IRR route обекти и RADb: защо един префикс се филтрира

Route обектът е публичен запис, който казва кой AS номер може да бъде произход на даден префикс. Доставчиците (upstream) изграждат филтрите на Вашата BGP сесия от тези записи, така че префикс без такъв често се отхвърля, преди изобщо да достигне до по-широкия интернет, дори когато ROA му е безупречен. RPKI не е заменил регистрите за маршрутизиране; повечето мрежи все още използват и двете.

Какво е route обектът

Регистрите за маршрутизиране (IRR) съхраняват обекти в прост текстов формат. За един анонс има значение обектът route:

route:   203.0.113.0/24
origin:  AS64500
descr:   Example Customer GmbH
mnt-by:  EXAMPLE-MNT
source:  RIPE

Той свързва един префикс с един AS произход. Ако блокът се анонсира от два ASN, са му нужни два route обекта.

Къде се намират

• RIPE Database е регистърът за пространството в региона на RIPE NCC и route обектите за това пространство принадлежат там. Създаването на такъв изисква разрешението на притежателя на адресното пространство, така че непознат не може да регистрира Вашия блок.
• ARIN и APNIC поддържат регистри за собственото си пространство: този на ARIN в ARIN Online, за пространство по договор с ARIN, а този на APNIC в неговата Whois Database (ARIN, APNIC).
• RADb, поддържан от Merit, организация с нестопанска цел, е абонаментен регистър, който съдържа обекти за пространство от всеки регион. Много мрежи го проверяват наред с регионалните регистри, затова се появява в толкова много конфигурации и затова си струва да проверите какво казва за Вашия блок.

Как ги използва доставчикът Ви

Повечето доставчици автоматично разгръщат това, което Ви е позволено да изпращате, в списък с префикси от регистрите: търси се Вашият AS номер или as-set, който изброява Вашия и тези на клиентите Ви, и всеки route обект със съвпадащ произход става запис във филтъра на сесията Ви. Инструменти като bgpq4 правят това:

bgpq4 -4 -l allowed AS64500

Ако списъкът, който извежда, не съдържа префикса Ви, филтърът на доставчика Ви също няма да го съдържа. Филтрите често се обновяват веднъж дневно, така че новият route обект може да заработи едва след толкова време.

Как да проверите какво казват регистрите

whois -h whois.ripe.net -T route 203.0.113.0/24
whois -h whois.radb.net 203.0.113.0/24

Търсите три неща: route обект с Вашия AS произход, никакви останали route обекти за ASN, който вече не анонсира блока, и една и съща картина в регионалния регистър и в RADb.

Грешки, заради които префиксът се филтрира

• Изобщо няма route обект. Най-честата грешка и причината нов наем или нов доставчик „да не работи“ в първия ден.
• Грешен произход. Обектът посочва ASN на предишния ползвател или този на доставчика Ви, когато го анонсирате сами.
• Оставени стари обекти. Те позволяват на чужди филтри да приемат анонси на Вашия блок от ASN, който вече не би трябвало да ги изпраща. Премахвайте ги, когато наем приключи или доставчик се смени.
• Промени, които доставчикът прави вместо Вас. При BYOIP някои доставчици създават route обекта сами; AWS, например, актуализира RADb самостоятелно и посочва, че ръчни промени, посочващи неговия ASN, провалят въвеждането (AWS BYOIP).

Route обекти и RPKI заедно

ROA и route обектът описват едно и също нещо, префикса и AS, който може да бъде негов произход, за два вида проверка. Поддържайте ги в синхрон: променяйте и двете в един и същ прозорец всеки път, когато произходът се смени, и проверявайте и двете извън собствената си мрежа (RPKI и ROA).

Къде се вписва RTM Networks

За пространство, наето от нас, създаваме route обекта за Вашия ASN или за този на доставчика Ви като част от наема, заедно с ROA и, когато Ви е нужен, Letter of Authorization, и ги премахваме, когато наемът приключи (наем на IPv4).