.. назва: RPKI ROA Validator (Education)
.. слизень: rpki-roa-validator
.. дата: 2026-04-07 12:00:00 UTC
.. теги: rpki, roa, bgp, безпека, маршрутизація, інструменти
.. категорія: Інструменти
.. посилання:
.. опис: Освітній інструмент перевірки походження маршруту RPKI — введіть префікс і початковий ASN, щоб побачити значення «Дійсно», «Недійсно» або «Не знайдено» у зразку бази даних ROA. Посилання на живі валідатори для використання у виробництві.
.. тип: текст
<style>
.calc-container { max-width: 860px; margin: 20px auto; padding: 20px; }
.calc-header { margin-bottom: 30px; padding: 25px; background: linear-gradient(135deg, #667eea 0%, #764ba2 100%); border-radius: 12px; box-shadow: 0 4px 6px rgba(0,0,0,0.1); color: white; }
.calc-header h2 { margin-top: 0; color: white; font-size: 28px; margin-bottom: 10px; }
.calc-header p  { margin: 10px 0; opacity: 0.95; font-size: 15px; }
.result-section { background: white; border: 1px solid #e0e0e0; border-radius: 8px; margin-top: 20px; overflow: hidden; box-shadow: 0 2px 4px rgba(0,0,0,0.05); }
.section-header { padding: 16px 20px; background: linear-gradient(135deg, #4CAF50 0%, #2d6a2d 100%); color: white; font-weight: 600; font-size: 16px; }
.section-content { padding: 20px; background: #fafafa; }
@media (max-width: 768px) { .calc-header h2 { font-size: 22px; } .calc-container { padding: 10px; } }
.input-row { display: flex; gap: 12px; align-items: flex-end; flex-wrap: wrap; margin-bottom: 16px; }
.input-group { display: flex; flex-direction: column; gap: 4px; }
.input-group label { font-size: 13px; color: #6b7280; font-weight: 500; }
.input-group input { padding: 10px 14px; border: 1px solid #ccc; border-radius: 6px; font-size: 15px; width: 200px; }
.btn { padding: 10px 24px; background: #4CAF50; color: white; border: none; border-radius: 6px; font-size: 15px; cursor: pointer; }
.btn:hover { background: #388e3c; }
.btn-sm { padding: 4px 12px; font-size: 12px; background: #6b7280; color: white; border: none; border-radius: 4px; cursor: pointer; margin-right: 4px; }
.btn-sm:hover { background: #374151; }
.result-box { padding: 24px; border-radius: 10px; text-align: center; margin-bottom: 16px; }
.result-valid   { background: #d1fae5; border: 2px solid #22c55e; }
.result-invalid { background: #fee2e2; border: 2px solid #ef4444; }
.result-notfound { background: #fef3c7; border: 2px solid #f59e0b; }
.result-state { font-size: 36px; font-weight: 700; margin-bottom: 8px; }
.state-valid   { color: #15803d; }
.state-invalid { color: #dc2626; }
.state-notfound { color: #b45309; }
.result-desc { font-size: 15px; color: #374151; }
table { width: 100%; border-collapse: collapse; margin: 12px 0; font-size: 14px; }
th { background: #2d6a2d; color: white; padding: 8px 10px; text-align: left; }
td { padding: 7px 10px; border-bottom: 1px solid #e5e7eb; vertical-align: top; }
tr:nth-child(even) td { background: #f9fafb; }
.callout { background: #e8f5e9; border-left: 4px solid #4CAF50; padding: 12px 16px; border-radius: 6px; margin: 12px 0; font-size: 14px; }
.callout.warn { background: #fff8e0; border-color: #f0a500; }
</style>
<div class="calc-container">
<div class="calc-header">
<h2>RPKI ROA Validator (навчання)</h2>
<p>Введіть префікс і джерело ASN для перевірки за зразком бази даних ROA. Цей інструмент призначений для вивчення алгоритму валідації — використовуйте живі валідатори для виробничих рішень.</p>
</div>
<div class="result-section">
<div class="section-header">Перевірте префікс</div>
<div class="section-content">
<div class="input-row">
<div class="input-group">
<label>Префікс IP</label>
<input id="prefixInput" placeholder="e.g. 1.1.1.0/24" type="text" value="1.1.1.0/24"/>
</div>
<div class="input-group">
<label>Походження ASN</label>
<input id="asnInput" max="4294967295" min="1" placeholder="e.g. 13335" type="number" value="13335"/>
</div>
<button class="btn" onclick="validate()">Підтвердити</button>
</div>
<div style="font-size:13px;color:#6b7280;">Спробуйте ці приклади:<button class="btn-sm" onclick="setExample('1.1.1.0/24','13335')">Cloudflare DNS (дійсний)</button>
<button class="btn-sm" onclick="setExample('1.1.1.0/24','1234')">Неправильний ASN (недійсний)</button>
<button class="btn-sm" onclick="setExample('192.0.2.0/24','64496')">TEST-NET (не знайдено)</button>
<button class="btn-sm" onclick="setExample('8.8.8.0/24','15169')">Google DNS (дійсний)</button>
<button class="btn-sm" onclick="setExample('9.9.9.0/24','64496')">Quad9, неправильний AS (недійсний)</button>
</div>
</div>
</div>
<div class="result-section" id="resultSection" style="display:none;">
<div class="section-header">Результат</div>
<div class="section-content">
<div class="result-box" id="resultBox">
<div class="result-state" id="resultState"></div>
<div class="result-desc" id="resultDesc"></div>
</div>
<div id="roaDetails"></div>
<div id="explanationDiv"></div>
</div>
</div>
<div class="result-section" style="margin-top:16px;">
<div class="section-header">Зразок бази даних ROA</div>
<div class="section-content">
<div class="callout warn">Ця база даних містить невеликий набір загальнодоступних ROA для демонстраційних цілей. Для перевірки в реальному часі використовуйте:<a href="https://rpki.cloudflare.com/" target="_blank">Cloudflare RPKI</a>,
        <a href="https://rpki-validator.ripe.net/ui/" target="_blank">Валідатор RIPE RPKI</a>, або<a href="https://rpki-monitor.antd.nist.gov/" target="_blank">Монітор NIST RPKI</a>.
      </div>
<table id="roaTable">
<thead>
<tr><th>Префікс</th><th>maxLength</th><th>Походження ASN</th><th>Примітка</th></tr>
</thead>
<tbody id="roaTableBody"></tbody>
</table>
</div>
</div>
<div class="result-section" style="margin-top:16px;">
<div class="section-header">Як працює перевірка (RFC 6811)</div>
<div class="section-content" style="font-size:14px;line-height:1.8;">
<p>Алгоритм перевірки (див<a href="https://www.rfc-editor.org/rfc/rfc6811" target="_blank">RFC 6811</a>) для оголошеного префікса P/len з джерелом ASN A:</p>
<ol>
<li>Знайдіть усі ROA у таблиці VRP, де P/len охоплюється префіксом ROA, тобто P є підмережею (або дорівнює) префіксу ROA І len ≤ ROA maxLength. Назвіть це<em>комплект покриття</em>.</li>
<li>Якщо комплект покриття є<strong>порожній</strong> → <strong style="color:#b45309">Не знайдено</strong>. Жодна ROA нічого не стверджує щодо цього префікса.</li>
<li>Якщо комплект покриття є<strong>непорожній</strong>, перевірте, чи будь-який ROA в наборі також має джерело ASN == A. Якщо так →<strong style="color:#15803d">Дійсний</strong>. Якщо ні →<strong style="color:#dc2626">Недійсний</strong>.</li>
</ol>
<p><strong>Ключова інформація:</strong>Invalid є сильнішим сигналом, ніж NotFound. NotFound просто означає, що ROA ще не існує — власник префікса його не зареєстрував. Недійсний означає, що ROA існує, явно вказуючи, що це джерело ASN<em>ні</em>уповноважений.</p>
<p>Література:<a href="https://www.rfc-editor.org/rfc/rfc6480" target="_blank">RFC 6480</a>(Інфраструктура РПКІ),<a href="https://www.rfc-editor.org/rfc/rfc6482" target="_blank">RFC 6482</a>(профіль ROA),<a href="https://www.rfc-editor.org/rfc/rfc6811" target="_blank">RFC 6811</a>(перевірка походження префікса BGP),<a href="https://www.rfc-editor.org/rfc/rfc8210" target="_blank">RFC 8210</a>(протокол RTR).</p>
</div>
</div>
</div>
<script>
(function () {
'use strict';

