RPKI-Clientは、OpenBSDプロジェクトによるルーティング・セキュリティの取り組みです。RPKI-Clientを使って、Validator/Cacheを構築する方法です。

1. Debian 12のインストール

プラットフォームは、VMware Fusion上のDebian 12を使うことにします。デフォルトのインストールから変更した点は次の通りです。

キャッシュは小さなファイルがたくさん作られるため、inodeをかなり消費します。/usr/localを別ファイルシステムとし、ファイルシステムタイプを'news'にして、inodeを増やしました。

2. 開発環境の構築

# apt install curl wget openssl rsync build-essential git autoconf libtool automake libssl-dev libbsd-dev gawk libexpat1-dev libtlsh-dev net-tools

3. Zlibのインストール

# cd /usr/local/src
# curl -O https://www.zlib.net/zlib-1.3.1.tar.gz
# tar xvfz zlib-1.3.1.tar.gz
# cd zlib-1.3.1
# ./configure
# make
# make install

4. libretlsのインストール

# cd /usr/local/src
# curl -O https://causal.agency/libretls/libretls-3.8.1.tar.gz
# tar xvfz libretls-3.8.1.tar.gz
# cd libretls-3.8.1
# ./configure
# make check
# make install

5. RPKI Client用のグループとユーザの作成

# groupadd _rpki-client
# useradd -g _rpki-client -s /sbin/nologin -d /nonexistent -c 'rpki-client user' _rpki-client

6. RPKI-Clientのインストール

# cd /usr/local/src
# curl -O https://www.ftp.ne.jp/pub/OpenBSD/rpki-client/rpki-client-9.4.tar.gz
# tar xvfz rpki-client-9.4.tar.gz
# cd rpki-client-9.4
# ./configure
# make check
# make install

7. ARINのTAL(Trust Anchor Locator)ファイルをダウンロードする

cd /usr/local/etc/rpki
curl -O https://www.arin.net/resources/manage/rpki/arin.tal

注: 進める前に、必ずARIN Relying Party Agreement (https://www.arin.net/resources/manage/rpki/rpa.pdf)を読むこと。

8. RPKIキャッシュを同期

環境にもよるが、数分から十数分かかります。

# rpki-client -c -v
rpki-client: ta/arin: pulling from https://rrdp.arin.net/arin-rpki-ta.cer
rpki-client: ta/apnic: pulling from https://rpki.apnic.net/repository/apnic-rpki-root-iana-origin.cer
rpki-client: ta/lacnic: pulling from https://rrdp.lacnic.net/ta/rta-lacnic-rpki.cer
rpki-client: ta/ripe: pulling from https://rpki.ripe.net/ta/ripe-ncc-ta.cer
:
Cleanup: removed 0 files, 80879 directories
Repository cleanup: kept 5489 and removed 6 superfluous files
VRP Entries: 655281 (644673 unique)
VAP Entries: 82 (82 unique, 0 overflowed)
VSP Entries: 0 (0 unique)

注: バリデーションに失敗したとか、その他のエラーメッセージが表示されることがあります。これらは無視してかまいません。

キャッシュは次の通り。

# cd /usr/local/var/cache/rpki-client
# ls
0.sb                rpki.apernet.io        rpki-rps.arin.net
ca.nat.moe          rpki.apnic.net         rpki-rsync.mnihyc.com
ca.rg.net           rpki.arin.net          rpki-rsync.us-east-2.amazonaws.com
chloe.sobornost.net     rpkica.twnic.tw        rpki.sailx.co
cloudie-repo.rpki.app       rpki.cc            rpki.services.vm.a-x1.w420.net
krill.accuristechnologies.ca    rpki.cnnic.cn          rpki.sn-p.io
krill.rg.net            rpki.komorebi.network      rpki.sub.apnic.net
oto.wakuwaku.ne.jp      rpki.multacom.com      rpki.sunoaki.net
repodepot.wildtky.com       rpki.nellicus.net      rpki.tools.westconnect.ca
repo.kagl.me            rpki.owl.net           rpki.xindi.eu
repo-rpki.idnic.net     rpki.pudu.be           rpki.zappiehost.com
repo.rpki.space         rpki.qs.nu         rsync.krill.nlnetlabs.nl
repository.lacnic.net       rpki.rand.apnic.net    rsync.paas.rpki.ripe.net
r.magellan.ipxo.com     rpki-repo.as207960.net     rsync.rp.ki
rov-measurements.nlnetlabs.net  rpki-repo.registro.br      sakuya.nat.moe
rpki-01.pdxnet.uk       rpki-repository.nic.ad.jp  ta
rpki.admin.freerangecloud.com   rpki.ripe.net
rpki.afrinic.net        rpki.roa.net

