mit Ihrem RIR. Ab diesem Zeitpunkt erstellt IPAM automatisch ROAs, wenn Sie CIDRs bereitstellen, erneuert sie automatisch vor Ablauf und verwaltet ROAs für lokale Präfixe, die Sie nicht eingegeben haben. AWS Ohne Delegierung müssen Sie die Ablaufdaten von Dutzenden von ROAs manuell nachverfolgen und sie in jedem RIR-Portal einzeln verlängern.
Verwendung
Erwägen Sie den BGP-Routenschutz, wenn einer der folgenden Punkte zutrifft:
Sie haben BYOIP-Präfixe und möchten wissen, ob diese vor Hijacking geschützt sind.
Sie möchten aufhören, ROAs in Ihrem RIR manuell zu erstellen und zu erneuern.
Sie möchten ein einziges Dashboard, das den RPKI-Status für alle Konten und Regionen anzeigt.
Sie müssen die RoAs für den lokalen IP-Bereich von derselben Konsole aus verwalten wie Ihre IPs. AWS
BGP-Routenschutz ist nicht erforderlich, wenn einer der folgenden Punkte zutrifft:
Sie verwenden nur AWS eigenen IP-Bereich (elastische IP-Adressen, vom Dienst verwaltete Präfixe). AWS verwaltet die ROAs für diese automatisch.
Ihre BYOIP-Präfixe werden nicht im Internet bekannt gegeben (nur für den privaten Gebrauch innerhalb). AWS Keine BGP-Ankündigungen bedeuten kein Hijack-Risiko.
Ihr Unternehmen verfügt bereits über eine ausgereifte RPKI-CA (wie Krill) mit vollständiger Automatisierung und Überwachung. In diesem Fall würde delegiertes RPKI das, was Sie bereits haben, duplizieren, obwohl das Monitoring-Dashboard dennoch einen Mehrwert für eine zentrale Sichtbarkeit bieten kann.
Optionen für den Einstieg
Sie müssen nicht alles auf einmal aktivieren. Jede Funktion funktioniert unabhängig:
-
Überwachung: Sehen Sie sich alle BYOIP-Routen an, die IPAM anhand Ihrer bereitgestellten Präfixe automatisch erkennt, einschließlich Werbestatus, RPKI-Gültigkeit, ROA-Stärke, Routenüberschneidungen und ROA-Ablauf. Kunden des kostenlosen Tarifs können die Route Discovery API aufrufen. Advanced Tier bietet das vollständige Dashboard mit RPKI-Ergebnissen und Überschneidungserkennung. Es ist kein RIR-Setup erforderlich. Beginnen Sie hier, um Ihre aktuelle Körperhaltung zu verstehen, bevor Sie Änderungen vornehmen.
-
RPKI delegieren: Delegieren Sie die ROA-Verwaltung an eine einmalige Einrichtung AWS der Internet Registry Association mit Ihrem RIR. Sobald sie aktiv sind, werden ROAs bei der Bereitstellung erstellt und automatisch erneuert. Delegated RPKI unterstützt Batch-Updates für die atomare Verwaltung mehrerer Präfixe. Beginnen Sie hier, wenn Sie RoAs bereits manuell verwalten und diese betriebliche Belastung beseitigen möchten.
Sie können mit der Überwachung beginnen, Ihre Körperhaltung bewerten und später delegierte RPKI hinzufügen, ohne bestehende Routen zu unterbrechen.
Anforderungen der Stufe
| Funktion | Kostenloses Kontingent | Stufe Fortgeschritten |
|---|---|---|
| Routenermittlung (Routen anzeigen) | Ja | Ja |
| Ergebnisse zum Routenschutz (RPKI-Status, Überschneidungen) | Nein | Ja |
| Delegiertes RPKI (automatisiertes ROA-Management) | Nein | Ja |
| On-premises ROA-Management (Registrierung von Routing-Richtlinien) | Nein | Ja |
Preisdetails finden Sie auf der Amazon VPC-Preisseite auf der Registerkarte „IPAM“.
Unterstützte regionale Internetregistrierungen
| RIR | Abdeckung | Hinweise |
|---|---|---|
| REGEN | Nordamerika, Teile der Karibik | Am häufigsten für US-based Kunden |
| REIFER NCC | Europa, Naher Osten, Zentralasien | |
| APNIC | Asien-Pazifik | |
| LAKNISCH | Lateinamerika, Karibik | Delegiertes RPKI unterstützt. Automatische CIDR-Erkennung und ROA-Vorerstellung sind bei der Ersteinrichtung nicht verfügbar. |
| AFRINISCH | Afrika | Nur Routenfindung und Ergebnisse. Delegiertes RPKI wird nicht unterstützt. |
Die wichtigsten Konzepte
- ROA (Route Origin Authorization)
Ein kryptografisch signiertes Objekt, das eine bestimmte ASN autorisiert, ein bestimmtes IP-Präfix anzukündigen. ROAs haben drei Schlüsselattribute: CIDR, ASN und maximale Länge. Max-length gibt das längste (spezifischste) Subnetz an, für dessen Ankündigung die ASN autorisiert ist.
