<div dir="auto">Estimados,</div><div dir="auto"><br></div><div dir="auto">Tomando en cuenta este hilo, he presentado una propuesta en el proceso de políticas de LACNIC para resolver el problema.</div><div dir="auto"><br></div><div dir="auto"><div><a href="https://mail.lacnic.net/pipermail/politicas/2020-November/005967.html">https://mail.lacnic.net/pipermail/politicas/2020-November/005967.html</a></div></div><div dir="auto"><br></div><div dir="auto"><br></div><div dir="auto">Saludos.</div><div dir="auto"><br></div><div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">El El vie, 30 oct. 2020 a la(s) 19:17, Ramon Flores <<a href="mailto:rfmairena@gmail.com">rfmairena@gmail.com</a>> escribió:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-style:solid;padding-left:1ex;border-left-color:rgb(204,204,204)"><div dir="ltr">Roque, es buena su consulta, me gustaría tener control del ROA de los IP que me asignó el proveedor. Así no hubiese tenido el inconvenientes, que por cierto ya se resolvió.<div><br></div><div>Saludos.</div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">El vie., 30 oct. 2020 a las 10:00, Roque Gagliano (<<a href="mailto:rgaglian@gmail.com" target="_blank">rgaglian@gmail.com</a>>) escribió:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-style:solid;padding-left:1ex;border-left-color:rgb(204,204,204)"><div dir="ltr"><div>Hola Alejandro,</div><div><br></div><div>En realidad el problema de Ramón se puede solucionar desde los sistemas de LACNIC. <br></div><div><br></div><div>El caso es de un SP (el proveedor) que ha delegado un bloque de direcciones para otro cliente. En el modelo teórico de RPKI, el proveedor debería adoptar el modelo "delegado" de RPKI, administrar un CA y darle a Ramón la opción de administrar sus certificados y ROAs (sea de forma hosted o delegada).</div><div><br></div><div>Lo que no sé (pues hace tiempo que no uso el sistema) es si el sistema "hosted" de LACNIC le permitiría a Ramón de administrar sus certificados/ROAs siempre que el proveedor delegue los prefijos (agregando una CA en el sistema).</div><div><br></div><div>Saludos,</div><div>Roque</div><div><br></div><div><br></div><div><br></div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Thu, Oct 29, 2020 at 5:52 PM Alejandro Acosta <<a href="mailto:alejandroacostaalamo@gmail.com" target="_blank">alejandroacostaalamo@gmail.com</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-style:solid;padding-left:1ex;border-left-color:rgb(204,204,204)">
<div>
<p>teoría vs vida real :-)<br>
</p>
<div>On 10/29/20 12:01 PM, Nicolas
Antoniello wrote:<br>
</div>
<blockquote type="cite">
<div dir="auto">Estimad@s,</div>
<div dir="auto"><br>
</div>
<div dir="auto">De acuerdo con el comentario de Tomas.</div>
<div dir="auto">Yo pienso que es algo muy normal el tener que
dividir prefijos por varias razones operativas. Desde balancear
tráfico (combinado con comunidades de BGP como no tránsito,
etc...), temas puntuales de seguridad de ruteo (como cuando se
produce un secuestro de rutas), etc.</div>
<div dir="auto"><br>
</div>
<div dir="auto">Es decir, creo que son cosas diferentes y por ello
existen ambas posibilidades de configuración en el sistema de
RPKI (configurar cada prefijo y al mismo tiempo preever el grado
máximo de des agregación que vamos a permitir).</div>
<div dir="auto"><br>
</div>
<div dir="auto">Tal vez alguien me va tirar con algo por la cabeza
por esta recomendación, pero creo que para alguien que recién
comienza con RPKI o que no sabe a priori cuanto o cuando va a
desagregar, puede ser recomendable setear el máximo en /24 para
un prefijo IPv4 (y lo análogo para IPv6) 😊</div>
<div dir="auto"><br>
</div>
<div dir="auto">Fraterno saludo,</div>
<div dir="auto">Nico</div>
<div dir="auto"><br>
</div>
<div dir="auto"><br>
</div>
<div><br>
<div class="gmail_quote">
<div dir="ltr" class="gmail_attr">El El jue, oct. 29, 2020 a
la(s) 12:45, Tomas Lynch <<a href="mailto:tomas.lynch@gmail.com" target="_blank">tomas.lynch@gmail.com</a>>
escribió:<br>
</div>
<blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-style:solid;padding-left:1ex;border-left-color:rgb(204,204,204)">
<div dir="ltr">
<div class="gmail_default" style="font-family:monospace,monospace">Como toda BCP se
va a chocar con el día a día de la operación donde
muchas empresas agregan y desagregan prefijos por
distintos motivos en distintos tiempos (e.g. empresas
que balancean tráfico por /24, que no digo que esté
bien, pero es la realidad)</div>
</div>
<br>
<div class="gmail_quote">
<div dir="ltr" class="gmail_attr">On Thu, Oct 29, 2020 at
10:06 AM Marcos Manoni <<a href="mailto:marcosmanoni@gmail.com" target="_blank">marcosmanoni@gmail.com</a>>
wrote:<br>
</div>
<blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-style:solid;padding-left:1ex;border-left-color:rgb(204,204,204)">Hola,<br>
<br>
El mié., 28 oct. 2020 a las 13:39, Tomas Lynch<br>
(<<a href="mailto:tomas.lynch@gmail.com" target="_blank">tomas.lynch@gmail.com</a>>)
escribió:<br>
> El mayor error cuando crean los ROAs es no poner
bien el max len. Esto lo estuvimos analizando en el
último LACNOG.<br>
><br>
> Simplificando, hay tres campos para llenar: sistema
autónomo, el prefijo y la máxima longitud permitida.
