Number Resource Society
كيفية استخدام RPKI لمنع الإعلانات غير المصرح بها
دليل يشرح نقاط ضعف BGP، وإنشاء ROA، ونشر التحقق من المصدر، ومراقبة النتائج، والاستعداد للتراجع الآمن ضمن مسؤولية تشغيلية واضحة.
في هذه الصفحة
تحويل التفويض التشفيري إلى ضابط تشغيلي
هذا الدليل لحاملي الموارد ومشغلي الشبكات. يحتفظ بمسار المقال الأصلي ويفصل بين المعلومات التاريخية وما يجب فحصه قبل أي تغيير في الإنتاج.
لا يعمل RPKI بوصفه وعداً آلياً بالأمان. يحتاج إلى تفويض واضح، وتحقق يمكن مراقبته، ومسؤولية محددة في كل مرحلة.
ابدأ بفهم ضعف BGP
لا يتضمن BGP تفويضاً تشفيرياً للمصدر. قد يؤدي إعلان نظام غير مخول لبادئة إلى تحويل المرور أو إسقاطه أو نشر مسار خارج حدوده المقصودة.
لا يحل RPKI كل مشكلات BGP، لكنه يقدم أساساً قابلاً للتحقق لتحديد النظام الذي يستطيع أن يكون مصدر البادئة.
كيف يعمل RPKI؟
ينشئ حامل المورد ROA موقعة تحدد البادئة والنظام والحد الأقصى للطول عند الحاجة. يتحقق المدقق من الكائنات وينشئ VRP، ثم تقارن أجهزة التوجيه الإعلانات عبر RTR أو آلية مماثلة.
يجب مراقبة الشهادات والمستودعات والمدققين والاتصال والسياسة المحلية كمنظومة واحدة.
لماذا يقلل الإعلانات غير المصرح بها؟
تكون النتيجة NotFound إذا لم يوجد أي VRP يغطي البادئة. وتكون Invalid إذا وجدت تغطية ولم يتطابق أي تفويض مع نظام المنشأ وطول البادئة، بينما يكفي تطابق واحد للحصول على Valid. يساعد ترشيح Invalid على الحد من انتشار اختطاف المنشأ. ولا يتحقق ROV من مسار AS كاملاً، لذلك لا يكشف جميع تسريبات المسارات.
تظل NotFound حالة واقعية أثناء النشر الجزئي. لا تعني أنها سليمة أو ضارة، ويجب أن تكون لها قاعدة تشغيلية مستقلة.
إنشاء ROA
احصر البادئات والأنظمة التي تعلنها فعلياً، ثم استخدم بوابة السجل المعني. قد يؤدي النظام الخطأ أو الحد الأقصى غير المناسب إلى إيقاف إعلان صحيح أو توسيع التفويض أكثر من اللازم.
تسهل النماذج المستضافة الإدارة، وتمنح النماذج المفوضة تحكماً أكبر. في الحالتين احتفظ بالموافقات والتغييرات والإلغاءات.
نشر ROV
يمكن تشغيل مدقق مثل Routinator أو rpki-client وربطه بأجهزة التوجيه عبر RTR. ابدأ بالمراقبة، راجع النتائج، ثم فعّل فلترة Invalid تدريجياً.
استخدم مدققين زائدين وتنبيهات وإجراءً واضحاً عند توقف المستودع أو المدقق أو RTR. التراجع جزء من الضابط.
ممارسات التطبيق الجيدة
حدّث سجل البادئات والأنظمة وROA والأطوال، واختبر التغييرات واربط النتائج بالمناوبة والاستجابة للحوادث.
يساعد النشر المرحلي والتكرار وسياسة NotFound الواضحة في تجنب المفاجآت.
الأثر العملي
عندما توجد ROA صحيحة وتطبق شبكة ما ROV، يصبح اكتشاف المصدر غير المصرح به ورفضه أسهل. ويعتمد الأثر على الشبكات التي تطبق التحقق فعلياً.
افصل بين تغطية الموارد ونشر التحقق ونتائج الحوادث، وتحقق من أرقام المقال ببيانات حديثة.
التحديات المتبقية
تترك التغطية الجزئية وتوافر المستودعات والبرمجيات ونقص الصيانة فجوات. وقد تؤدي ROA قديمة إلى خطأ نشط بدلاً من غياب الحماية فقط.
حدد من يحافظ على البيانات ومن يراجعها ومن يقرر الإيقاف أو التراجع عند الخلل.
مستقبل أمن التوجيه
يتوسع RPKI وتظهر اتجاهات مثل ASPA للتحقق من المسارات. وهي تكمل تحقق المصدر ولا تلغي مسؤولية المؤسسات وتعقيد التشغيل.
الهدف هو تفويض قابل للتحقق وتشغيل شفاف وحوكمة قابلة للاستبدال، لا تقديم أداة واحدة كحل شامل.
أسئلة شائعة
ما هي ROA؟
كائن موقع يصرح لنظام محدد بإعلان بادئة، ويساعد الشبكات التي تتحقق من المصدر في اكتشاف الإعلان غير المصرح به.
كيف تختلف عن IRR؟
يسجل IRR سياسة التوجيه، بينما يتحقق RPKI من تفويض المصدر. وهما متكاملان.
هل النشر خطر؟
قد يكون التغيير المباشر إلى فلترة صارمة خطراً. ابدأ بالمراقبة والاختبار والتكرار والنشر المرحلي.
هل تمنع كل اختطاف لـBGP؟
لا. تعالج المصدر أساساً، بينما تحتاج المسارات والموارد غير المغطاة إلى ضوابط أخرى.
كيف أفحص حالة RPKI؟
استخدم بوابة السجل ومدققاً وأدوات قياس التوجيه، وسجل حالات Valid وInvalid وNotFound ووقت ملاحظتها.
ملاحظة تحريرية: اربط القياس بوقت الملاحظة
نُشر في 25 ديسمبر 2025 وحُدّث في 15 يوليو 2026. الأرقام والحوادث والاقتباسات مواد تاريخية؛ قبل تغيير الإنتاج استخدم بيانات السجل وشبكتك الحالية.
اربط الدليل بالمسؤولية
ابدأ بجرد مواردك وإعلاناتك. يمكن لـNRS Shield مساعدتك على فهم الخطر؛ أما تمثيل جهة في انتخاب أو مسألة سياسة فيحتاج إلى توكيل منفصل يحدد النطاق والمدة والإلغاء.