同時に、検証済みのROAペイロードがCSV形式に保存されます。

# cd /usr/local/var/db/rpki-client/
# ls
csv
# grep AS2515, csv
AS2515,103.131.194.0/23,24,apnic,1737825371
AS2515,192.41.192.0/24,24,apnic,1737825364
AS2515,202.1.213.0/24,24,apnic,1737825371
AS2515,202.12.30.0/24,32,apnic,1737825371
AS2515,202.12.30.0/24,24,apnic,1737825371
AS2515,211.120.240.0/21,24,apnic,1737825371
AS2515,2001:c40::/32,48,apnic,1737825371
AS2515,2001:dc2::/32,48,apnic,1737825371
AS2515,2001:fa0::/32,48,apnic,1737825371

AS番号(ASN)、IPプレフィックス、Maxlen、トラスト・アンカー、有効期限のリストCSVが表示されます。

RTR(RPKI-to-Router)プロトコル[RFC8210]を介して、検証済みのキャッシュをBGPルータに送信するには、GoRTRなどのRTRサーバ・ソフトウェアや、BIRDまたはOpenBGPを使用します。

その他

Manifest

# rpki-client -f is2rHh6mM7qK0Yoqy3I2DpKAxLY.mft 
File:                     is2rHh6mM7qK0Yoqy3I2DpKAxLY.mft
Hash identifier:          0EBiA4yH8ZpgWAzYo+kJabJ6Av/5rEyJ9yXZSn25fg4=
Subject key identifier:   40:A4:5A:97:3E:2E:07:1A:BE:34:97:6B:57:2C:37:B6:A4:43:09:BE
Authority key identifier: 8A:CD:AB:1E:1E:A6:33:BA:8A:D1:8A:2A:CB:72:36:0E:92:80:C4:B6
Certificate issuer:       /CN=8ACDAB1E1EA633BA8AD18A2ACB72360E9280C4B6
Certificate serial:       3C
Authority info access:    rsync://rpki-repository.nic.ad.jp/ap/A91A73810000/is2rHh6mM7qK0Yoqy3I2DpKAxLY.cer
Subject info access:      rsync://rpki-repository.nic.ad.jp/ap/A91A73810000/1003/is2rHh6mM7qK0Yoqy3I2DpKAxLY.mft
Manifest number:          0106
Signing time:             Mon 01 Jan 2024 01:30:20 +0000
Manifest this update:     Mon 01 Jan 2024 01:30:20 +0000
Manifest next update:     Thu 11 Jan 2024 01:30:20 +0000
Files and hashes:         1: LqM5S1L3MvQEksB1Eh-fRZuvjh4.roa (hash: uBnDyJDBDF8I3MpaF+55rjXm7yWds5qh5LP7K5JusoA=)
                          2: dBEbtLs9cYmsMc6IzPy8PJR5nPg.roa (hash: lA0wLC0jTcTcH6nMT/ijVvKTWt4LHiYTaB35dXj1Fdg=)
                          3: is2rHh6mM7qK0Yoqy3I2DpKAxLY.crl (hash: 5zopkBa+qq5S023a87BeeGTFLfWuFS9U5j89gaslR1w=)
Validation:               OK

