[lacnog] RTBH y RPKI

[Salvador Bertenbreiter]

Hola Tomás,
Interesante conocer tu experiencia y cómo lo manejan otros Carriers. Ese es
el tema dejar abiertos los RoAs hasta /32 en IPv4 y /128 en IPv6 me parece
un riesgo muy grande, pero al mismo tiempo si no lo haces el RTBH con
AS3356 no funciona.

Estaba pensando en dejar los RoAs solo hasta /24 y /48 (o lo que
corresponda según el caso) y crear un segundo ser de RoAs específicos para
los /32 y /128 solo en el momento que sea necesario el RTBH, el problema es
que el tiempo que demoran los validadores RPKI de los upstreams para
sincronizarse.

Saludos

Salvador


El El dom, 9 ago. 2026 a la(s) 21:00, Tomas Lynch <tomas.lynch en gmail.com>
escribió:

> Salvador,
>
> Level3 (AS3356) nos exige que las ROAs tengan longitud /32 para IPv4 y
> /128 para IPv6 para el manejo de RTBH. Para los prefijos IPv4 no tuve
> problemas ni en ARIN, ni RIPE, ni APNIC; todavía no tenemos asignaciones en
> LACNIC ni AFRINIC. Con IPv6 si tuvimos temas con APNIC ya que los ROAs al
> mismo tiempo creaban entradas en el IRR de APNIC, te imaginaras que eso no
> escala para un /32 de IPv6. No descarto que mi ignorancia haya sido el
> problema con APNIC.
>
> Con otros proveedores no tengo la exigencia de Level3 y simplemente
> confían en los IRRs de los RIRs y RADb. Es decir, que si enviamos un /32 o
> /64 con la comunidad de RTBH, los proveedores no verifican la ROA y aceptan
> el prefijo. Nosotros con los clientes hacemos lo mismo.
>
> Por un lado la firma de ROAs hasta /32 o /128 es una buena idea, ya que
> como dices los prefijos serían válidos. Por otro es horrible ya que
> cualquiera con un FRR se pone a propagar tus /32s o /64s a un RTBH. Aquí
> vendría el ASPA a ayudar un poco pero ya nos pasó que alguien contrató a un
> proveedor mundialmente reconocido, hizo peering con nuestro ASN y empezó a
> propagar nuestras rutas, y ese es otro tema a discutir
>
> Saludos,
>
> Tomás Lynch
>
> On Sat, Aug 8, 2026 at 2:47 PM Salvador Bertenbreiter <salvadorb en gmail.com>
> wrote:
>
>> Hola a todos,
>>
>> Una consulta para quienes usan RTBH junto con RPKI.
>>
>> ¿Cómo manejan los anuncios /32 en IPv4 o /128 en IPv6 cuando el prefijo
>> tiene un ROA con maxLength /24 o /48?
>>
>> Una opción sería ampliar el ROA hasta /32 o /128, pero no me convence
>> porque también haría válidos otros more-specifics.
>>
>> La otra sería mantener el ROA como está y anunciar igual el host route
>> para RTBH, pero en ese caso sería RPKI Invalid. ¿Los upstreams normalmente
>> hacen alguna excepción para rutas marcadas como blackhole, o las descartan
>> antes por RPKI?
>>
>> Crear un ROA específico en el momento tampoco parece muy práctico por los
>> tiempos de propagación.
>>
>> ¿Cómo lo están manejando ustedes en producción?
>>
>> Saludos,
>>
>> Salvador
>>
> _______________________________________________
>> LACNOG mailing list
>> LACNOG en lacnic.net
>> https://mail.lacnic.net/mailman/listinfo/lacnog
>> Cancelar suscripcion: https://mail.lacnic.net/mailman/options/lacnog
>>
> _______________________________________________
> LACNOG mailing list
> LACNOG en lacnic.net
> https://mail.lacnic.net/mailman/listinfo/lacnog
> Cancelar suscripcion: https://mail.lacnic.net/mailman/options/lacnog
>
------------ próxima parte ------------
Se ha borrado un adjunto en formato HTML...
URL: <https://mail.lacnic.net/pipermail/lacnog/attachments/20260809/7c58c73e/attachment.htm>