Sådan tjekker du en IP-blok, før du køber eller lejer den

En blok, der ser fin ud på papiret, kan komme på en blocklist, med en historik af kapringer eller registreret til et firma, der ikke findes mere. Det meste af det kan tjekkes på en halv time med offentlige værktøjer, før noget er underskrevet. Det er de syv tjek, vi kører på hver blok, og sådan kører du dem selv. Eksemplerne bruger dokumentationsområdet 203.0.113.0/24; erstat det med den blok, du får tilbudt.

1. Registerposten

Start med, hvem registret siger har blokken, og hvilken slags blok det er.

whois -h whois.ripe.net 203.0.113.0/24

Tjek fire ting i svaret:

• Indehaveren. Organisationen i posten bør være den, der sælger, eller den, der lejer den ud til dig. Et andet navn, et opløst firma eller et navn, der ændrede sig ved en fusion, er den mest almindelige grund til, at en handel går i stå (hvad der flytter prisen).
• Status. ALLOCATED PA, ASSIGNED PI eller LEGACY afgør, hvem der må have blokken, og om dens adresser må gå til dine kunder (PA, PI eller legacy).
• Abuse-kontakten. Det bør være en postkasse, som nogen læser.
• Remarks. Noter om en tvist, en underopdeling eller en anden lejeaftale er et spørgsmål værd, før du går videre.

2. Blocklists, adresse for adresse

En listning gælder som regel enkelte adresser, ikke hele blokken, så tjek alle 256. Spamhaus' samlede zone, ZEN, svarer for listerne SBL, CSS, XBL og PBL i én DNS-forespørgsel pr. adresse:

for i in $(seq 0 255); do
  answer=$(dig +short $i.113.0.203.zen.spamhaus.org A)
  [ -n "$answer" ] && echo "203.0.113.$i $answer"
done

Kør det gennem din egen resolver. Spamhaus afviser forespørgsler, der kommer gennem de store offentlige resolvere, og besvarer dem med en fejlkode i området 127.255.255.x, hvilket ikke er en listning. Dets gratis offentlige servere er til “low-volume, non-commercial users” (oversættelse: brugere med lav volumen og ikke-kommerciel brug) og er ved at blive udfaset, så løkken kan holde op med at svare; Spamhaus' IP and Domain Reputation Checker slår én adresse op ad gangen.

Nogle lister bedømmer mere end adressen. En Spamhaus-listning af et område viser sig i løkken som en række listede adresser. UCEPROTECT lister hele allokeringer på Level 2 og alle adresser i et netværk med for mange listninger på Level 3, og dets checker viser, hvilket niveau der gælder. De andre lister, der betyder noget, og værktøjerne, der tjekker dem, står i IP-blacklisting.

3. Hvem har annonceret den, og hvornår

Routinghistorikken viser, hvilke netværk der har annonceret blokken som origin, og hvor længe.

curl -s "https://stat.ripe.net/data/routing-history/data.json?resource=203.0.113.0/24"

Det, du vil se, er én origin ad gangen, der passer med de indehavere, sælgeren fortæller om. Korte annonceringer fra urelaterede netværk, især mens blokken officielt var ubrugt, er kendetegnet for en kapring. En blok, som ingen har annonceret i årevis, er ikke et problem i sig selv, men det er præcis det, kaprere leder efter, så posten bør være vandtæt.

4. RPKI, som det står nu

ROA'er bliver, indtil indehaveren fjerner dem. Ved en lejeaftale er det din udlejer, og en ROA for den tidligere brugers ASN, som ingen har fjernet, gør din annoncering ugyldig (RPKI og ROA'er). En overdragelse hos RIPE NCC fjerner sælgerens ROA'er, så opret dine, så snart den er gennemført.

curl -s "https://stat.ripe.net/data/rpki-validation/data.json?resource=AS64500&prefix=203.0.113.0/24"

Bed om, at hver ROA, der dækker blokken, fjernes eller erstattes med en for dit ASN, eller din udbyders, før overleveringen.

5. Hvor verden tror, den er

Geolokationsdatabaser afgør, hvilket land en blok ser ud til at ligge i, og det afgør, hvilket indhold dine brugere ser, og hvilke betalingssystemer der stoler på dem.

curl -s "https://stat.ripe.net/data/maxmind-geo-lite/data.json?resource=203.0.113.0/24"

Det er MaxMinds gratis data. Slå også blokken op i de andre store databaser, og tjek, om nogen af dem mærker den som hosting- eller VPN-adresser, hvilket kan veje tungere end landet. En blok, der er placeret i det forkerte land, kan rettes, men på tværs af alle databaserne kan det tage seks uger eller mere, så det er bedre at vide det nu end efter lanceringen (IP-geolokation).

6. Abuse-rapporter

Fællesskabsdatabaser som AbuseIPDB samler rapporter om angreb fra enkelte adresser. AbuseIPDB's API tjekker en hel /24 i én forespørgsel, over de seneste 30 dage på en gratis konto:

curl -G https://api.abuseipdb.com/api/v2/check-block \
  --data-urlencode "network=203.0.113.0/24" \
  -d maxAgeInDays=30 \
  -H "Key: $ABUSEIPDB_KEY" \
  -H "Accept: application/json"

Nogle få gamle rapporter er normalt for adresser, der har været i brug; en jævn strøm fra mange adresser er ikke.

7. Overdragelseshistorik

Køber du, så spørg, hvornår sælgeren fik blokken. IPv4, der er modtaget via en overdragelse, kan ikke overdrages igen i 24 måneder i RIPE NCC's serviceregion, og adresser fra APNIC's 103/8-pulje ikke i fem år efter, at de første gang blev udleveret (regler for overdragelse sammenlignet). Vil du hellere have, at din betaling holdes tilbage, indtil registret registrerer overdragelsen, kan en escrow holde den.

Hvad du skal spørge sælgeren eller udlejeren om

• Hvornår fik du blokken, og fra hvem?
• Hvem har brugt den de seneste to år, og til hvad?
• Er der ROA'er, route-objekter eller domain-objekter for den nu, og hvem fjerner dem?
• Er noget listet, og hvad blev der gjort ved det?
• Ved leje: hvad sker der med blokken, hvis lejeaftalen forlænges, og hvad siger kontrakten om at tage den tilbage?

Hvor RTM Networks passer ind

Vi kører disse tjek, før vi tilbyder en blok, og vi tjekker hver IPv4-blok, vi lejer ud, mod blocklists hver dag, så længe du har den (lej IPv4, køb IPv4). Bliver du tilbudt en blok et andet sted og vil have en second opinion, så send os præfikset, og vi fortæller dig, hvad vi ser.