// ── ROA Database ─────────────────────────────────────────────────────────
const ROAS = [
  { afi: 4, prefix: '1.1.1.0',     prefixLen: 24, maxLength: 24, asn: 13335, note: 'Cloudflare 1.1.1.1' },
  { afi: 4, prefix: '1.0.0.0',     prefixLen: 24, maxLength: 24, asn: 13335, note: 'Cloudflare 1.0.0.1' },
  { afi: 4, prefix: '8.8.8.0',     prefixLen: 24, maxLength: 24, asn: 15169, note: 'Google DNS 8.8.8.8' },
  { afi: 4, prefix: '8.8.4.0',     prefixLen: 24, maxLength: 24, asn: 15169, note: 'Google DNS 8.8.4.4' },
  { afi: 4, prefix: '9.9.9.0',     prefixLen: 24, maxLength: 24, asn: 19281, note: 'Quad9 9.9.9.9' },
  { afi: 4, prefix: '149.112.112.0', prefixLen: 24, maxLength: 24, asn: 19281, note: 'Quad9 149.112.112.112' },
  { afi: 4, prefix: '208.67.222.0', prefixLen: 24, maxLength: 24, asn: 36692, note: 'OpenDNS 208.67.222.222' },
  { afi: 4, prefix: '208.67.220.0', prefixLen: 24, maxLength: 24, asn: 36692, note: 'OpenDNS 208.67.220.220' },
  { afi: 4, prefix: '74.82.42.0',   prefixLen: 24, maxLength: 24, asn: 6939,  note: 'Hurricane Electric DNS' },
  { afi: 4, prefix: '199.43.132.0', prefixLen: 24, maxLength: 24, asn: 3130,  note: 'ARIN noc.arin.net' },
];