- Strikter ROA
Max-length entspricht exakt der Präfixlänge. Nur dieses exakte Präfix wird angezeigt RPKI-valid , wenn es von der autorisierten ASN angekündigt wird. More-specific Ankündigungen von jeder ASN sind. RPKI-invalid Dies ist die empfohlene Standardeinstellung.
- Zulässiger ROA
Max-length ist größer als die Präfixlänge. Die autorisierte ASN kann spezifischere Subnetze ankündigen, die es auch sind. RPKI-valid Dies ist für die Verkehrstechnik nützlich, bietet jedoch einen schwächeren Schutz vor Subpräfix-Hijacking.
- Verband für Internetregistrierung
Die Vertrauensbeziehung zwischen Ihrem IPAM und Ihrem RIR. Sobald es aktiv ist, AWS können Sie ROAs für Ihren IP-Bereich veröffentlichen und verwalten.
- Registrierung von Routing-Richtlinien (RPR)
Eine Reihe von ROAs für ein Präfix, die von IPAM für IP-Bereiche verwaltet werden, auf die noch nicht zugegriffen wurde. AWS Ein RPR besteht aus einem Präfix und einer Liste von ASNs, die mehreren ROAs zugeordnet sind (eine pro ASN). RPRs decken lokale Präfixe ab.
- Automatische Verlängerung des ROA
Wenn delegiertes RPKI aktiv ist, AWS erneuert es die ROAs vor Ablauf automatisch. Es sind keine Nachverfolgung oder manuelle Maßnahmen erforderlich.
Was passiert ohne BGP-Routenschutz
-
Gar kein ROA: Ihr Präfix hat den RPKI-Status Unbekannt. Netzwerke, die eine RPKI-Validierung erzwingen, akzeptieren sie möglicherweise immer noch, aber Sie sind nicht vor Routen-Hijacks geschützt. Jede ASN kann Ihr Präfix oder ein spezifischeres Präfix ankündigen, und validierende Netzwerke haben keine Grundlage, es abzulehnen.
-
Zulässiger ROA: Ihr Präfix ist RPKI-valid, aber das gilt auch für spezifischere Ankündigungen derselben ASN. Ein Angreifer, der Ihre ASN-Anmeldeinformationen kompromittiert, kann spezifischere Präfixe ankündigen, die ebenfalls gültig sind, wodurch Ihr Datenverkehr aufgeteilt wird.
-
ROA abgelaufen: Ihr Präfix wechselt im Hintergrund von „Gültig“ zu „Unbekannt“. Der Verkehr fließt weiter, aber das Präfix ist nicht mehr vor Route-Hijack geschützt, da validierende Netzwerke Ihre legitime Ankündigung nicht von einer unautorisierten unterscheiden können.
-
Keine Erkennung von Überschneidungen: Ein Drittanbieter kündigt Ihr Präfix oder ein Unterpräfix an. Ohne Überwachung wissen Sie es erst, wenn Kunden Verbindungsprobleme melden, was Stunden oder Tage dauern kann.
Visualisierungen von Konsolen
Das Dashboard zur Routenüberwachung (IPAM > Überwachung > Routenüberwachung) zeigt drei Diagramme:
RPKI-Abdeckung: Ein Kreisdiagramm, in dem die Werte „Gültig“, „Ungültig“ und „Unbekannt“ für alle angekündigten Routen angezeigt werden.
ROA-Stärke: Ein Kreisdiagramm, das die Verteilung zwischen strikter und permissiver Verteilung zeigt.
Routen mit Überschneidungen: Eine Anzahl von Routen mit widersprüchlichen, spezifischeren Anzeigen von verschiedenen ASNs.
Befehlszeile
Die Befehle in diesem Abschnitt sind mit der AWS CLI -Befehlsreferenz verknüpft. Die Dokumentation enthält detaillierte Beschreibungen der Optionen, die Sie beim Ausführen der Befehle verwenden können.
Entdeckte Routen anzeigen: get-ipam-discovered-routes https://docs.aws.amazon.com/cli/latest/reference/ec2/get-ipam-discovered-routes.html
Ergebnisse zum Routenschutz anzeigen: get-ipam-route-protection-findings https://docs.aws.amazon.com/cli/latest/reference/ec2/get-ipam-route-protection-findings.html
Erstellen Sie eine Internetregistrierungszuordnung: create-ipam-internet-registry-association https://docs.aws.amazon.com/cli/latest/reference/ec2/create-ipam-internet-registry-association.html
Aktivieren Sie eine Internetregistrierungszuordnung: enable-ipam-internet-registry-association
ROAs anzeigen: get-ipam-route-origin-authorizations
Zuordnungs-CIDRs anzeigen: get-ipam-internet-registry-association-cidrs https://docs.aws.amazon.com/cli/latest/reference/ec2/get-ipam-internet-registry-association-cidrs.html
Erstellen Sie eine Routing-Richtlinienregistrierung: create-ipam-routing-policy-registration https://docs.aws.amazon.com/cli/latest/reference/ec2/create-ipam-routing-policy-registration.html
Registrierungen stapelweise ändern: batch-modify-ipam-routing-policy-registration
Registrierungsdeltas anzeigen: get-ipam-routing-policy-registration-deltas
Beispiele dafür, wie Sie den verwenden können, um den BGP-Routenschutz einzurichten, finden Sie unter. AWS CLI Tutorial: Delegiertes RPKI für BYOIP-Präfixe einrichten
