Bonjour à toutes et à tous,
Je suis client OVH notamment pour les offres d'hebergement VPS et OVH telecom.
Ma question est d'ordre plus général concernant la securisation des annonces BGP entre OVH et les autres peers/transits/...
OVH dispose a ce jour de ROA sur ses prefixes annoncés, ce qui permet aux tiers qui supportent RPKI de valider que ces routes proviennent bien d'OVH et pas d'autres AS. C'est une bonne chose, car cela renforce la sécurité du traffic entrant (tiers vers OVH).
Toutefois, pour la sécurisation du routage du traffic dans l'autre sens, il semble qu'actuellement, OVH ne valide pas les routes reçues et est susceptible d'accepter des routes dont l'origine est invalide. Voir screenshot ci-joint.
RPKI validation a été implémenté avec succès par d'autres hébergeurs tels que Scaleway ou AWS. Cela permettrait de se premunir d'événements tels que celui décrit dans cet article, lors duquel un certain nombre de services tiers n'étaient plus accessibles pour les clients OVH.
Est-il possible de le suggérer aux équipes en charge du réseau ? A moins que l'intégration de cette fonctionnalité ne soit déja prévu ?
Merci,
