MikroTik RouterOS’da RPKI sozlamalari – BGP prefikslarini tasdiqlash

⏱ O‘qish vaqti: 1 daqiqa

RPKI – Internetda prefikslar va ularning AS‑lari o‘rtasidagi ishonchlilikni tekshirish mexanizmi. MikroTik RouterOS bu protokoldan RTR orqali foydalanadi. Quyidagi qadamlar bilan o‘z tarmog‘ingizda RPKI ni yoqib, BGP prefikslarini avtomatik tasdiqlashni yo‘lga qo‘yishingiz mumkin.

Talablar

• RouterOS terminaliga administrator huquqi bilan kirish
• RPKI validator serverining IP manzili (masalan 192.168.1.1)

Sozlash bosqichlari

1. RPKI guruhini qo‘shish

/routing/rpki bo‘limiga kirib, validator serverining IP manzili va portini ko‘rsatib, yangi RPKI guruhini yarating. Bu guruh keyinchalik prefiks tekshiruvi va filtrlar uchun asos bo‘ladi.

/routing/rpki
add group=myRpkiGroup address=192.168.1.1 port=8282 refresh-interval=20

2. Prefiksni RPKI orqali tekshirish

rpki-check buyrug‘i yordamida ma’lum bir prefiks va uning origin‑AS ni tekshiring. Natija valid, invalid, unknown yoki unverified bo‘lishi mumkin.

[admin@rack1_b33_CCR1036] /routing/rpki> rpki-check group=myRpkiGroup prfx=70.132.18.0/24 origin-as=16509
    valid

3. BGP filtrlarini RPKI natijalariga asoslash

/routing/filter/rule bo‘limida RPKI guruhiga mos keluvchi filter qo‘shing. Birinchi qoidada RPKI tekshiruvi yoqiladi, ikkinchisida invalid natija kelganda paket rad etiladi, aks holda qabul qilinadi.

/routing/filter/rule
add chain=bgp_in rule="rpki-verify myRpkiGroup"
add chain=bgp_in rule="if (rpki invalid) { reject } else { accept }"

Tekshirish

Yuqoridagi rpki-check buyrug‘ini yana bir marta bajarib, prefiks holatini valid yoki invalid ko‘rinishida tasdiqlang.

[admin@rack1_b33_CCR1036] /routing/rpki> rpki-check group=myRpkiGroup prfx=70.132.18.0/24 origin-as=16509
    valid

Muammolar va yechimlar

RPKI holati unverified ko‘rinadi

Validator serverining IP manzili, port va firewall qoidalarini tekshirib, RTR sessiyasining muvaffaqiyatli sinxronlanishini ta’minlang.

Xulosa

RPKI ni yoqish orqali BGP prefikslaringizni ishonchli tasdiqlashga erishasiz. Bu tarmoq xavfsizligini oshiradi va man‑in‑the‑middle hujumlariga qarshi himoya qiladi.

Manba: RPKI — help.mikrotik.com