• Несанкционированный перехват чужих IP-префиксов в глобальной сети (BGP Route Hijacking).
• Ошибки конфигурации у апстрим-провайдеров, приводящие к утечкам маршрутов (Route Leaks).
• BGP-маршруты получают статус RPKI State: Invalid в таблице RIB.
• Клиентский трафик направляется по неоптимальным или вредоносным маршрутам.

1. Архитектура RPKI (Resource Public Key Infrastructure)

RPKI связывает блок IP-адресов с номером доверенной автономной системы (Origin AS) через криптографические сертификаты ROA (Route Origin Authorization). Результаты проверки маршрутов:

• Valid: префикс и Origin AS полностью соответствуют подписанному объекту ROA.
• NotFound (Unknown): объект ROA для данного префикса не опубликован в RIR (маршрут принимается).
• Invalid: анонс исходит от неавторизованной AS или длина префикса превышает max-length (маршрут должен быть отброшен).

2. Подключение к локальному RPKI-валидатору (Routinator) по RTR

# Настройка RTR-кэша (порт 8282)
router bgp 65001
 bgp rpki server tcp 192.168.10.100 port 8282 refresh 300
 bgp rpki server tcp 192.168.10.101 port 8282 refresh 300

3. Настройка политики Route-Map для обработки состояний RPKI

route-map RPKI_INBOUND permit 10
 match rpki valid
 set local-preference 200

route-map RPKI_INBOUND permit 20
 match rpki not-found
 set local-preference 100

# ЖЕСТКИЙ ДРОП нелегитимных анонсов (Invalid)
route-map RPKI_INBOUND deny 30
 match rpki invalid

4. Применение политики к внешним BGP-пирам

router bgp 65001
 neighbor 203.0.113.1 remote-as 64500
 neighbor 203.0.113.1 route-map RPKI_INBOUND in
 neighbor 203.0.113.1 announce rpki state

5. Проверка состояния синхронизации и валидации

# Проверка соединения с RTR-сервером
show ip bgp rpki servers

# Просмотр базы валидации префиксов
show ip bgp rpki table

# Анализ конкретного маршрута и его RPKI-статуса
show ip bgp 8.8.8.0/24