Mucha gente confunde la máxima longitud con el tamaño
del prefijo y terminan poniendo lo mismo.<br>
<br>
Ese comportamiento, más que error, está camino a ser una
"best<br>
practice". Lo que tiene que coincidir es el ROA con los
anuncios BGP.<br>
O sea, conviene hacer varios ROAs (1 por prefijo
anunciado) en lugar<br>
de pocos con máscara grande.<br>
<br>
The Use of Maxlength in the RPKI<br>
<a href="https://datatracker.ietf.org/doc/draft-ietf-sidrops-rpkimaxlen/" rel="noreferrer" target="_blank">https://datatracker.ietf.org/doc/draft-ietf-sidrops-rpkimaxlen/</a><br>
[...]whenever possible, operators SHOULD use "minimal
ROAs" that<br>
include only those IP prefixes that are actually
originated in BGP,<br>
and no other prefixes.<br>
<br>
Saludos,<br>
Marcos<br>
_______________________________________________<br>
LACNOG mailing list<br>
<a href="mailto:LACNOG@lacnic.net" target="_blank">LACNOG@lacnic.net</a><br>
<a href="https://mail.lacnic.net/mailman/listinfo/lacnog" rel="noreferrer" target="_blank">https://mail.lacnic.net/mailman/listinfo/lacnog</a><br>
Cancelar suscripcion: <a href="https://mail.lacnic.net/mailman/options/lacnog" rel="noreferrer" target="_blank">https://mail.lacnic.net/mailman/options/lacnog</a><br>
</blockquote>
</div>
_______________________________________________<br>
LACNOG mailing list<br>
<a href="mailto:LACNOG@lacnic.net" target="_blank">LACNOG@lacnic.net</a><br>
<a href="https://mail.lacnic.net/mailman/listinfo/lacnog" rel="noreferrer" target="_blank">https://mail.lacnic.net/mailman/listinfo/lacnog</a><br>
Cancelar suscripcion: <a href="https://mail.lacnic.net/mailman/options/lacnog" rel="noreferrer" target="_blank">https://mail.lacnic.net/mailman/options/lacnog</a><br>
</blockquote>
</div>
</div>
<br>
<fieldset></fieldset>
<pre style="font-family:monospace">_______________________________________________
LACNOG mailing list
<a href="mailto:LACNOG@lacnic.net" target="_blank" style="font-family:monospace">LACNOG@lacnic.net</a>
<a href="https://mail.lacnic.net/mailman/listinfo/lacnog" target="_blank" style="font-family:monospace">https://mail.lacnic.net/mailman/listinfo/lacnog</a>
Cancelar suscripcion: <a href="https://mail.lacnic.net/mailman/options/lacnog" target="_blank" style="font-family:monospace">https://mail.lacnic.net/mailman/options/lacnog</a>
</pre>
</blockquote>
</div>
_______________________________________________<br>
LACNOG mailing list<br>
<a href="mailto:LACNOG@lacnic.net" target="_blank">LACNOG@lacnic.net</a><br>
<a href="https://mail.lacnic.net/mailman/listinfo/lacnog" rel="noreferrer" target="_blank">https://mail.lacnic.net/mailman/listinfo/lacnog</a><br>
Cancelar suscripcion: <a href="https://mail.lacnic.net/mailman/options/lacnog" rel="noreferrer" target="_blank">https://mail.lacnic.net/mailman/options/lacnog</a><br>
</blockquote></div><br clear="all"><br>-- <br><div dir="ltr"><br><br>At least I did something<br>Don Draper - Mad Men</div>
_______________________________________________<br>
LACNOG mailing list<br>
<a href="mailto:LACNOG@lacnic.net" target="_blank">LACNOG@lacnic.net</a><br>
<a href="https://mail.lacnic.net/mailman/listinfo/lacnog" rel="noreferrer" target="_blank">https://mail.lacnic.net/mailman/listinfo/lacnog</a><br>
Cancelar suscripcion: <a href="https://mail.lacnic.net/mailman/options/lacnog" rel="noreferrer" target="_blank">https://mail.lacnic.net/mailman/options/lacnog</a><br>
</blockquote></div>
_______________________________________________<br>
LACNOG mailing list<br>
<a href="mailto:LACNOG@lacnic.net" target="_blank">LACNOG@lacnic.net</a><br>
<a href="https://mail.lacnic.net/mailman/listinfo/lacnog" rel="noreferrer" target="_blank">https://mail.lacnic.net/mailman/listinfo/lacnog</a><br>
Cancelar suscripcion: <a href="https://mail.lacnic.net/mailman/options/lacnog" rel="noreferrer" target="_blank">https://mail.lacnic.net/mailman/options/lacnog</a><br>
</blockquote></div></div>-- <br><div dir="ltr" class="gmail_signature" data-smartmail="gmail_signature">HM</div>