// ── IPv4 helpers ─────────────────────────────────────────────────────────

function ipToInt(ip) {
  return ip.split('.').reduce((acc, oct) => (acc << 8) | parseInt(oct, 10), 0) >>> 0;
}

function prefixMask(len) {
  return len === 0 ? 0 : ((~0 << (32 - len)) >>> 0);
}

function roaCoversPrefix(roaNet, roaLen, roaMaxLen, testNet, testLen) {
  if (testLen < roaLen)    return false;
  if (testLen > roaMaxLen) return false;
  const mask = prefixMask(roaLen);
  return (ipToInt(roaNet) & mask) === (ipToInt(testNet) & mask);
}

function parseCIDR(cidr) {
  const [net, lenStr] = cidr.trim().split('/');
  if (!lenStr) return null;
  const len = parseInt(lenStr, 10);
  if (isNaN(len) || len < 0 || len > 32) return null;
  const parts = net.split('.');
  if (parts.length !== 4) return null;
  return { net, len };
}

function validateIPv4(prefix, prefixLen, originAsn) {
  const covering = ROAS.filter(r =>
    r.afi === 4 && roaCoversPrefix(r.prefix, r.prefixLen, r.maxLength, prefix, prefixLen)
  );
  if (covering.length === 0) return { state: 'NOTFOUND', matching: [], covering: [] };
  const matching = covering.filter(r => r.asn === originAsn);
  return { state: matching.length > 0 ? 'VALID' : 'INVALID', matching, covering };
}

