RPKI-Validator
Prüfen Sie, ob die derzeit angekündigte Route einer IP-Adresse durch RPKI (Resource Public Key Infrastructure) geschützt ist — live validiert gegen Route Origin Authorizations über RIPEstat, ohne dass wir selbst eine ROA-Datenbank synchron halten müssen.
Geben Sie oben eine IP-Adresse ein und klicken Sie auf Validieren.
RPKI ermöglicht es einem Netzbetreiber, kryptografisch zu bescheinigen, welches autonome System berechtigt ist, Routen für seine IP-Präfixe zu originieren. Eine Route, die keiner gültigen Autorisierung entspricht, kann dennoch angekündigt werden — RPKI-Validierung ist auf der Empfängerseite optional — aber ein wachsender Anteil der Internet-Router lehnt ungültige Routen ab oder priorisiert sie niedriger, weshalb sich diese Prüfung lohnt.
Was die Status bedeuten
- Gültig
- Das ankündigende ASN und Präfix stimmen mit einer veröffentlichten Route Origin Authorization (ROA) überein.
- Ungültig
- Für dieses Präfix existiert eine ROA, aber sie autorisiert ein anderes ASN, oder das angekündigte Präfix ist spezifischer, als die ROA erlaubt — ein Hinweis auf mögliches Route-Hijacking oder Fehlkonfiguration.
- Unbekannt
- Keine ROA deckt dieses Präfix überhaupt ab — der Großteil des Internets befindet sich noch in diesem Zustand. Wird auch zurückgegeben (statt einer Vermutung), wenn RIPEstat selbst nicht erreichbar ist.
FAQ
Über dieses Tool
Mit RPKI kann der Inhaber eines Adressblocks eine signierte Erklärung veröffentlichen, eine sogenannte Route Origin Authorization (ROA), die festlegt, welches Netzwerk den Block ankündigen darf. Dieses Tool prüft, ob die aktuell für eine IP angekündigte Route von einer gültigen ROA abgedeckt wird.
So funktioniert es
Die Validierung erfolgt live über RIPEstat, auf unserer Seite gibt es also keine ROA-Importpipeline, die veralten könnte. Das Ergebnis gibt an, ob die Route gültig, ungültig oder von keiner ROA abgedeckt ist.
Was Sie beachten sollten
Eine nicht abgedeckte Route wurde nicht zwangsläufig gekapert, denn viele Netzwerke haben noch keine ROAs veröffentlicht. Ein ungültiges Ergebnis bedeutet, dass Ursprung oder Präfixlänge nicht dem entsprechen, was der Inhaber autorisiert hat, und sollte untersucht werden.
Typische Anwendungen
Netzbetreiber prüfen damit ihre eigenen Ankündigungen nach einem Providerwechsel, und Sicherheitsteams verwenden es als einen Baustein bei der Beurteilung, ob ein Adressblock von der richtigen Partei angekündigt wird.
Verwandte Tools: ASN-Abfrage · IP-WHOIS-Abfrage · Verzeichnis der IP-Bereiche · IP-Lookup