Как да проверите IP блок, преди да го купите или наемете

Блок, който изглежда наред на хартия, може да пристигне в черен списък, с история на отвличания или регистриран на фирма, която вече не съществува. По-голямата част от това може да се провери за половин час с публични инструменти, преди да се подпише каквото и да е. Това са седемте проверки, които правим за всеки блок, и как да ги направите сами. Примерите използват документационния диапазон 203.0.113.0/24; заменете го с блока, който Ви предлагат.

1. Записът в регистъра

Започнете с това кой според регистъра притежава блока и какъв вид блок е.

whois -h whois.ripe.net 203.0.113.0/24

Проверете четири неща в отговора:

• Притежателят. Организацията в записа трябва да е тази, която продава, или тази, която Ви го отдава под наем. Друго име, прекратена фирма или име, променено при сливане, е най-честата причина една сделка да зацикли (какво определя цената).
• Статусът. ALLOCATED PA, ASSIGNED PI или LEGACY определя кой може да държи блока и дали адресите му могат да отиват при Вашите клиенти (PA, PI или legacy).
• Abuse контактът. Трябва да е пощенска кутия, която някой чете.
• Бележките (remarks). Бележки за спор, подразпределение или друг наем заслужават въпрос, преди да продължите.

2. Черни списъци, адрес по адрес

Едно вписване обикновено засяга отделни адреси, а не целия блок, затова проверете всичките 256. Комбинираната зона на Spamhaus, ZEN, отговаря за списъците му SBL, CSS, XBL и PBL с една DNS заявка на адрес:

for i in $(seq 0 255); do
  answer=$(dig +short $i.113.0.203.zen.spamhaus.org A)
  [ -n "$answer" ] && echo "203.0.113.$i $answer"
done

Изпълнете го през собствения си резолвър. Spamhaus отказва заявки, които идват през големите публични резолвъри, и им отговаря с код за грешка в диапазона 127.255.255.x, който не е вписване. Безплатните му публични сървъри са за „low-volume, non-commercial users“ (превод: „потребители с малък обем, без търговска цел“) и постепенно се спират, така че цикълът може да спре да отговаря; IP and Domain Reputation Checker на Spamhaus проверява по един адрес наведнъж.

Някои списъци оценяват повече от адреса. Вписване на диапазон от Spamhaus се вижда в цикъла като поредица от вписани адреси. UCEPROTECT вписва цели разпределения на ниво 2 и всеки адрес на мрежа с твърде много вписвания на ниво 3, а неговият инструмент за проверка показва кое ниво се прилага. Другите списъци, които имат значение, и инструментите, които ги проверяват, са в черни списъци за IP адреси.

3. Кой го е анонсирал и кога

Историята на маршрутизиране показва кои мрежи са били произход на блока и за колко време.

curl -s "https://stat.ripe.net/data/routing-history/data.json?resource=203.0.113.0/24"

Това, което искате да видите, е един произход в даден момент, съвпадащ с притежателите, за които Ви казва продавачът. Кратки анонси от несвързани мрежи, особено докато блокът официално не се е използвал, са белег за отвличане. Блок, който никой не е анонсирал от години, не е проблем сам по себе си, но е точно това, което търсят похитителите, така че записът трябва да е безупречен.

4. RPKI в момента

ROA записите остават, докато притежателят не ги премахне. При наем това е наемодателят Ви, а ROA за ASN на предишния ползвател, който никой не е премахнал, ще направи анонса Ви невалиден (RPKI и ROA). Прехвърляне в RIPE NCC премахва ROA записите на продавача, затова създайте свои веднага щом то приключи.

curl -s "https://stat.ripe.net/data/rpki-validation/data.json?resource=AS64500&prefix=203.0.113.0/24"

Поискайте всеки ROA, който покрива блока, да бъде премахнат или заменен с такъв за Вашия ASN или този на доставчика Ви, преди предаването.

5. Къде светът смята, че се намира

Базите данни за геолокация определят в коя държава изглежда, че се намира блокът, а това определя какво съдържание виждат потребителите Ви и кои платежни системи им имат доверие.

curl -s "https://stat.ripe.net/data/maxmind-geo-lite/data.json?resource=203.0.113.0/24"

Това са безплатните данни на MaxMind. Потърсете блока и в другите основни бази данни и проверете дали някоя от тях го отбелязва като хостинг или VPN пространство, което може да тежи повече от държавата. Блок, поставен в грешна държава, може да бъде коригиран, но във всички бази данни това може да отнеме шест седмици или повече, така че е по-добре да го знаете сега, отколкото след старта (IP геолокация).

6. Abuse сигнали

Общностни бази данни като AbuseIPDB събират сигнали за атаки от отделни адреси. API на AbuseIPDB проверява цял /24 с една заявка, за последните 30 дни при безплатен акаунт:

curl -G https://api.abuseipdb.com/api/v2/check-block \
  --data-urlencode "network=203.0.113.0/24" \
  -d maxAgeInDays=30 \
  -H "Key: $ABUSEIPDB_KEY" \
  -H "Accept: application/json"

Няколко стари сигнала са нормални за пространство, което е било в употреба; постоянен поток от много адреси не е.

7. История на прехвърлянията

Ако купувате, попитайте кога продавачът е получил блока. IPv4, получен чрез прехвърляне, не може да бъде прехвърлен отново в продължение на 24 месеца в региона на RIPE NCC, а адресите от пула 103/8 на APNIC не могат в продължение на пет години след първото им предоставяне (сравнение на правилата за прехвърляне). Ако предпочитате плащането Ви да се задържи, докато регистърът впише прехвърлянето, ескроу може да го задържи.

Какво да попитате продавача или наемодателя

• Кога сте получили блока и от кого?
• Кой го е използвал през последните две години и за какво?
• Има ли в момента ROA, route обекти или обекти domain за него и кой ще ги премахне?
• Вписано ли е нещо и какво е направено по въпроса?
• При наем: какво става с блока, ако наемът бъде подновен, и какво казва договорът за отнемането му?

Къде се вписва RTM Networks

Правим тези проверки, преди да предложим блок, и проверяваме всеки IPv4 блок, който отдаваме под наем, в черните списъци всеки ден, докато го имате (наем на IPv4, покупка на IPv4). Ако Ви предлагат блок другаде и искате второ мнение, изпратете ни префикса и ще Ви кажем какво виждаме.