Πώς να ελέγξετε ένα μπλοκ IP πριν το αγοράσετε ή το μισθώσετε

Ένα μπλοκ που φαίνεται εντάξει στα χαρτιά μπορεί να έρθει σε λίστα αποκλεισμού, με ιστορικό υποκλοπών (hijacks), ή καταχωρισμένο σε εταιρεία που δεν υπάρχει πια. Τα περισσότερα από αυτά ελέγχονται σε μισή ώρα με δημόσια εργαλεία, πριν υπογραφεί οτιδήποτε. Αυτοί είναι οι επτά έλεγχοι που κάνουμε σε κάθε μπλοκ, και πώς να τους κάνετε μόνοι σας. Τα παραδείγματα χρησιμοποιούν το εύρος τεκμηρίωσης 203.0.113.0/24. Αντικαταστήστε το με το μπλοκ που σας προσφέρεται.

1. Η εγγραφή μητρώου

Ξεκινήστε με το ποιον αναφέρει το μητρώο ως κάτοχο του μπλοκ και τι είδους μπλοκ είναι.

whois -h whois.ripe.net 203.0.113.0/24

Ελέγξτε τέσσερα πράγματα στην απάντηση:

• Τον κάτοχο. Ο οργανισμός στην εγγραφή πρέπει να είναι αυτός που πωλεί ή αυτός που σας το μισθώνει. Ένα διαφορετικό όνομα, μια εταιρεία σε λύση ή ένα όνομα που άλλαξε σε συγχώνευση είναι ο συχνότερος λόγος που μια συμφωνία κολλάει (τι επηρεάζει την τιμή).
• Την κατάσταση. Το ALLOCATED PA, το ASSIGNED PI ή το LEGACY καθορίζει ποιος μπορεί να κατέχει το μπλοκ και αν οι διευθύνσεις του μπορούν να δοθούν στους πελάτες σας (PA, PI ή legacy).
• Την επαφή abuse. Πρέπει να είναι μια θυρίδα που κάποιος διαβάζει.
• Τις παρατηρήσεις (remarks). Σημειώσεις για διαφορά, υποεκχώρηση ή άλλη μίσθωση αξίζουν μια ερώτηση πριν προχωρήσετε.

2. Λίστες αποκλεισμού, διεύθυνση προς διεύθυνση

Μια καταχώριση αφορά συνήθως μεμονωμένες διευθύνσεις, όχι ολόκληρο το μπλοκ, οπότε ελέγξτε και τις 256. Η συνδυασμένη ζώνη του Spamhaus, η ZEN, απαντά για τις λίστες SBL, CSS, XBL και PBL με ένα ερώτημα DNS ανά διεύθυνση:

for i in $(seq 0 255); do
  answer=$(dig +short $i.113.0.203.zen.spamhaus.org A)
  [ -n "$answer" ] && echo "203.0.113.$i $answer"
done

Εκτελέστε το μέσω του δικού σας resolver. Το Spamhaus απορρίπτει ερωτήματα που φτάνουν μέσω των μεγάλων δημόσιων resolvers και απαντά με κωδικό σφάλματος στο εύρος 127.255.255.x, που δεν είναι καταχώριση. Οι δωρεάν δημόσιοι διακομιστές της προορίζονται για «low-volume, non-commercial users» (σε μετάφραση: «χρήστες χαμηλού όγκου, μη εμπορικούς») και καταργούνται σταδιακά, οπότε ο βρόχος μπορεί να σταματήσει να απαντά. Ο IP and Domain Reputation Checker του Spamhaus αναζητά μία διεύθυνση κάθε φορά.

Ορισμένες λίστες κρίνουν περισσότερα από τη διεύθυνση. Μια καταχώριση εύρους από το Spamhaus εμφανίζεται στον βρόχο ως σειρά καταχωρισμένων διευθύνσεων. Η UCEPROTECT καταχωρίζει ολόκληρες κατανομές στο Level 2 και κάθε διεύθυνση ενός δικτύου με πάρα πολλές καταχωρίσεις στο Level 3, και ο έλεγχός της δείχνει ποιο επίπεδο ισχύει. Οι άλλες λίστες που έχουν σημασία, και τα εργαλεία που τις ελέγχουν, βρίσκονται στη σελίδα μαύρες λίστες IP (blacklists).

3. Ποιος το έχει ανακοινώσει και πότε

Το ιστορικό δρομολόγησης δείχνει ποια δίκτυα έχουν ανακοινώσει το μπλοκ ως προέλευση και για πόσο καιρό.

curl -s "https://stat.ripe.net/data/routing-history/data.json?resource=203.0.113.0/24"

Αυτό που θέλετε να δείτε είναι μία προέλευση κάθε φορά, που να αντιστοιχεί στους κατόχους για τους οποίους σας λέει ο πωλητής. Σύντομες ανακοινώσεις από άσχετα δίκτυα, ιδίως όσο το μπλοκ ήταν επίσημα αχρησιμοποίητο, είναι το σημάδι υποκλοπής. Ένα μπλοκ που κανείς δεν έχει ανακοινώσει εδώ και χρόνια δεν είναι πρόβλημα από μόνο του, αλλά είναι ακριβώς αυτό που αναζητούν οι υποκλοπείς, οπότε η εγγραφή πρέπει να είναι αδιάσειστη.

