Looking Glass e RPKI: trasparenza BGP e routing sicuro in Nexim

La sicurezza e la trasparenza del routing internet sono temi spesso confinati alle discussioni tra ingegneri di rete, ma hanno conseguenze dirette sulla disponibilità dei servizi enterprise. In Nexim Italia abbiamo strutturato la nostra infrastruttura di edge attorno a due strumenti complementari: il Looking Glass pubblico e la validazione RPKI con ROV in modalità strict.

Looking Glass: verificabilità in tempo reale
Il Looking Glass è uno strumento che permette a chiunque — clienti, peer, ricercatori, altri operatori — di interrogare lo stato del routing direttamente dai nostri router di bordo, senza credenziali privilegiate. Le query disponibili includono:

Visualizzazione delle rotte BGP attive per un prefisso specifico
AS-path completo e comunità BGP associate
Next-hop e metriche di selezione
Ping e traceroute dai vari PoP

Questa apertura non è un vezzo: è la base per un troubleshooting collaborativo con gli altri operatori e per dimostrare la coerenza tra ciò che annunciamo e ciò che effettivamente propaghiamo.

RPKI e ROV strict: scartare l'invalid
La Resource Public Key Infrastructure (RPKI) consente ai titolari di risorse di numerazione internet di firmare crittograficamente i ROA (Route Origin Authorization), dichiarando quali AS sono autorizzati ad annunciare i propri prefissi.
Sui nostri router di bordo applichiamo Route Origin Validation in modalità strict:

Le rotte con stato valid vengono accettate normalmente
Le rotte invalid vengono scartate, non semplicemente depreferite
Le rotte not-found sono gestite tramite policy esplicite per peer

Questo approccio elimina dalla nostra tabella di routing una classe intera di hijack BGP basati su annunci non autorizzati di prefissi coperti da ROA.

Allineamento con MANRS
Le pratiche descritte si inseriscono nelle azioni promosse da MANRS (Mutually Agreed Norms for Routing Security): filtraggio degli annunci, prevenzione dello spoofing, coordinamento operativo tra operatori e validazione globale. Non si tratta di certificazioni di facciata, ma di requisiti operativi minimi per un operatore che serve traffico enterprise, wholesale e contribuzioni live broadcast con SLA stringenti.

Cosa significa per i clienti
Minore esposizione a route hijack, propagazione più pulita degli annunci, possibilità di audit indipendente sullo stato delle rotte e maggiore prevedibilità del percorso del traffico. Per chi gestisce datacenter, eventi live o servizi mission-critical, sono garanzie concrete.