Number Resource Society
RPKI e IRR: qué los distingue y por qué hacen falta los dos
RPKI comprueba con criptografía qué AS puede originar un prefijo. IRR registra la intención y el contexto de las políticas de enrutamiento. No son sustitutos: juntos forman una defensa más útil y más honesta.
En esta página
Dos respuestas distintas al problema de la confianza
Este texto explica qué pregunta responde cada sistema, cómo se complementan y qué relación tienen con la responsabilidad sobre los recursos.
La seguridad del enrutamiento depende de datos actualizados, controles independientes y decisiones que puedan revisarse. Ningún registro convierte por sí solo una afirmación en una verdad permanente.
Por qué la seguridad del enrutamiento sigue importando
BGP permite que las redes anuncien cómo llegar unas a otras, pero nació sin una prueba criptográfica de autorización. Un error, una fuga o un secuestro puede desviar tráfico o interrumpir servicios.
La dependencia económica de Internet hace que la confianza implícita ya no sea suficiente.
Qué aporta IRR
Los registros de enrutamiento publican intenciones: prefijos, AS relacionados y políticas de intercambio. Los objetos RPSL se utilizan para generar filtros y comprobar si una ruta coincide con lo declarado.
IRR ofrece contexto, pero se mantiene con intervención humana. Las entradas antiguas o contradictorias pueden producir filtros equivocados.
Qué cambia con RPKI
RPKI vincula un prefijo con un AS autorizado mediante objetos firmados. Una ROA indica quién puede originar el prefijo; los validadores generan VRP para que los routers hagan ROV.
La prueba se refiere al origen autorizado. No demuestra por sí sola toda la propiedad, la ruta completa ni las relaciones comerciales.
Por qué RPKI no reemplaza a IRR
RPKI responde si un AS está autorizado a originar un prefijo. IRR describe intenciones y relaciones más amplias. Si se elimina cualquiera de los dos, se pierde información operativa.
La adopción y la validación de RPKI siguen siendo desiguales. IRR sigue siendo útil cuando no existe una ROA o el resultado es NotFound.
Cómo usarlos juntos
Una red puede construir filtros de base con IRR y usar RPKI para verificar el origen. Invalid debe tener una respuesta definida; NotFound requiere una política local, no una suposición.
Los conflictos necesitan prioridad, excepciones, revisión humana y reversión documentadas antes de que ocurra un incidente.
El enrutamiento también es gobernanza
La calidad de ambos sistemas depende de quién responde por los datos y quién puede corregirlos. Sin responsabilidad clara sobre los recursos, el control técnico se debilita.
NRS defiende registros transparentes, decisiones trazables y participación real de los operadores. La gobernanza que alimenta la herramienta importa tanto como la herramienta.
Errores habituales
Crear una ROA y no actualizarla después de un cambio puede marcar como Invalid una ruta legítima. Usar RPKI sin limpiar IRR deja políticas basadas en información vieja.
Incluya prefijos, AS, ROA e IRR en la gestión de cambios y conserve una explicación de cada modificación.
Por qué hace falta defensa por capas
Internet es diverso y distribuido; ningún sistema cubre todas las redes. IRR aporta intención y RPKI aporta verificación de origen. La defensa por capas funciona cuando cada control tiene un límite claro.
También hacen falta observación, respuesta y reversión. Acumular herramientas sin entenderlas solo produce confianza falsa.
Conclusión
IRR y RPKI corrigen debilidades distintas. IRR aporta contexto y amplitud, pero necesita disciplina; RPKI ofrece una prueba fuerte de origen, pero no responde a todo.
Usarlos juntos es una defensa práctica. Su resultado depende de la responsabilidad sobre los recursos, la calidad de los datos y la capacidad de los operadores para cuestionar decisiones.
Preguntas frecuentes
¿RPKI es más seguro que IRR?
Para validar el origen, sí ofrece una prueba criptográfica más fuerte. No reemplaza la información de políticas de IRR.
¿Por qué se sigue usando IRR?
Porque describe políticas y relaciones que RPKI no describe y cubre situaciones en las que RPKI aún no está completo.
¿RPKI evita todos los secuestros BGP?
No. Reduce sobre todo los secuestros basados en el origen; otros problemas requieren controles adicionales.
¿Qué se hace cuando IRR y RPKI discrepan?
Se aplica la política local publicada, se revisan los objetos y se trata Invalid según la regla acordada.
¿Qué relación tiene NRS con esto?
NRS impulsa responsabilidad transparente sobre los recursos IP y una gobernanza participativa. No sustituye las decisiones técnicas de cada operador.
Nota NRS: las cifras tienen fecha
Publicado el 1 de enero de 2026 y actualizado el 12 de junio de 2026. Las estadísticas corresponden a la fecha de publicación; para una decisión actual, consulte las RFC, APNIC y el registro correspondiente.
Entender antes de delegar
NRS Shield es donde los operadores convierten el riesgo individual en fuerza colectiva, y el poder es la forma de dar a NRS la autoridad para actuar por tu red.