[lacnog] RTBH y RPKI

[Tomas Lynch]

Salvador,

Level3 (AS3356) nos exige que las ROAs tengan longitud /32 para IPv4 y /128
para IPv6 para el manejo de RTBH. Para los prefijos IPv4 no tuve problemas
ni en ARIN, ni RIPE, ni APNIC; todavía no tenemos asignaciones en LACNIC ni
AFRINIC. Con IPv6 si tuvimos temas con APNIC ya que los ROAs al mismo
tiempo creaban entradas en el IRR de APNIC, te imaginaras que eso no escala
para un /32 de IPv6. No descarto que mi ignorancia haya sido el problema
con APNIC.

Con otros proveedores no tengo la exigencia de Level3 y simplemente confían
en los IRRs de los RIRs y RADb. Es decir, que si enviamos un /32 o /64 con
la comunidad de RTBH, los proveedores no verifican la ROA y aceptan el
prefijo. Nosotros con los clientes hacemos lo mismo.

Por un lado la firma de ROAs hasta /32 o /128 es una buena idea, ya que
como dices los prefijos serían válidos. Por otro es horrible ya que
cualquiera con un FRR se pone a propagar tus /32s o /64s a un RTBH. Aquí
vendría el ASPA a ayudar un poco pero ya nos pasó que alguien contrató a un
proveedor mundialmente reconocido, hizo peering con nuestro ASN y empezó a
propagar nuestras rutas, y ese es otro tema a discutir

Saludos,

Tomás Lynch

On Sat, Aug 8, 2026 at 2:47 PM Salvador Bertenbreiter <salvadorb en gmail.com>
wrote:

> Hola a todos,
>
> Una consulta para quienes usan RTBH junto con RPKI.
>
> ¿Cómo manejan los anuncios /32 en IPv4 o /128 en IPv6 cuando el prefijo
> tiene un ROA con maxLength /24 o /48?
>
> Una opción sería ampliar el ROA hasta /32 o /128, pero no me convence
> porque también haría válidos otros more-specifics.
>
> La otra sería mantener el ROA como está y anunciar igual el host route
> para RTBH, pero en ese caso sería RPKI Invalid. ¿Los upstreams normalmente
> hacen alguna excepción para rutas marcadas como blackhole, o las descartan
> antes por RPKI?
>
> Crear un ROA específico en el momento tampoco parece muy práctico por los
> tiempos de propagación.
>
> ¿Cómo lo están manejando ustedes en producción?
>
> Saludos,
>
> Salvador
> _______________________________________________
> LACNOG mailing list
> LACNOG en lacnic.net
> https://mail.lacnic.net/mailman/listinfo/lacnog
> Cancelar suscripcion: https://mail.lacnic.net/mailman/options/lacnog
>
------------ próxima parte ------------
Se ha borrado un adjunto en formato HTML...
URL: <https://mail.lacnic.net/pipermail/lacnog/attachments/20260809/3126dbf6/attachment.htm>