4. Το RPKI όπως είναι τώρα

Τα ROA παραμένουν μέχρι να τα αφαιρέσει ο κάτοχος. Σε μια μίσθωση, αυτός είναι ο εκμισθωτής σας, και ένα ROA για το ASN του προηγούμενου χρήστη που κανείς δεν αφαίρεσε θα κάνει την ανακοίνωσή σας invalid (RPKI και ROA). Μια μεταβίβαση στο RIPE NCC αφαιρεί τα ROA του πωλητή, οπότε δημιουργήστε τα δικά σας μόλις ολοκληρωθεί.

curl -s "https://stat.ripe.net/data/rpki-validation/data.json?resource=AS64500&prefix=203.0.113.0/24"

Ζητήστε κάθε ROA που καλύπτει το μπλοκ να αφαιρεθεί ή να αντικατασταθεί με ένα για το ASN σας, ή του παρόχου σας, πριν από την παράδοση.

5. Πού πιστεύει ο κόσμος ότι βρίσκεται

Οι βάσεις δεδομένων γεωεντοπισμού καθορίζουν σε ποια χώρα φαίνεται να βρίσκεται ένα μπλοκ, και αυτό καθορίζει ποιο περιεχόμενο βλέπουν οι χρήστες σας και ποια συστήματα πληρωμών τους εμπιστεύονται.

curl -s "https://stat.ripe.net/data/maxmind-geo-lite/data.json?resource=203.0.113.0/24"

Αυτά είναι τα δωρεάν δεδομένα της MaxMind. Αναζητήστε το μπλοκ και στις άλλες κύριες βάσεις δεδομένων, και ελέγξτε αν κάποια το χαρακτηρίζει ως χώρο hosting ή VPN, κάτι που μπορεί να μετρά περισσότερο από τη χώρα. Ένα μπλοκ τοποθετημένο σε λάθος χώρα μπορεί να διορθωθεί, αλλά σε όλες τις βάσεις δεδομένων μπορεί να χρειαστούν έξι εβδομάδες ή περισσότερο, οπότε είναι καλύτερα να το γνωρίζετε τώρα παρά μετά την έναρξη (γεωεντοπισμός IP).

6. Αναφορές abuse

Κοινοτικές βάσεις δεδομένων όπως η AbuseIPDB συλλέγουν αναφορές επιθέσεων από μεμονωμένες διευθύνσεις. Το API της AbuseIPDB ελέγχει ένα ολόκληρο /24 με ένα αίτημα, για τις τελευταίες 30 ημέρες με δωρεάν λογαριασμό:

curl -G https://api.abuseipdb.com/api/v2/check-block \
  --data-urlencode "network=203.0.113.0/24" \
  -d maxAgeInDays=30 \
  -H "Key: $ABUSEIPDB_KEY" \
  -H "Accept: application/json"

Λίγες παλιές αναφορές είναι φυσιολογικές για χώρο που έχει χρησιμοποιηθεί. Μια σταθερή ροή από πολλές διευθύνσεις δεν είναι.

7. Ιστορικό μεταβιβάσεων

Αν αγοράζετε, ρωτήστε πότε έλαβε ο πωλητής το μπλοκ. Οι διευθύνσεις IPv4 που λαμβάνονται με μεταβίβαση δεν μπορούν να μεταβιβαστούν ξανά για 24 μήνες στην περιοχή εξυπηρέτησης του RIPE NCC, και οι διευθύνσεις από το απόθεμα 103/8 του APNIC όχι για πέντε έτη από την αρχική τους εκχώρηση (σύγκριση κανόνων μεταβίβασης). Αν προτιμάτε η πληρωμή σας να διακρατείται μέχρι το μητρώο να καταγράψει τη μεταβίβαση, μια μεσεγγύηση (escrow) μπορεί να τη διακρατήσει.

Τι να ρωτήσετε τον πωλητή ή τον εκμισθωτή

• Πότε λάβατε το μπλοκ, και από ποιον;
• Ποιος το έχει χρησιμοποιήσει τα τελευταία δύο χρόνια, και για ποιο σκοπό;
• Υπάρχουν τώρα ROA, route objects ή αντικείμενα domain γι' αυτό, και ποιος θα τα αφαιρέσει;
• Είναι κάτι καταχωρισμένο σε λίστα, και τι έγινε γι' αυτό;
• Για μίσθωση: τι γίνεται με το μπλοκ αν ανανεωθεί η μίσθωση, και τι λέει η σύμβαση για την ανάκτησή του;

Πού ταιριάζει η RTM Networks

Κάνουμε αυτούς τους ελέγχους πριν προσφέρουμε ένα μπλοκ, και ελέγχουμε κάθε μπλοκ IPv4 που μισθώνουμε σε λίστες αποκλεισμού κάθε ημέρα για όσο το έχετε (μίσθωση IPv4, αγορά IPv4). Αν σας προσφέρεται ένα μπλοκ αλλού και θέλετε μια δεύτερη γνώμη, στείλτε μας το prefix και θα σας πούμε τι βλέπουμε.