İçeriğe Atla
Teknoloji · 9 dk okuma · görüntülenme
100%

Kurumsal Ağlarda RPKI ile BGP Güven Zinciri

BGP route leak ve sahte origin riskini azaltmak için kurumsal ağlarda RPKI tabanlı güven zinciri tasarımını ele alır.

RPKI doğrulama katmanını ve BGP güven zincirini gösteren kapak görseli

Kurumsal ağ ekipleri BGP konuştuğunda çoğu zaman kapasite, failover ve segmentasyon üzerinde durur. Oysa internet kenarı, partner bağlantıları veya çoklu transit senaryolarında başka bir konu daha belirleyicidir: yönlendirme bilgisinin güvenilirliği. Route leak, hatalı origin ilanı veya yanlış prefix kabulü yalnızca operatör problemi değildir; kurumların dış dünya ile kurduğu rota sınırını doğrudan etkiler. Bu yüzden RPKI, sadece servis sağlayıcıların değil, kurumsal mimarilerin de gündemine girmelidir.

RPKI doğrulama katmanını ve BGP güven zincirini gösteren teknik şema
BGP güveni sözlü mutabakat değil, doğrulanabilir imza ve politika ile güçlenir.

RPKI neden kurumsal tarafta önem kazandı?

Çünkü kurumlar artık yalnızca tek uplink kullanan kapalı yapılar değil. SD-WAN çıkışları, bulut direct connect bağlantıları, DDoS temizleme sağlayıcıları, edge servisleri ve partner omurgaları aynı yönlendirme alanına temas ediyor. Bu topolojide bir prefix’in yanlış origin ile kabul edilmesi şu sonuçları doğurabilir:

  • Trafiğin istemeden üçüncü tarafa gitmesi
  • Dış erişimde kısmi kesinti
  • DDoS yönlendirme politikasının bozulması
  • Kök neden analizinde saatler süren belirsizlik

RPKI bu problemi tamamen ortadan kaldırmaz; fakat “hangi ASN bu prefix’i ilan etmeye yetkili” sorusunu daha güçlü biçimde cevaplar.

Güven zinciri nasıl işler?

RPKI modelinde prefix sahibi, belirli ASN’lerin o prefix’i origin olarak duyurabileceğini ROA kaydıyla ilan eder. Route validator bu bilgiyi çeker ve yönlendiricilere üç temel sonuç üretir:

  • Valid: Prefix ve ASN eşleşmesi doğru
  • Invalid: Prefix ilanı ROA ile çelişiyor
  • NotFound: Bu prefix için doğrulanabilir kayıt yok

Kurumsal mimaride amaç, özellikle internet kenarında ve kritik partner eBGP oturumlarında bu sonucu politika motoruna bağlamaktır.

Her invalid rota otomatik düşürülmeli mi?

Hayır, özellikle geçiş döneminde dikkat gerekir. Kurumun kendi prefix’leri, bulut sağlayıcı anonsları ve DDoS scrubbing akışları birlikte düşünülmelidir. Ben üç aşamalı modeli daha sağlıklı buluyorum:

  1. Önce sadece görünürlük: invalid prefix sayısını izle
  2. Sonra düşük riskli kenarlarda tercih azalt
  3. En sonunda kritik internet kenarında reddet

Bu geçiş olmadan yapılan sert politika değişikliği, meşru ama eksik ROA tanımı olan yönleri gereksiz yere kesebilir.

Kurumsal topolojide validator nereye konur?

Validator’ı sadece tek bir ağ cihazına yakın düşünmek eksik kalır. Daha iyi model şudur:

  • Çift örnekli validator servisi
  • Ayrı yönetim segmentinde çalışma
  • Router’lara RTR veya eşdeğer protokolle veri sağlama
  • Metrik ve alarm entegrasyonu ile görünürlük üretme

Böylece RPKI, tek seferlik güvenlik projesi değil yaşayan bir yönlendirme kontrol katmanına dönüşür. Özellikle farklı veri merkezleri veya hibrit edge yapıları varsa validator erişilebilirliği de tasarımın parçası olmalıdır.

Hangi kurumlar daha hızlı değer görür?

Şu ortamlarda RPKI yatırımının geri dönüşü daha hızlı olur:

  • Kendi public ASN ve prefix alanı olan kurumlar
  • Birden fazla transit veya upstream kullanan yapılar
  • DDoS temizleme servisleriyle trafik yönlendiren ekipler
  • Partner, MPLS ve internet kenarını birlikte yöneten ağ organizasyonları

Bu yapılarda route leak kaynaklı belirsizlik operasyonel maliyeti ciddi biçimde artırır. RPKI en azından “yanlış origin” sınıfındaki sorunları daraltır.

Operasyon modeli nasıl olmalı?

Ben bu konuyu ağ, güvenlik ve platform operasyonunun ortak alanı olarak görüyorum. Sağlam bir modelde şunlar net olmalı:

  • ROA kayıtlarını kim oluşturur ve kim onaylar?
  • Yeni prefix tahsisinde güven zinciri checklist’e dahil mi?
  • Invalid rota görüldüğünde olay kime düşer?
  • Partner bağlantılarında istisna süreci nasıl yürür?

Bu sorular cevaplanmadan RPKI yalnızca “aktif” görünen ama kimsenin sahiplenmediği bir katman olarak kalır.

Sonuç

Kurumsal ağlarda RPKI ile BGP güven zinciri kurmak, yönlendirmeyi tamamen güvenli hâle getirmez; fakat kritik bir doğrulama katmanı ekler. Route leak, yanlış origin ve hatalı prefix kabulü gibi sorunlar büyümeden görünür olur. Çoklu edge, hibrit bulut ve partner bağlantıları bulunan yapılarda bu görünürlük doğrudan operasyon kalitesi üretir. Modern ağ mimarisinde güven yalnızca ACL ve firewall ile değil, rotanın kendisini doğrulama disipliniyle de kurulur.

Paylaş:

Bu yazı faydalı oldu mu?

Yükleniyor...

Bu yazı nasıldı?

ME

Mustafa Erbay

Sistem Mimarisi · Network Uzmanı · Altyapı, Güvenlik ve Yazılım

2006'dan bu yana sistem mimarisi, network, sunucu altyapıları, büyük yapıların kurulumu, yazılım ve sistem güvenliği ekseninde çalışıyorum. Bu blogda sahada karşılığı olan teknik deneyimlerimi paylaşıyorum.

Kişisel Notlar

Bu notlar sadece sizde saklanır. Tarayıcınızda yerel olarak tutulur.

Hazır 0 karakter

Yorumlar

Sunucu Taraflı AI Moderasyon

Yorumlar sunucuda yapay zeka ile denetlenir ve kalıcı olarak saklanır.

?
0/2000

Sunucu taraflı AI denetim

Yeni yazılardan haberdar olun

Haftada bir yeni içerikler ve kaynaklar doğrudan e-postanıza gelsin.

Spam yok. Yalnızca yeni ve önemli içerikler için e-posta gönderilir.

Okuma İstatistikleriniz

0

Yazı Okundu

0dk

Okuma Süresi

0

Gün Serisi

-

Favori Kategori

İlgili Yazılar