Number Resource Society
Cómo usar RPKI para evitar anuncios no autorizados
Una guía para entender las debilidades de BGP, crear ROA, desplegar validación de origen, observar los resultados y preparar una reversión segura.
En esta página
Convertir la autorización criptográfica en una práctica operativa
La guía sirve a titulares de recursos y operadores de red. Mantiene el recorrido del artículo original y separa los datos históricos de las comprobaciones necesarias antes de cambiar producción.
RPKI funciona como un control mantenido: autorización explícita, validación observable y responsabilidad clara, no como una promesa automática.
Las debilidades de BGP
BGP no incorpora autorización criptográfica. Un AS puede anunciar por error o de forma maliciosa un prefijo ajeno, provocando desvío, pérdida de tráfico o una fuga de rutas.
RPKI no resuelve todo BGP, pero aporta una base verificable para decidir quién puede ser origen de un prefijo.
Cómo funciona RPKI
El titular crea una ROA firmada con prefijo, AS y, si corresponde, longitud máxima. Los validadores comprueban los objetos y producen VRP; los routers comparan los anuncios mediante RTR u otro mecanismo.
Certificados, repositorios, validadores y política local deben funcionar juntos y ser observables.
Por qué reduce los anuncios no autorizados
Si ningún VRP cubre el prefijo, el resultado es NotFound. Es Invalid cuando hay cobertura, pero ningún VRP coincide con el AS de origen y la longitud; basta una coincidencia para obtener Valid. Filtrar los Invalid limita los secuestros de origen. ROV no valida todo el camino AS y no detecta todas las fugas de rutas.
NotFound es un estado normal durante una adopción parcial. No significa que la ruta sea segura ni que sea maliciosa; necesita una regla propia.
Crear ROA
Haga inventario de prefijos y AS de origen y use el portal del registro. Un AS equivocado o una longitud máxima incorrecta puede bloquear una ruta legítima o autorizar más de lo necesario.
Los sistemas alojados simplifican la operación; los delegados ofrecen más control. En ambos casos conserve aprobaciones, cambios y revocaciones.
Desplegar ROV
Un validador como Routinator o rpki-client entrega resultados a los routers mediante RTR. Empiece en modo de observación, confirme los resultados y active el filtrado de Invalid de forma gradual.
Use redundancia, alertas y un procedimiento para una caída del repositorio, del validador o de RTR. La reversión es parte del control.
Buenas prácticas
Revise el inventario, las longitudes máximas y los cambios de red. Pruebe antes de aplicar y conecte los resultados con guardias y respuesta a incidentes.
La implantación por fases, validadores redundantes y una política clara para NotFound reducen sorpresas.
Impacto real
Con una ROA correcta y redes que aplican ROV, un origen no autorizado se detecta y rechaza con mayor facilidad. El efecto depende de qué redes validan.
Separe cobertura de recursos, adopción de validación y resultados de incidentes; los números del artículo deben comprobarse con datos actuales.
Desafíos pendientes
La cobertura parcial, los repositorios, los programas y el mantenimiento humano dejan huecos. Una ROA desactualizada puede producir un error activo.
Defina quién mantiene, quién revisa y quién decide pausar o revertir. RPKI debe pertenecer al gobierno de activos y cambios.
El futuro de la seguridad del enrutamiento
RPKI sigue creciendo y propuestas como ASPA exploran la validación de rutas. Complementan la validación de origen, pero no eliminan la responsabilidad organizativa.
La meta es autorización verificable, operación transparente y gobernanza resistente, no un único producto presentado como solución total.
Preguntas frecuentes
¿Qué es una ROA?
Es un objeto firmado que autoriza a un AS a originar un prefijo y permite detectar anuncios incompatibles.
¿En qué se diferencia de IRR?
IRR describe políticas de enrutamiento; RPKI comprueba autorización de origen. Son complementarios.
¿Es arriesgado desplegarlo?
Un cambio directo a filtrado estricto puede serlo. Observe, pruebe, use redundancia y avance por fases.
¿Evita todos los secuestros BGP?
No. Trata principalmente el origen; otros ataques y fallos requieren controles adicionales.
¿Cómo compruebo mi estado?
Consulte el portal del registro, un validador y las herramientas de medición, y anote cuándo se observó cada estado.
Nota editorial: comprobar la medida con fecha
Publicado el 25 de diciembre de 2025 y actualizado el 15 de julio de 2026. Las cifras, incidentes y citas son materiales históricos; antes de cambiar producción use los datos actuales de su registro y red.
Conectar la guía con una responsabilidad
Empiece por sus recursos y anuncios. NRS Shield ayuda a entender el riesgo; representar a una entidad en una elección o asunto de política exige un poder separado, con alcance, duración y revocación claros.