// ── UI ───────────────────────────────────────────────────────────────────

function setExample(prefix, asn) {
  document.getElementById('prefixInput').value = prefix;
  document.getElementById('asnInput').value = asn;
  validate();
}
window.setExample = setExample;

function validate() {
  const cidrRaw = document.getElementById('prefixInput').value.trim();
  const asnRaw  = parseInt(document.getElementById('asnInput').value.trim(), 10);

  const parsed = parseCIDR(cidrRaw);
  if (!parsed) { alert('Invalid CIDR notation — expected format: 1.2.3.0/24'); return; }
  if (isNaN(asnRaw) || asnRaw < 1) { alert('Invalid ASN — must be a positive integer'); return; }

  const result = validateIPv4(parsed.net, parsed.len, asnRaw);

  const box = document.getElementById('resultBox');
  const stateEl = document.getElementById('resultState');
  const descEl  = document.getElementById('resultDesc');
  const detailEl = document.getElementById('roaDetails');
  const explEl   = document.getElementById('explanationDiv');

  const stateKey = result.state.toLowerCase().replace('notfound', 'notfound');
  box.className = 'result-box result-' + stateKey;
  stateEl.className = 'result-state state-' + stateKey;
  stateEl.textContent = result.state === 'NOTFOUND' ? 'Not Found' : result.state;

  const STATE_DESCS = {
    VALID:    `A ROA exists that authorizes AS${asnRaw} to announce ${cidrRaw}.`,
    INVALID:  `ROA(s) cover ${cidrRaw} but none authorize AS${asnRaw} as the origin.`,
    NOTFOUND: `No ROA in this database covers ${cidrRaw}. The prefix owner has not created a ROA (or this sample database doesn't include it).`,
  };
  descEl.textContent = STATE_DESCS[result.state];

  if (result.covering.length > 0) {
    let html = `<h4 style="margin-top:12px;">Covering ROAs (${result.covering.length})</h4><table><thead><tr><th>Prefix</th><th>maxLength</th><th>ASN</th><th>Note</th><th>Match?</th></tr></thead><tbody>`;
    for (const r of result.covering) {
      const isMatch = r.asn === asnRaw;
      html += `<tr style="${isMatch ? 'background:#d1fae5' : ''}">
        <td>${r.prefix}/${r.prefixLen}</td>
        <td>/${r.maxLength}</td>
        <td>AS${r.asn}</td>
        <td>${r.note}</td>
        <td>${isMatch ? '✓ ASN matches' : '✗ ASN mismatch'}</td>
      </tr>`;
    }
    html += '</tbody></table>';
    detailEl.innerHTML = html;
  } else {
    detailEl.innerHTML = '';
  }

  const EXPLS = {
    VALID: `<div class="callout"><strong>Algorithm (RFC 6811 §5):</strong> At least one ROA covers the prefix (prefix length ≤ ROA maxLength AND the announced prefix is within the ROA prefix network), AND that ROA's origin ASN matches the BGP UPDATE's origin AS. All conditions satisfied → <strong>Valid</strong>.</div>`,
    INVALID: `<div class="callout warn"><strong>Algorithm (RFC 6811 §5):</strong> At least one ROA covers the prefix (test passes the subnet and maxLength checks), but no covering ROA has an origin ASN equal to AS${asnRaw}. → <strong>Invalid</strong>. This is strong evidence of a BGP hijack or misconfigured ROA.</div>`,
    NOTFOUND: `<div class="callout warn"><strong>Algorithm (RFC 6811 §5):</strong> No ROA in the Validated ROA Payload (VRP) table covers this prefix (either the prefix is not within any ROA's network, or the announced length exceeds every covering ROA's maxLength). → <strong>Not Found</strong>. The prefix is treated as it was before RPKI existed — no assertion either way.</div>`,
  };
  explEl.innerHTML = EXPLS[result.state];

  document.getElementById('resultSection').style.display = 'block';
}
window.validate = validate;

// ── Populate ROA table ────────────────────────────────────────────────────

function populateRoaTable() {
  const tbody = document.getElementById('roaTableBody');
  for (const r of ROAS) {
    const tr = document.createElement('tr');
    tr.innerHTML = `<td>${r.prefix}/${r.prefixLen}</td><td>/${r.maxLength}</td><td>AS${r.asn}</td><td>${r.note}</td>`;
    tbody.appendChild(tr);
  }
}

populateRoaTable();
})();
</script>