Network Admin

ASPA: как проверить BGP-маршрут, даже если RPKI считает его Valid

RPKI ROA позволяет проверить, имеет ли автономная система право анонсировать определённый IP-префикс. Но есть нюанс: корректный origin AS ещё не означает, что весь AS_PATH легитимен.

Злоумышленник может сохранить правильную исходную AS, но добавить в маршрут поддельные промежуточные AS.

⏺Что меняет ASPA?

Autonomous System Provider Authorization расширяет возможности RPKI.

Владелец AS публикует подписанный объект ASPA, где перечисляет автономные системы, которые являются его авторизованными провайдерами.

Например, AS65010 указывает, что её провайдеры - AS65020 и AS65030.

Теперь маршрутизатор с поддержкой ASPA Path Verification может использовать эти сведения для проверки отношений между AS в полученном AS_PATH.

⏺Как это помогает?

Допустим, маршрут проходит через последовательность автономных систем, которая противоречит опубликованным ASPA-объектам.

В таком случае проверка может определить путь как Invalid, даже если происхождение префикса успешно прошло ROA Validation.

Но ASPA не подтверждает каждый переход между AS и не гарантирует подлинность всего пути. Механизм прежде всего помогает выявлять нарушения отношений customer-provider, характерные для некоторых видов route leak.

⏺Что с внедрением?

ASPA требует поддержки со стороны RPKI-инфраструктуры, валидаторов и маршрутизаторов. Поэтому наличие ROA само по себе ещё не означает, что сеть проверяет AS_PATH через ASPA.

N.A.

PrivateLink vs VPC Peering: как подключиться к сервису, не объединяя сети

Представим, что две компании используют AWS. Одной нужен доступ к API другой, но открывать сетевую связность между их инфраструктурами необязательно.

Для такой задачи есть два разных подхода: VPC Peering и AWS PrivateLink.

⏺VPC Peering - соединяем сети

Peering позволяет двум VPC обмениваться трафиком по приватным IP-адресам.

Для этого настраивают маршруты, security groups и другие правила доступа. При этом CIDR-диапазоны VPC не должны пересекаться.

Но есть ограничение: Peering не поддерживает транзитную маршрутизацию. Если VPC A соединена с B, а B - с C, это не означает, что A сможет обращаться к C через B.

⏺PrivateLink - предоставляем конкретный сервис

Здесь подход другой. Провайдер публикует сервис через endpoint service, обычно с Network Load Balancer, а клиент создаёт Interface VPC Endpoint в своей VPC.

Клиент получает приватные IP-адреса endpoint в собственных подсетях и обращается к сервису через них.

При этом не нужно добавлять маршруты до всей сети провайдера. Более того, PrivateLink позволяет работать даже с пересекающимися CIDR-диапазонами.

⏺Когда что использовать?

VPC Peering подходит, когда нужна IP-связность между ресурсами двух VPC.

PrivateLink удобнее, когда требуется предоставить доступ к определённому сервису, не раскрывая остальную сетевую инфраструктуру.

N.A.

️️️️️️️️️️️️👀 Сеть можно видеть по таблице маршрутизации. А можно понимать, что происходит внутри неё.

19 ноября на открытом уроке разберём LSDB и научимся вручную строить карту сети по данным маршрутизаторов.

Поговорим о:
✅ LSA Type 1–5;
✅ связи Router ID, Link-State ID и IP-адресов;
✅ на практике восстановим топологию по реальному дампу.

Это особенно полезно сетевым инженерам и архитекторам, которые работают со сложными инфраструктурами и хотят глубже понимать OSPF, диагностировать проблемы и проверять работу автоматизированных инструментов.

Урок проходит в преддверии старта курса «Дизайн сетей ЦОД». Все участники получат скидку на обучение.

▪️ 19 ноября в 20:00 МСК.

Принять участие: https://otus.pw/U4JK/

Реклама. ООО «Отус онлайн-образование», ОГРН 1177746618576, www.otus.ru