CRL

# rpki-client -f is2rHh6mM7qK0Yoqy3I2DpKAxLY.crl
File:                     is2rHh6mM7qK0Yoqy3I2DpKAxLY.crl
Hash identifier:          5zopkBa+qq5S023a87BeeGTFLfWuFS9U5j89gaslR1w=
Authority key identifier: 8A:CD:AB:1E:1E:A6:33:BA:8A:D1:8A:2A:CB:72:36:0E:92:80:C4:B6
CRL issuer:               /CN=8ACDAB1E1EA633BA8AD18A2ACB72360E9280C4B6
CRL serial number:        0106
CRL last update:          Mon 01 Jan 2024 01:30:20 +0000
CRL next update:          Thu 11 Jan 2024 01:30:20 +0000
Revoked Certificates:
                          Serial:       30   Revocation Date: Mon 01 Jan 2024 01:30:20 +0000
Validation:               N/A

ROA

$ rpki-client -f dBEbtLs9cYmsMc6IzPy8PJR5nPg.roa
File:                     dBEbtLs9cYmsMc6IzPy8PJR5nPg.roa
Hash identifier:          lA0wLC0jTcTcH6nMT/ijVvKTWt4LHiYTaB35dXj1Fdg=
Subject key identifier:   74:11:1B:B4:BB:3D:71:89:AC:31:CE:88:CC:FC:BC:3C:94:79:9C:F8
Certificate issuer:       /CN=8ACDAB1E1EA633BA8AD18A2ACB72360E9280C4B6
Certificate serial:       39
Authority key identifier: 8A:CD:AB:1E:1E:A6:33:BA:8A:D1:8A:2A:CB:72:36:0E:92:80:C4:B6
Authority info access:    rsync://rpki-repository.nic.ad.jp/ap/A91A73810000/is2rHh6mM7qK0Yoqy3I2DpKAxLY.cer
Subject info access:      rsync://rpki-repository.nic.ad.jp/ap/A91A73810000/1003/dBEbtLs9cYmsMc6IzPy8PJR5nPg.roa
Signing time:             Sun 01 Oct 2023 01:29:00 +0000
ROA not before:           Sun 01 Oct 2023 01:29:00 +0000
ROA not after:            Sat 14 Sep 2024 01:30:03 +0000
asID:                     2515
IP address blocks:        202.12.30.0/24 maxlen: 32
Validation:               OK

BGPsec Router Key

# rpki-client -f is2rHh6mM7qK0Yoqy3I2DpKAxLY.cer 
File:                     is2rHh6mM7qK0Yoqy3I2DpKAxLY.cer
Hash identifier:          d5KUen0iUHg7iBlSwKcB5fxXVsJW774sJFLOvitNSMY=
Subject key identifier:   8A:CD:AB:1E:1E:A6:33:BA:8A:D1:8A:2A:CB:72:36:0E:92:80:C4:B6
Authority key identifier: BA:44:12:B3:5F:5A:8A:71:47:BF:C6:67:B5:9B:52:0D:AA:C7:DA:8F
Certificate issuer:       /CN=A91A73810000/serialNumber=BA4412B35F5A8A7147BFC667B59B520DAAC7DA8F
Certificate serial:       28B2
Authority info access:    rsync://rpki.apnic.net/repository/B527EF581D6611E2BB468F7C72FD1FF2/ukQSs19ainFHv8ZntZtSDarH2o8.cer
Manifest:                 rsync://rpki-repository.nic.ad.jp/ap/A91A73810000/1003/is2rHh6mM7qK0Yoqy3I2DpKAxLY.mft
caRepository:             rsync://rpki-repository.nic.ad.jp/ap/A91A73810000/1003/
Notify URL:               https://rpki-repository.nic.ad.jp/rrdp/ap/notification.xml
Certificate not before:   Fri 15 Dec 2023 01:34:39 +0000
Certificate not after:    Sat 14 Dec 2024 01:30:03 +0000
Subordinate resources:    IP: 202.12.30.0/24
Validation:               OK

変更履歴

2024.1.8
2024.1.18
2024.2.23
2025.1.19

Discussion