Seminar FRRouting – Routing-Sicherheit, RPKI und Betriebshärtung

Seminarbeschreibung

Fehlerhafte Routing-Ankündigungen können auch ohne Angriff große Auswirkungen haben. Das Seminar richtet den Blick auf überprüfbare Regeln für zulässige Präfixe, Nachbarn und Verwaltungszugriffe. BGP-Policies werden so gestaltet, dass ihr Verhalten bei gültigen, ungültigen und unbekannten Ankündigungen nachvollziehbar ist. Ergänzend wird die Linux-Umgebung auf die tatsächlich benötigten Funktionen begrenzt.

RPKI wird mit einem vorbereiteten Validierungsdienst und passender FRRouting-Paketunterstützung eingesetzt. Die Rolle des Caches wird von der Policy-Entscheidung auf dem Router getrennt. Eine aktivierte Validierung verwirft nicht automatisch alle ungültigen Routen; die gewünschte Behandlung muss ausdrücklich konfiguriert werden. RPKI schützt zudem nicht pauschal vor allen Route Leaks oder fehlerhaften AS-Pfaden. Kontrollierte Tests mit Cache-Ausfall und unerwarteten Präfixen zeigen, wie Schutzmaßnahmen und Erreichbarkeit gemeinsam bewertet werden.

Lernziele

• Explizite Import- und Exportregeln mit geeigneten Schutzgrenzen entwerfen.
• RPKI-Origin-Validierung samt Cache-Ausfallverhalten nachvollziehbar einrichten.
• Managementzugänge und Routing-Dienste nach einem überprüfbaren Schutzbedarf begrenzen.

Zielgruppe

Netzwerk- und Security-Administratoren, BGP-Verantwortliche und Betreiber von Internet- oder Partneranbindungen.

Voraussetzungen

Praktische FRRouting- und BGP-Kenntnisse einschließlich Prefix-Listen und Route-Maps. Linux-Zugriffsverwaltung und grundlegende Firewall-Konzepte werden vorausgesetzt.

Seminarinhalte

Inhaltsübersicht: Schutzbedarf und Angriffsfläche; Robuste Routing-Policies; RPKI-Origin-Validierung; Sitzungs- und Systemschutz; Wirksamkeitsprüfung.

Schutzbedarf und Angriffsfläche

• Versehentliche Fehlankündigungen und gezielte Manipulation unterscheiden.
• Management-, Control- und Datenebene getrennt bewerten.
• Benötigte Dienste und berechtigte Kommunikationspartner erfassen.

Robuste Routing-Policies

• Zulässige Präfixe und AS-Beziehungen in Import-/Exportregeln abbilden.
• Max-Prefix, Default-Regeln und vereinbarte Communities kontrollieren.
• Unbeabsichtigten Transit und unerwünschte Ankündigungen im Testnetz erkennen.

RPKI-Origin-Validierung

• Paket- und Modulvoraussetzungen sowie RTR-Cache-Anbindung prüfen.
• Valid, Invalid und NotFound ausdrücklich in einer Policy behandeln.
• Cache-Ausfall und Wiederkehr mit vorbereiteten Testdaten untersuchen.

Sitzungs- und Systemschutz

• Unterstützte Verfahren für BGP-Sitzungsschutz passend einsetzen.
• Lokale CLI, SSH-Zugriff und Linux-Dateirechte begrenzen.
• Netzwerkfilter und Protokollierung auf notwendige Kommunikation ausrichten.

Wirksamkeitsprüfung

• Erlaubte und unerlaubte Routen gezielt einspeisen.
• Blockierte Verwaltungszugriffe und weiterhin erlaubten Betrieb überprüfen.
• Sicherheitsänderungen mit Rückfall- und Freigabekriterien dokumentieren.

Praxisübungen

1. Ein offenes Peering-Szenario in eine explizite Import-/Export-Policy überführen.
2. Einen vorbereiteten RPKI-Cache anbinden und die Validierungszustände prüfen.
3. Ungültige sowie unbekannte Ankündigungen anhand der festgelegten Policy behandeln.
4. Den Cache vorübergehend ausfallen lassen und das Verhalten dokumentieren.
5. Managementzugänge begrenzen und zulässige Betriebsfunktionen anschließend erneut testen.