IRR route-objekter og RADb: hvorfor et præfiks bliver filtreret

Et route-objekt er en offentlig post, der siger, hvilket AS-nummer der må annoncere et præfiks som origin. Upstream-udbydere bygger filtrene på din BGP-session ud fra disse poster, så et præfiks uden et bliver ofte smidt væk, før det når det bredere internet, selv når dets ROA er perfekt. RPKI har ikke erstattet routingregistre; de fleste netværk bruger stadig begge.

Hvad et route-objekt er

Routingregistre (IRR'er) har objekter i et enkelt tekstformat. Det, der betyder noget for en annoncering, er route-objektet:

route:   203.0.113.0/24
origin:  AS64500
descr:   Example Customer GmbH
mnt-by:  EXAMPLE-MNT
source:  RIPE

Det parrer ét præfiks med ét origin-AS. Annonceres blokken fra to ASN'er, skal den have to route-objekter.

Hvor de findes

• RIPE Database er registret for adresser i RIPE NCC's serviceregion, og route-objekter for de adresser hører hjemme der. At oprette et kræver tilladelse fra indehaveren af adresserne, så en fremmed kan ikke registrere din blok.
• ARIN og APNIC driver registre for deres egne adresser: ARIN's i ARIN Online, for adresser under en aftale med ARIN, og APNIC's i dets Whois Database (ARIN, APNIC).
• RADb, drevet af Merit, en nonprofitorganisation, er et abonnementsregister, der har objekter for adresser fra enhver region. Mange netværk slår op i det ved siden af de regionale registre, og derfor dukker det op i så mange opsætninger, og derfor er det værd at tjekke, hvad det siger om din blok.

Sådan bruger din upstream dem

De fleste udbydere udvider det, du må sende, til en liste over præfikser, automatisk, ud fra registrene: dit AS-nummer, eller et as-set, der lister dit og dine kunders, slås op, og hvert route-objekt med en matchende origin bliver en post i filteret på din session. Værktøjer som bgpq4 gør dette:

bgpq4 -4 -l allowed AS64500

Indeholder den liste, det udskriver, ikke dit præfiks, gør din upstreams filter det heller ikke. Filtre genopbygges ofte én gang om dagen, så det kan tage så lang tid, før et nyt route-objekt får virkning.

Sådan tjekker du, hvad registrene siger

whois -h whois.ripe.net -T route 203.0.113.0/24
whois -h whois.radb.net 203.0.113.0/24

Du leder efter tre ting: et route-objekt med dit origin-AS, ingen efterladte route-objekter for et ASN, der ikke længere annoncerer blokken, og det samme billede i det regionale register og i RADb.

Fejl, der får et præfiks filtreret

• Slet intet route-objekt. Den mest almindelige, og grunden til, at en ny lejeaftale eller en ny upstream “ikke virker” på dag ét.
• Den forkerte origin. Objektet nævner den tidligere brugers ASN eller din udbyders, når du selv annoncerer.
• Gamle objekter, der er efterladt. De lader andres filtre acceptere annonceringer af din blok fra et ASN, der ikke længere burde sende dem. Fjern dem, når en lejeaftale slutter, eller en udbyder skiftes.
• Ændringer, udbyderen laver for dig. Under BYOIP opretter nogle udbydere selv route-objektet; AWS opdaterer for eksempel RADb på egen hånd og siger, at manuelle ændringer, der nævner dets ASN, får provisioneringen til at fejle (AWS BYOIP).

Route-objekter og RPKI sammen

En ROA og et route-objekt beskriver det samme, præfikset og det AS, der må annoncere det som origin, til to slags tjek. Hold dem i takt: ændr begge i samme vindue, hver gang origin ændrer sig, og tjek begge uden for dit eget netværk (RPKI og ROA'er).

Hvor RTM Networks passer ind

For adresser, der er lejet af os, opretter vi route-objektet for dit ASN, eller din udbyders, som en del af lejeaftalen, sammen med ROA'en og, når du har brug for et, Letter of Authorization, og vi fjerner dem, når lejeaftalen slutter (lej IPv4).